嗅探

小咪咪 2022-08-19 08:24 328阅读 0赞

一般指[嗅探器][Link 1]。嗅探器 可以[窃听][Link 2]网络上流经的[数据包][Link 3]。 用[集线器][Link 4]hub组建的网络是基于共享的原理的， 局域网内所有的计算机都接收相同的数据包， 而网卡构造了硬件的“过滤器“ 通过识别MAC地址过滤掉和自己无关的信息， 嗅探程序只需关闭这个过滤器， 将网卡设置为“混杂模式“就可以进行嗅探 用[交换机][Link 5]switch组建的网络是基于“交换“原理的 ，交换机不是把数据包发到所有的端口上， 而是发到目的网卡所在的端口。

## 简介编辑 ##

嗅探 sniff。 [嗅探器][Link 1]可以 [窃听][Link 2]网络上流经的 [数据包][Link 3]。用 [集线器][Link 4]hub组建的网络是 **基于共享的原理的，局域网内所有的计算机都接收相同的数据包**，而网卡构造了硬件的“过滤器“通过识别MAC地址过滤掉和自己无关的信息，嗅探程序只需关闭这个过滤器，将 **网卡设置为“混杂模式“就可以进行嗅探**。用 [交换机][Link 5]switch组建的网络是 **基于“交换“原理的，交换机不是把数据包发到所有的端口上，而是发到目的网卡所在的端口**，这样嗅探起来会麻烦一些，嗅探程序一般 **利用“[ARP欺骗][ARP]“的方法，通过改变MAC地址等手段，欺骗交换机将数据包发给自己，嗅探分析完毕再转发出去**。

## 相关介绍编辑 ##

SNIFF真是一个古老的话题，关于在网络上采用SNIFF来获取敏感信息已经不是什么新鲜事，也不乏很多成功的案例，那么，SNIFF究竟是什么呢？SNIFF就是 [嗅探器][Link 1]，就是窃听器，SNIFF静悄悄的工作在网络的底层，把你的秘密全部记录下来。看过威尔史密斯演的《全民公敌》吗？SNIFF就象里面精巧的窃听器一样，让你防不胜防。

SNIFF可以是软件，也可以是硬件，既然是软件那就要分平台，有WINDOWS下的、UNIX下的等，硬件的SNIFF称为网络分析仪，反正不管硬件软件，目标只有一个，就是获取在网络上传输的各种信息。本文仅仅介绍软件的SNIFF。

当你舒适的坐在家里，惬意的享受网络给你带来的便利，收取你的EMAIL，购买你喜欢的物品的时候，你是否会想到你的朋友给你的信件，你的信用卡帐号变成了一个又一个的 [信息包][Link 6]在网络上不停的传送着，你是否想过，这些信息包会通过网络流入别人的机器呢？你的担忧不是没有道理的，因为SNIFF可以让你的担忧变成实实在在的危险。就好像一个人躲在你身后偷看你一样。

##  ##

## SNIFF原理编辑 ##

要知道在 [以太网][Link 7]中，所有的通讯都是广播的，也就是说通常在 [同一个网段][Link 8]的所有网络接口都可以访问在 [物理媒体][Link 9]上传输的所有数据，而每一个网络接口都有一个唯一的硬件地址，这个硬件地址也就是网卡的MAC地址，大多数系统使用48比特的地址，这个地址用来表示网络中的每一个设备，一般来说每一块网卡上的MAC地址都是不同的，每个网卡厂家得到一段地址，然后用这段地址分配给其生产的每个网卡一个地址。在硬件地址和IP地址间使用ARP和RARP协议进行相互转换。

在正常的情况下，一个网络接口应该只响应这样的两种 [数据帧][Link 10]：

1.与自己硬件地址相匹配的数据帧。

2.发向所有机器的广播数据帧。

在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接收数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就接收后产生中断信号通知CPU，认为不该接收就丢掉不管，所以不该接收的数据网卡就截断了，计算机根本就不知道。CPU得到中断信号产生中断，操作系统就根据网卡的驱动程序设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号 [堆栈][Link 11]让操作系统处理。而对于网卡来说一般有四种接收模式：

