第9章网络嗅探技术解析.ppt

* 曾湘黔主编： 网络安全技术 清华大学出版社出版 网络监听则是一种最简单而且最有效的方法，它常常能轻易地获得用其他方法很难获得的信息。 在网络上，监听效果最好的地方是在网关、路由器、防火墙一类的设备处，通常由网络管理员来操作。使用最方便的是在一个以太网中的任何一台上网的主机上，这是大多数黑客的做法。 网络监控的基础是数据捕获，网络监控系统是并接在网络中来实现对于数据的捕获的，这种方式和入侵检测系统相同，我们称这种数据获取方式为网络嗅探。网络嗅探是网络监控系统的实现基础 第9章 网络嗅探技术 9.1 网络嗅探监听的原理 9.1.1 网卡工作原理 9.1.2 网络嗅探监听的原理 9.1.3 网络嗅探器接入方案 9.1.4 无线局域网嗅探技术原理 9.2 网络监听的防范措施 9.2.1 局域网网络监听的防范措施 9.2.2 无线局域网网络监听的防范措施 9.3 典型嗅探监听工具 9.3.1 Tcpdump/Windump 9.3.2 Sniffit 9.3.3 Ettercap 9.3.4 Snarp 第9章 网络嗅探技术 曾湘黔主编： 网络安全技术 清华大学出版社出版 网卡收到传输来的数据，网卡内的单片程序先接收数据头的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就在接收后产生中断信号通知CPU，认为不该接收就丢弃不管，所以不该接收的数据网卡就截断了，计算机根本就不知道。CPU得到中断信号产生中断，操作系统就根据网卡驱动程序中设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号堆栈让操作系统处理。 9.1 网络嗅探监听的原理9.1.1 网卡工作原理 曾湘黔主编： 网络安全技术 清华大学出版社出版 对于目前很流行的以太网协议，其工作方式是：将要发送的数据包发往连接在一起的所有主机，包中包含着应该接收数据包主机的正确地址，只有与数据包中目标地址一致的那台主机才能接收。但是，当主机工作混杂模式下，无论数据包中的目标地址是什么，主机都将接收(当然只能监听经过自己网络接口的那些包)。 当主机工作在混杂模式下，所有的数据帧都将被交给上层协议软件处理。而且，当连接在同一条电缆或集线器上的主机被逻辑地分为几个子网时，如果一台主机处于混杂模式下，它还能接收到发向与自己不在同一子网(使用了不同的掩码、IP地址和网关)的主机的数据包。也就是说，在同一条物理信道上传输的所有信息都可以被接收到。另外，现在网络中使用的大部分协议都是很早设计的，许多协议的实现都是基于一种非常友好的、通信的双方充分信任的基础之上，许多信息以明文发送。因此，如果用户的账户名和口令等信息也以明文的方式在网上传输，而此时一个黑客或网络攻击者正在进行网络监听，只要具有初步的网络和TCP/IP协议知识，便能轻易地从监听到的信息中提取出感兴趣的部分。同理，正确的使用网络监听技术也可以发现入侵并对入侵者进行追踪定位，在对网络犯罪进行侦查取证时获取有关犯罪行为的重要信息，成为打击网络犯罪的有力手段。　　 9.1.2 网络嗅探监听的原理 曾湘黔主编： 网络安全技术 清华大学出版社出版 1．共享式以太网环境中应用网络嗅探器 在共享式以太网中，同一网段中所有主机都连接到一个集线器（HUB）上。当同一网段中的任何一台主机发送一个数据包后，都会通过集线器以广播的方式发送到网络当中，处在同一网络中的所有其它主机都会看到这些数据包，然后通过查找数据包中的目的ＭＡＣ地址来确认这个包是否是发给自己的。如果是，就接收这个数据包，如果不是，就会丢弃这个包。 　　这样一来，在共享式以太网中，要嗅探进出某台主机接口卡中的流量和嗅探整个网络中的流量都是非常简单的。我们只要将网络嗅探器通过网线连接到集线器中的任意一个空闲端口，然后通过网络嗅探软件，将嗅探器的网络接口卡的工作模式设为混杂模式，就可以捕捉到在网络上传输的所有网络流量。 9.1.3 网络嗅探器接入方案 曾湘黔主编： 网络安全技术