Sniffer的数据包分析与防范.docVIP

Sniffer的数据包分析与防范 【摘要】本文首先阐述了当前信息监听的重要意义，并简单介绍了目前比较常见的信息监听软件Sniffer的特点及工作原理。然后系统地介绍了网络中几种重要的协议的数据报格式，在此基础上，介绍Snifer对这几种协议进行的解码分析，通过Sniffer的分析能够清楚地看到几种数据报的详细内容。 鉴于Sniffer对信息的监听，本文提出了几种防范Sniffer监听的方法，主要有防火墙技术、加密技术等。最后，针对当前我国的信息监听面临的形势，提出了自己对信息监听技术发展前景的看法。 关键字：信息监听 Sniffer 数据包分析 信息安全 Sniffer的防范 1．信息监听的意义； 我国的网络正在快速发展中，相应的问题也就显现出来，网络管理及相关应用自然将越发重要，而监听技术正是网络管理和应用的基础，其意义当然重要，随着中国网络的发展，监听系统必将大有用武之地，因此监听技术的研究已是时势的要求。 监听技术有助于网络管理、故障报警及恢复，也就是运用强大的专家分析系统帮助维护人员在最短时间内排除网络故障。 2、Sniffer的介绍； Sniffer Pro是一款一流的便携式网管和应用故障诊断分析软件，不管是在有线网络还是在无线网络中，它都能够给予网管管理人员实时的网络监视、数据包捕获以及故障诊断分析能力。进行快速的网络和应用问题故障诊断，基于便携式软件的解决方案具备最高的性价比，却能够让用户获得强大的网管和应用故障诊断功能。Sniffer程序是一种利用以太网的特性把网络适配卡置为杂乱模式状态的工具，一旦同卡设置为这种模式，它就能接收传输在网络上的每一个信息包。 Sniffer之所以著名，是因它在很多方面都做的很好，它可以监听到网上传输的所有信息。Sniffer可以是硬件也可以是软件。主要用来接收在网络上传输的信息。网络是可以运行在各种协议之下的，包括以太网Ethernet、TCP/IP等等，也可以是集中协议的联合体系。 Sniffer的优点是易于安装部署，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，具备支持各类扩展的链路捕获能力以及高性能的数据实时捕获分析的功能。 Sniffer是个非常之危险的东西，它可以截获口令，可以截获到本来是秘密的或者专用信道内的信息，截获到信用卡号、经济数据、E-mail等等，更加可以用来攻击与己相临的网络。 3、网络数据包的结构； 数据在网络中的传输要遵循不同的协议，根据不同的标准可以有不同的分层模型。这里有ISO七层模型和TCP/IP的五层模型，ISO七层分为：物理层、数据链路层、网络层、运输层、会话层、表示层、应用层；TCP/IP的四层为：网络接口层、网络层、运输层、应用层。 数据在网络中的传输通过使用一些特定的协议来实现，下面以TCP/IP的四层模型为例，每一层都有一些特定的协议构成（如图1所示） 应用层 传输层 网络层 链路层 HTTP FTP和Telnet等 TCP和UDP IP ICMP IGMP 设备驱动程序及接口卡（DLC） ARP 图1 网络中的数据包的总体结构如图2所示，数据在从应用层到达传输层时，将添加TCP数据段头，或是UDP数据段头。在网络层，还要给数据包添加一个IP数据段头以组成IP数据报。 数据包 IP头 TCP头（或其它信息头） 数据 图2 数据包总体结构 下面具体介绍一下TCP、UDP和IP数据包的格式： 1. TCP报文的格式如图3所示； 源端口 目的端口 序号 确认序号 首部长度 保留 代码比特 窗口 校验和 紧急指针 选项（如果有） 填充 数据 …… 图3 TCP报文段的格式 2．UDP报文的格式如图4所示； UDP源端口 UDP目的端口 UDP报文长度 UDP检验和 数据 …… 图4 UDP数据报的字段格式 3．IP报文结构为IP协议头＋载荷（详细内容如图3所示），信息监听时对IP协议头部的分析，时分析IP报文的主要内容之一。 0 4 8 16 19 24 31 版本 首部长度 服务类型 总长度 标识符 标志 数据报片偏移量 生存时间 协议 首部校验和 源站IP地址 目的IP地址 IP选项（若有） 填充 数据