第7章嗅探——網(wǎng)絡(luò)中的竊聽技術(shù)網(wǎng)絡(luò)攻防技術(shù)主要內(nèi)容嗅探技術(shù)概述嗅探的原理與實現(xiàn)嗅探的檢測與防范網(wǎng)絡(luò)攻防技術(shù)嗅探竊聽是間諜獲取情報的一種重要手段嗅探（Sniff）技術(shù)是網(wǎng)絡(luò)中的竊聽嗅探程序（Sniffer）截獲網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)，并從中解析出其中的機密信息網(wǎng)絡(luò)攻防技術(shù)口令嗅探主機A：您的主機FTP服務(wù)器主機B：安裝了“竊聽程序”的主機Username：studentPassword：htjtyd%32如果主機B處于主機A和FTP通信的信道上，就可以“竊聽到”合法的用戶名及口令。？Username？Passwordstudenthtjtyd%32網(wǎng)絡(luò)攻防技術(shù)攻擊者進行嗅探的目的竊取各種用戶名和口令竊取機密的信息如電子郵件正文及附件、網(wǎng)絡(luò)打印的文檔等窺探底層的協(xié)議信息如DNS的IP地址、本機IP地址、本機MAC地址，遠(yuǎn)程主機的IP地址、網(wǎng)關(guān)的IP地址、一次TCP連接的SequenceNumber中間人攻擊時篡改數(shù)據(jù)的基礎(chǔ)網(wǎng)絡(luò)攻防技術(shù)嗅探的正當(dāng)用途解釋網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包的含義為網(wǎng)絡(luò)診斷提供參考為網(wǎng)絡(luò)性能分析提供參考，發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸

發(fā)現(xiàn)網(wǎng)絡(luò)入侵跡象，為入侵檢測提供參考將網(wǎng)絡(luò)事件記入日志網(wǎng)絡(luò)攻防技術(shù)討論范圍限定802.3以太網(wǎng)使用廣播信道的網(wǎng)絡(luò)，在以太網(wǎng)中所有通信都是廣播的目前的以太網(wǎng)分為共享式以太網(wǎng)和交換式以太網(wǎng)共享式以太網(wǎng)使用同軸電纜或HUB連接交換式以太網(wǎng)使用交換機連接網(wǎng)絡(luò)攻防技術(shù)共享式以太網(wǎng)包轉(zhuǎn)發(fā)0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444E0E1E2E3DCAB發(fā)送到C網(wǎng)絡(luò)攻防技術(shù)數(shù)據(jù)到達主機時的格式在以太網(wǎng)中傳輸?shù)臄?shù)據(jù)包，其包格式為：應(yīng)用層數(shù)據(jù)TCP包頭IP包頭MAC幀頭應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層應(yīng)用程序操作系統(tǒng)網(wǎng)絡(luò)接口網(wǎng)絡(luò)攻防技術(shù)數(shù)據(jù)發(fā)送應(yīng)用層傳輸層網(wǎng)絡(luò)層主機網(wǎng)絡(luò)層應(yīng)用程序操作系統(tǒng)操作系統(tǒng)網(wǎng)絡(luò)設(shè)備應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭應(yīng)用數(shù)據(jù)TCP頭IP頭應(yīng)用數(shù)據(jù)TCP頭IP頭幀頭網(wǎng)絡(luò)攻防技術(shù)數(shù)據(jù)接收應(yīng)用層傳輸層網(wǎng)絡(luò)層主機網(wǎng)絡(luò)層應(yīng)用程序操作系統(tǒng)操作系統(tǒng)網(wǎng)絡(luò)設(shè)備應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭應(yīng)用數(shù)據(jù)TCP頭IP頭應(yīng)用數(shù)據(jù)TCP頭IP頭幀頭網(wǎng)絡(luò)攻防技術(shù)主機接收數(shù)據(jù)以太網(wǎng)卡首先從網(wǎng)絡(luò)中接收數(shù)據(jù)，并在處理完成數(shù)據(jù)鏈路層的任務(wù)后向操作系統(tǒng)的傳遞。網(wǎng)絡(luò)攻防技術(shù)以太網(wǎng)卡的工作原理網(wǎng)卡接收到傳輸來的數(shù)據(jù)，網(wǎng)卡內(nèi)的單片程序檢查數(shù)據(jù)幀的目的MAC地址，根據(jù)網(wǎng)卡驅(qū)動程序設(shè)置的接收模式?jīng)Q定是否接收若不應(yīng)接收就直接丟棄否則通過中斷的方式通知操作系統(tǒng)操作系統(tǒng)根據(jù)驅(qū)動設(shè)置的中斷程序地址調(diào)用驅(qū)動程序接收數(shù)據(jù)驅(qū)動程序?qū)?shù)據(jù)放入堆棧讓操作系統(tǒng)處理。網(wǎng)絡(luò)攻防技術(shù)以太網(wǎng)卡的偵聽模式偵聽模式是網(wǎng)絡(luò)適配器分析傳入幀的目標(biāo)MAC地址，以決定是否進一步處理它們的方式。單播模式：接收單播和廣播數(shù)據(jù)幀組播模式：接收單播、廣播和組播數(shù)據(jù)幀混雜模式：接收所有數(shù)據(jù)幀網(wǎng)絡(luò)攻防技術(shù)單播模式單播模式下，網(wǎng)卡只讓與目標(biāo)MAC地址與自己MAC地址相匹配的數(shù)據(jù)幀或者廣播數(shù)據(jù)幀通過，而過濾掉其它的幀。網(wǎng)絡(luò)攻防技術(shù)混雜模式混雜（promiscuous）模式下工作的網(wǎng)卡能夠接收到一切通過它的數(shù)據(jù)，而不進行數(shù)據(jù)的目的地址檢查，即不再進行硬件過濾。網(wǎng)絡(luò)攻防技術(shù)嗅探程序設(shè)計從程序設(shè)計角度，Sniffer程序至少包括三個模塊：網(wǎng)絡(luò)數(shù)據(jù)驅(qū)動：捕獲數(shù)據(jù)包協(xié)議還原：分析數(shù)據(jù)包緩沖區(qū)管理：管理緩沖區(qū)網(wǎng)絡(luò)攻防技術(shù)Windows環(huán)境下的包捕獲使用WinSock編程接口創(chuàng)建原始套接字，并使用WSAIoctl()函數(shù)將套接字設(shè)置為接收所有數(shù)據(jù)。使用WinpcapNpf.sys：設(shè)備驅(qū)動，捕獲和發(fā)送原始數(shù)據(jù)包Packet.dll

