Sniffer的数据包分析与防范.docVIP

Sniffer的数据包分析与防范 【摘要】本文首先阐述了当前信息监听的重要意义，并简单介绍了目前比较常见的信息监听软件Sniffer的特点及工作原理。然后系统地介绍了网络中几种重要的协议的数据报格式，在此基础上，介绍Snifer对这几种协议进行的解码分析，通过Sniffer的分析能够清楚地看到几种数据报的详细内容。 鉴于Sniffer对信息的监听，本文提出了几种防范Sniffer监听的方法，主要有防火墙技术、加密技术等。最后，针对当前我国的信息监听面临的形势，提出了自己对信息监听技术发展前景的看法。 关键字：信息监听 Sniffer 数据包分析 信息安全 Sniffer的防范 1．信息监听的意义； 我国的网络正在快速发展中，相应的问题也就显现出来，网络管理及相关应用自然将越发重要，而监听技术正是网络管理和应用的基础，其意义当然重要，随着中国网络的发展，监听系统必将大有用武之地，因此监听技术的研究已是时势的要求。 监听技术有助于网络管理、故障报警及恢复，也就是运用强大的专家分析系统帮助维护人员在最短时间内排除网络故障。 2、Sniffer的介绍； Sniffer Pro是一款一流的便携式网管和应用故障诊断分析软件，不管是在有线网络还是在无线网络中，它都能够给予网管管理人员实时的网络监视、数据包捕获以及故障诊断分析能力。进行快速的网络和应用问题故障诊断，基于便携式软件的解决方案具备最高的性价比，却能够让用户获得强大的网管和应用故障诊断功能。Sniffer程序是一种利用以太网的特性把网络适配卡置为杂乱模式状态的工具，一旦同卡设置为这种模式，它就能接收传输在网络上的每一个信息包。 TCP和UDP IP ICMP IGMP 设备驱动程序及接口卡（DLC） ARP 图1 网络中的数据包的总体结构如图2所示，数据在从应用层到达传输层时，将添加TCP数据段头，或是UDP数据段头。 序号 确认序号 首部长度 保留 代码比特 窗口 校验和 紧急指针 选项（如果有） 填充 数据 …… 图3 TCP报文段的格式 2．UDP报文的格式如图4所示； UDP源端口 UDP目的端口 UDP报文长度 UDP检验和 数据 …… 图4 UDP数据报的字段格式 3．IP报文结构为IP协议头＋载荷（详细内容如图3所示），信息监听时对IP协议头部的分析，时分析IP报文的主要内容之一。 0 4 8 16 19 24 31 版本 首部长度 服务类型 总长度 标识符 标志 数据报片偏移量 生存时间 协议 首部校验和 源站IP地址 目的IP地址 IP选项（若有） 填充 数据 …… 图5 IP报文格式 版本：4个字节； 首部长度：单位为4字节，最大60字节 总长度：单位为字节，最大65535字节 标识：IP报文标识字段 标志：MF=1，后面还有分片的数据包 MF=0，分片数据包的最后一个 DF=1，不允许分片 DF=0，允许分片 偏移量：分片后的分组在原分组中的相对位置，单位为8字节 生存时间：TTL（Time To Live）丢弃TTL=0的报文 协议：携带的是何种协议报文 首部检验和：对IP协议首部的校验和 源IP地址：IP报文的源地址 目的IP地址：IP报文的目的地址 数据发送时从协议栈的高层到底层，会在每一层根据所使用的不同协议添加不同的数据头，所以通常在底层直接截获得到的数据包内，会有不止一个的协议头。数据在从应用层到达传输层时，将添加TCP数据段头，或是UDP数据段头 4． ARP是地址解析协议，它是物理网络系统的一部分，不是网络协议的一部分，它的报文格式如图6所示。 0 8 16 24 31 硬件类型 协议类型 硬件地址长度 协议地址长度 操作 发送方硬件地址（八位组0～3） 发送方硬件地址（八位组4～5） 发送方IP地址（八位组0～1） 发送方IP地址（八位组2～3） 目标硬件地址（八位组0～1） 目标硬件地址（八位组2～5） 目标IP地址（八位组0～3） 图6 ＡＲＰ报文格式 4、Sniffer的数据报文解码； Snif