利用嗅探器之TcpDump分析网络安全.pdfVIP

利用嗅探器之 TcpDump 分析网络安全 前言：在如令网络系统中， 随着网络重要性、 复杂性的不断增长， 作为一名网络工程师、 监测者、 分析者或者是网络性能的评估者， 您所扮演的角色对公司的成功是至关重要的。 为 了更好的完成工作， 您需要透视整个网络， 识别关键的性能问题 —— 从应用的响应时间到带 宽的瓶颈以至于识别网络每一层所出现的问题。 在您每天的工作中， 常常会着眼于未来用新 的技术和应用扩展您的网络。 网络探针分布在重要网段， 监视该网络线路上各协议， 各计算 机占用情况， 监控网络上各种业务的网络流量及带宽， 记录网络操作， 实现分布集中的网络 分析 Sniffer 系统。本文将为你介绍如何利用嗅探器 (sniffer) 之网络数据采集分析工具 TcpDump 来详细网络及其安全分析。 一 嗅探器技术在网络中的应用 1 Sniffer 简介 Sniffer 即嗅探器的英文写法，嗅探器 (sniffer) 是最常见，也是最重要的技术之一。用过 windows 平台上的 sniffer 工具 (例如， netxray 和 sniffer pro 软件 )的朋友可能都知道， 在共享 式的局域网中，采用 sniffer 工具简直可以对网络中的所有流量一览无余！ Sniffer 工具实际 上就是一个网络上的抓包工具，同时还可以对抓到的包进行分析。由于在共享式的网络中， 信息包是会广播到网络中所有主机的网络接口，只不过在没有使用 sniffer 工具之前，主机 的网络设备会判断该信息包是否应该接收， 这样它就会抛弃不应该接收的信息包， sniffer 工 具却使主机的网络设备接收所有到达的信息包， 这样就达到了网络监听的效果。 其实，sniffer 工具既可以适合于黑客的使用， 也同样有利于网络管理员和网络程序员。 对于网络管理人员 来说，使用嗅探器可以随时掌握网络的实际情况，在网络性能急剧下降的时候，可以通过 sniffer 工具来分析原因，找出造成网络阻塞的来源。对于网络程序员来说 ,通过 sniffer 工具 来调试程序。 它也可以理解为一个安装在计算机上的窃听设备它可以用来窃听计算机在网络上所产 生的众多的信息。简单一点解释：一部电话的窃听装置 ,可以用来窃听双方通话的内容，而 计算机网络嗅探器则可以窃听计算机程序在网络上发送和接收到的数据。 可是， 计算机直接 所传送的数据， 事实上是大量的二进制数据。 因此， 一个网络窃听程序必须也使用特定的网 络协议来分解嗅探到的数据， 嗅探器也就必须能够识别出那个协议对应于这个数据片断， 只 有这样才能够进行正确的解码。 计算机的嗅探器比起电话窃听器， 有他独特的优势： 很多的 计算机网络采用的是 “共享媒体 ”。就是说，你不必中断他的通讯，并且配置特别的线路，再 安装嗅探器， 你几乎可以在任何连接着的网络上直接窃听到你同一掩码范围内的计算机网络 数据。我们称这种窃听方式为 “基于混杂模式的嗅探 ”（promiscuousmode ）。尽管如此，这种 “共享 ”的技术发展的很快，慢慢转向 “交换 ”技术，这种技术会长期内会继续使用下去， 它 可以实现有目的选择的收发数据。