：使用Npf.sys包捕獲和發(fā)送能力的應(yīng)用程序編程接口Wpcap.dll

：與Libpcap相兼容的更高層次抽象http://winpcap.polito.it/網(wǎng)絡(luò)攻防技術(shù)嗅探器WindowsSniffer_proNetxraywiresharkUnixSniffitSnortTcpdump/etherreal網(wǎng)絡(luò)攻防技術(shù)廣域環(huán)境的嗅探理論上，廣域環(huán)境下的嗅探并不可行在實踐中，可以在遠(yuǎn)程傳輸中的端點或是必經(jīng)中間節(jié)點進行嗅探內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)主機B主機A服務(wù)器網(wǎng)絡(luò)攻防技術(shù)交換式以太網(wǎng)交換式以太網(wǎng)是使用交換機組建的局域網(wǎng)交換機使用端口和MAC地址對應(yīng)表進行數(shù)據(jù)轉(zhuǎn)發(fā)，根據(jù)數(shù)據(jù)包的目的MAC地址，選定目標(biāo)端口E0:0260.8c01.1111MACaddresstableE2:0260.8c01.2222E1:0260.8c01.3333E3:0260.8c01.4444網(wǎng)絡(luò)攻防技術(shù)共享式以太網(wǎng)包轉(zhuǎn)發(fā)0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444E0E1E2E3DCAB發(fā)送到C網(wǎng)絡(luò)攻防技術(shù)交換式以太網(wǎng)包轉(zhuǎn)發(fā)E0:0260.8c01.1111MACaddresstableE2:0260.8c01.2222E1:0260.8c01.3333E3:0260.8c01.44440260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444E0E1E2E3DCABXX網(wǎng)絡(luò)攻防技術(shù)交換式以太網(wǎng)的嗅探0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444E0E1E2E3DCABXX攻擊交換機將其從橋（Bridge）模式變?yōu)橹貜?fù)（repeat）模式攻擊智能交換機將端口配置為鏡像端口硬件接入網(wǎng)絡(luò)攻防技術(shù)嗅探的防范廣播信道使用網(wǎng)絡(luò)分段用交換機代替HUB明文傳輸數(shù)據(jù)加密網(wǎng)絡(luò)攻防技術(shù)嗅探的檢查嗅探器檢查比較困難商業(yè)嗅探器向外發(fā)送的數(shù)據(jù)包向主機發(fā)送可以觸發(fā)操作系統(tǒng)作出響應(yīng)，同時又不能通過硬件過濾的數(shù)據(jù)包，就可以檢測主機網(wǎng)絡(luò)接口的接收模式。實踐中，這種數(shù)據(jù)包的應(yīng)有特殊的目的MAC地址。檢測網(wǎng)絡(luò)監(jiān)聽工具AntiSniff介紹ARP檢測模式向目標(biāo)主機發(fā)送一個ARP請求，該請求包中包含偽造的MAC硬件地址。如果目標(biāo)主機不處于混雜模式，它將丟棄這些信息包。但如果此目標(biāo)主機處于混雜模式，ARP請求就會發(fā)送到內(nèi)核進行處理，并響應(yīng)該應(yīng)答。通過應(yīng)答信息，就可以判斷其處于混雜模式。DNS測試模式

SNIFFER工具要進行反向DNS查詢。利用該特性，ANTISNIFFER工具可以發(fā)送大量具有偽造IP地址的數(shù)據(jù)包，通過監(jiān)聽網(wǎng)絡(luò)上的反向DNS數(shù)據(jù)包可以發(fā)現(xiàn)該網(wǎng)絡(luò)是否有主機處于混雜模式。Etherping測試模式向目標(biāo)主機發(fā)送具有正確IP地址和偽造MAC地址的ICMPECHO包，若主機處于混雜模式