本文是iss公司在几年前发布的一份sniffer faq。虽然里面涉及的技术可能相对陈旧了一些，但仍然可作为入门级文档。希望这份sniffer faq能够帮助管理员们对网络监听及解决方法有一个较为清楚的认识。sniffer已成为当今互联网上最常见的主机入侵手段之一。
在绿盟网络安全月刊中，我还将陆续介绍sniffer、sniffer的克星——anti-sniffer和anti-sniffer的克星——anti anti-sniffer。希望对这方面有兴趣的朋友如果有些什么好资料或建议，请与我联系。
faq目录：
*什么是sniffer及其工作原理
*哪里可以得到sniffer
*如何监测主机正在窃听（sniffed）
*阻止sniffer
o主动集线器
o加密
okerberos
o一次性口令技术
o非混杂模式网络接口设备
-------------------------------------------------------------------------------
什么是sniffer及其工作原理
与电话电路不同，计算机网络是共享通讯通道的。支持每对通讯计算机独占通道的交换机/集线器仍然过于昂贵。共享意味着计算机能够接收到发送给其它计算机的信息。捕获在网络中传输的数据信息就称为sniffing（窃听）。
以太网是现在应用最广泛的计算机连网方式。以太网协议是在同一回路向所有主机发送数据包信息。数据包头包含有目标主机的正确地址。一般情况下只有具有该地址的主机会接受这个数据包。如果一台主机能够接收所有数据包，而不理会数据包头内容，这种方式通常称为“混杂”模式。
由于在一个普通的网络环境中，帐号和口令信息以明文方式在以太网中传输，一旦入侵者获得其中一台主机的root权限，并将其置于混杂模式以窃听网络数据，从而有可能入侵网络中的所有计算机。
-------------------------------------------------------------------
哪里可以得到sniffer
sniffer是黑客们最常用的入侵手段之一。例如esniff.c，是一个小巧的工具，运行在sunos平台，可捕获所有telnet、ftp、rloing会话的前300个字节内容。这个由phrack开发的程序已成为在黑客中传播最广泛的工具之一。
你可以在经过允许的网络中运行esniff.c，了解它是如何有效地危及本地机器安全。
以下是一些也被广泛用于调试网络故障的sniffer工具：
*etherfind on sunos
*snoop on solaris 2.x and sunos
*tcpdump
*packetman, interman, etherman, loadman
商用sniffer：
*network general.
network general开发了多种产品。最重要的是expert sniffer，
它不仅仅可以sniff，还能够通过高性能的专门系统发送/接收数
据包，帮助诊断故障。还有一个增强产品"distrbuted sniffer
system"可以将unix工作站作为sniffer控制台，而将sniffer
agents（代理）分布到远程主机上。
*microsoft's net monitor
对于某些商业站点，可能同时需要运行多种协议——netbeui、
ipx/spx、tcp/ip、802.3和sna等。这时很难找到一种sniffer帮助
解决网络问题，因为许多sniffer往往将某些正确的协议数据包当
成了错误数据包。microsoft的net monitor（以前叫bloodhound）
可以解决这个难题。它能够正确区分诸如netware控制数据包、nt
netbios名字服务广播等独特的数据包。（etherfind只会将这些数
据包标识为类型0000的广播数据包。）这个工具运行在ms windows
平台上。它甚至能够按mac地址（或主机名）进行网络统计和会话
信息监视。只需简单地单击某个会话即可获得tcpdump标准的输出。
过滤器设置也是最为简单的，只要在一个对话框中单击需要监视的
主机即可。
--------------------------------------------------------------------
如何监测主机正在窃听（sniffed）
要监测只采集数据而不对任何信息进行响应的窃听设备，需要逐个仔细检查以太网上所有物理连接。
不可能通过远程发送数据包或ping就可以检查计算机是否正在窃听。
一个主机上的sniffer会将网络接口置为混杂模式以接收所有数据包。对于某些unix系统，通过监测到混杂模式的网络接口。虽然可以在非混杂模式下运行sniffer，但这样将只能捕获本机会话。入侵者也可能通过在诸如sh、telnet、rlogin、in.telnetd等程序中捕获会话，并将用户操作记录到其它文件中。这些都可能通过监视tty和kmem等设备轻易发现。只有混杂模式下的sniffing才能捕获以太网中的所有会话，其它模式只能捕获本机会话。
对于sunos、netbsd和其它bsd unix系统，如下命令：
"ifconfig -a"
会显示所有网络接口信息和是否在混杂模式。dec osf/1和irix等系统需要指定设备。要找到系统中有什么网络接口，可以运行如下命令：
# netstat -r
routing tables
internet:
destinationgatewayflags refs useinterface
defaultiss.netug124949le0
localhostlocalhostuh2 83lo0
然后通过如下命令检查每个网络接口：
#ifconfig le0
le0: flags=8863
inet 127.0.0.1 netmask 0xffffff00 broadcast 255.0.0.1
入侵者经常会替换ifconfig等命令来避开检查，因此一定要检查命令程序的校验值。
在ftp.cert.org:/pub/tools/的cpm程序（sunos平台）可以检查接口是否有混杂模式标记。
对于ultrix系统，使用pfstat和pfconfig命令也可能监测是否有sniffer运行。
pfconfig指定谁有权限运行sniffer。
pfstat显示网络接口是否处于混杂模式。
这些命令只在sniffer与内核存在链接时有效。而在缺省情况，sniffer是没有与内核链接的。大多数的unix系统，例如irix、solaris、sco等，都没有任何标记来指示是否处于混杂模式，因此入侵者能够窃听整个网络而却无法监测到它。
通常一个sniffer的记录文件会很快增大并填满文件空间。在一个大型网络中，sniffer明显加重机器负荷。这些警告信息往往能够帮助管理员发现sniffer。建议使用lsof程序搜索访问数据包设备（如sunos的/dev/nit）的程序和记录文件。
------------------------------------------------------------------
阻止sniffer
主动式集线器只向目标地址主机发送数据包，从而使混杂模式sniffer失效。它仅适用于10base-t以太网。（注：这种现在已在计算机市场消失。）
只有两家厂商曾生产过主动式集线器：
*3com
*hp
随着交换机的成本和价格的大幅度降低，交换机已成为非常有效的使sniffer失效的设备。目前最常见的交换机在第三层（网络层）根据数据包目标地址进行转发，而不太采取集线器的广播方式，从而使sniffer失去了用武之地。
------------------------------------------------------------------
加密
目前有许多软件包可用于加密连接，从而使入侵者即使捕获到数据，但无法将数据解密而失去窃听的意义。
以下是以前常用的一些软件包
*deslogin
coast.cs.purdue.edu:/pub/tools/unix/deslogin .
* swipe
ftp.csua.berkeley.edu:/pub/cypherpunks/swipe/
* netlock
-----------------------------------------------------------------
kerberos
kerberos是另一个加密网络中帐号信息的软件包。它的缺点是所有帐号信息都存放在一台主机中，如果该主机被入侵，则会危及整个网络安全。另外配置它也不是一件简单的事情。kerberos包括流加密rlogind和流加密telnetd等，它可以防止入侵者捕获用户在登录完成后所进行的操作。
Sniffer的一些资料[1]
[入库：2005年8月19日] [更新：2007年3月24日]
本文简介：选择自 tomsx 的 blog
本文关键：Sniffer的一些资料
本站最佳浏览方式为 分辨率 1024x768 IE 6.0（或更高版本的 IE浏览器）
