浅谈在Ｌｉｎｕｘ系统中以太网数据帧的监听与分析.docVIP

浅谈在Ｌｉｎｕｘ系统中以太网数据帧的监听与分析 　　摘要：以太网数据传输通过广播实现，在同一网段的所有网卡事实上都可以访问在共享的物理介质上传输的所有数据。但在系统正常工作时，一个合法的网络接口应只响应两种数据帧：一是帧的目标MAC地址与本地MAC地址相符；二是帧的目标地址是广播地址。若要监听所有流经网卡的数据帧，当用于监听的主机连接在共享型以太网集线器上时，采用“混杂”模式可以监听到同一冲突域上传输的数据帧；但当监听的主机连接在交换机上时，可以利用交换机的端口镜像（Port Mirroring）功能实现监听。 　　关键词：数据帧；MAC地址；“混杂”模式；端口镜像 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)30-0564-03 　　 　　On Monitor and Analysis of the Ethernet Data Frame in Linux System 　　YANG Cheng-hui 　　(Jimen Light Industrial School,Xiamen 361022,China) 　　Abstract: The transmission of the data on Ethernet is achieved through broadcasting.In fact all the network cards in the same network have access to all the data transmitted by the shared physical agent. However,when the system works normally, a legitimate network interface should respond to only two types of data frames. One is when the target MAC address of the frame is consistent with the local MAC address. The other is when the target address of the frame is the broadcast address. To monitor all the data frames flowing from the network card, promiscuous mode is adopted to monitor the data frame transmitted in the same collision domain, when the host for monitoring connected to the shared Ethernet hub. Whereas when the host for monitoring is connected to the switch, we can use the Port Mirroring of the switch for monitoring. 　　Key words: Data frame;MAC address;Promiscuous mode;Port mirror 　　 　　1 引言 　　 　　当今网络技术的飞速发展，网络安全问题越发凸显重要。在网络中，当信息进行传播的时候，可以利用工具，将网络中正在传播的信息截获或者捕获到，从而进行攻击。目前绝大多数网络都是采用以太网结构，本文通过具体分析以太网中数据的传输与接收原理来帮大家理解网络的安全性问题。 　　 　　2 监听的实施 　　 　　以太网数据传输通过广播实现，在同一网段的所有网卡事实上都可以访问在共享的物理介质上传输的所有数据。但在系统正常工作时，一个合法的网络接口应只响应两种数据帧：一是帧的目标MAC地址与本地MAC地址相符；二是帧的目标地址是广播地址，除此之外数据帧将被丢弃不作处理。要监听流经网卡的不属于自己主机的数据，必须绕过系统正常工作的处理机制，直接访问网络底层。 　　在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接收数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就接收后产生中断信号通知CPU，认为不该接收就丢掉不管，所以不该接收的数据网卡就截断了，计算机根本就不知道。CPU得到中断信号产生中断，操作系统就根据网卡的驱动程序设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号堆栈让操作系统处理。而对于网卡来说一般有四种接收模式： 　　广播模式：该模式下的网卡能够接