广播方式：该模式下的网卡能够接收网络中的广播信息。　 [组播][Link 12]方式：设置在该模式下的网卡能够接收组播数据。

直接方式：在这种模式下，只有目的网卡才能接收该数据。混杂模式：在这种模式下的网卡能够接收一切通过它的数据，而不管该数据是否是传给它的。

好了，现在我们总结一下，首先，我们知道了在 [以太网][Link 7]中是基于广播方式传送数据的，也就是说，所有的物理信号都要经过我的机器，再次，网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够接收到一切通过它的数据，而不管实际上数据的目的地址是不是他。这实际上就是我们SNIFF工作的基本原理：让网卡接收一切他所能接收的数据。

我们来看一个简单的例子，如图一所示，机器A、B、C与集线器HUB相连接，集线器HUB通过 [路由器][Link 13]Router访问外部网络。这是一个很简单也很常见的情况，比如说在公司大楼里，我所在的网络部办公室里的几台机器通过 [集线器][Link 4]连接，而网络部、开发部、市场部也是同样如此，几个部门的集线器通过路由器连接。还是回到我们的图一上来，值得注意的一点是机器A、B、C使用一个普通的HUB连接的，不是用SWITCH，也不是用ROUTER，使用SWITCH和ROUTER的情况要比这复杂得多。

我们假设一下机器A上的管理员为了维护机器C，使用了一个FTP命令向机器C进行 [远程登陆][Link 14]，那么在这个用HUB连接的网络里数据走向过程是这样的。首先机器A上的管理员输入的登陆机器C的FTP口令经过 [应用层][Link 15]FTP协议、 [传输层][Link 16]TCP协议、网络层IP协议、数据链路层上的 [以太网][Link 7]驱动程序一层一层的包裹，最后送到了物理层，我们的网线上。接下来 [数据帧][Link 10]送到了HUB上，现在由HUB向每一个接点广播由机器A发出的数据帧，机器B接收到由HUB广播发出的数据帧，并检查在数据帧中的地址是否和自己的地址相匹配，发现不是发向自己的后把这数据帧丢弃，不予理睬。而机器C也接收到了数据帧，并在比较之后发现是发现自己的，接下来他就对这数据帧进行分析处理。

在上面这个简单的例子中，机器B上的管理员如果很好奇，他很想知道究竟登陆机器C上FTP口令是什么？那么他要做的很简单，仅仅需要把自己机器上的网卡置于混杂模式，并对接收到的 [数据帧][Link 10]进行分析，从而找到包含在数据帧中的口令信息。

[Link 1]: http://baike.baidu.com/view/68282.htm
[Link 2]: http://baike.baidu.com/view/794191.htm
[Link 3]: http://baike.baidu.com/view/25880.htm
[Link 4]: http://baike.baidu.com/view/7770.htm
[Link 5]: http://baike.baidu.com/view/1077.htm
[ARP]: http://baike.baidu.com/view/155386.htm
[Link 6]: http://baike.baidu.com/view/1654236.htm
[Link 7]: http://baike.baidu.com/view/848.htm
[Link 8]: http://baike.baidu.com/view/4200848.htm
[Link 9]: http://baike.baidu.com/view/672388.htm
[Link 10]: http://baike.baidu.com/view/1366167.htm
[Link 11]: http://baike.baidu.com/view/93201.htm
[Link 12]: http://baike.baidu.com/view/492256.htm
[Link 13]: http://baike.baidu.com/view/1360.htm
[Link 14]: http://baike.baidu.com/view/165633.htm
[Link 15]: http://baike.baidu.com/view/239619.htm
[Link 16]: http://baike.baidu.com/view/239605.htm