sniffer使用教程Word文档下载推荐.docx
- 文档编号:20494302
- 上传时间:2023-01-23
- 格式:DOCX
- 页数:21
- 大小:482.79KB
sniffer使用教程Word文档下载推荐.docx
《sniffer使用教程Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《sniffer使用教程Word文档下载推荐.docx(21页珍藏版)》请在冰豆网上搜索。
2.4.1包发生器使用详解………………………………………………………………………………………16
2
一SNIFFER(嗅探器)基础知识
Sniffer(嗅探器)是一种常用的收集有用数据方法,这些数据可以是用户的帐号和密码,可以是一些商用机
密数据等等。
Snifffer可以作为能够捕获网络报文的设备,ISS为Sniffer这样定义:
Sniffer是利用计算机的网络接
口截获目的地为其他计算机的数据报文的一种工具。
Sniffer的正当用处主要是分析网络的流量,以便找出所关心的网络中潜在的问题。
例如,假设网络的某一段运
行得不是很好,报文的发送比较慢,而我们又不知道问题出在什么地方,此时就可以用嗅探器来作出精确的问题判
断。
在合理的网络中,sniffer的存在对系统管理员是致关重要的,系统管理员通过sniffer可以诊断出大量的不
可见模糊问题,这些问题涉及两台乃至多台计算机之间的异常通讯有些甚至牵涉到各种的协议,借助于sniffer%2C
系统管理员可以方便的确定出多少的通讯量属于哪个网络协议、占主要通讯协议的主机是哪一台、大多数通讯目的
地是哪台主机、报文发送占用多少时间、或着相互主机的报文传送间隔时间等等,这些信息为管理员判断网络问题、
管理网络区域提供了非常宝贵的信息。
嗅探器与一般的键盘捕获程序不同。
键盘捕获程序捕获在终端上输入的键值,而嗅探器则捕获真实的网络报文。
为了对sniffer的工作原理有一个深入的了解,我们先简单介绍一下HUB与网卡的原理。
1预备知识
1.1HUB工作原理
由于以太网等很多网络(常见共享HUB连接的内部网)是基于总线方式,物理上是广播的,就是当一个机器发
给另一个机器的数据,共享HUB先收到然后把它接收到的数据再发给其他的(来的那个口不发了)每一个口,所以
在共享HUB下面同一网段的所有机器的网卡都能接收到数据。
交换式HUB的内部单片程序能记住每个口的MAC地址,以后就该哪个机器接收就发往哪个口,而不是像共享HUB
那样发给所有的口,所以交换HUB下只有该接收数据的机器的网卡能接收到数据,当然广播包还是发往所有口。
显然
共享HUB的工作模式使得两个机器传输数据的时候其他机器别的口也占用了,所以共享HUB决定了同一网段同一时间
只能有两个机器进行数据通信,而交换HUB两个机器传输数据的时候别的口没有占用,所以别的口之间也可以同时传
输。
这就是共享HUB与交换HUB不同的两个地方,共享HUB是同一时间只能一个机器发数据并且所有机器都可以接收,
只要不是广播数据交换HUB同一时间可以有对机器进行数据传输并且数据是私有的。
3
1.2网卡工作原理
再讲讲网卡的工作原理。
网卡收到传输来的数据,网卡内的单片程序先接收数据头的目的MAC地址,根据计算
机上的网卡驱动程序设置的接收模式判断该不该接收,认为该接收就在接收后产生中断信号通知CPU,认为不该接
收就丢弃不管,所以不该接收的数据网卡就截断了,计算机根本就不知道。
CPU得到中断信号产生中断,操作系统
就根据网卡驱动程序中设置的网卡中断程序地址调用驱动程序接收数据,驱动程序接收数据后放入信号堆栈让操作
系统处理。
1.3局域网工作原理
数据在网络上是以很小的称为帧(Frame)的单位传输的帧由好几部分组成,不同的部分执行不同的功能。
(例如,
以太网的前12个字节存放的是源和目的的地址,这些位告诉网络:
数据的来源和去处。
以太网帧的其他部分存放实
际的用户数据、TCP/IP的报文头或IPX报文头等等)。
帧通过特定的网络驱动程序进行成型,然后通过网卡发送到
网线上。
通过网线到达它们的目的机器,在目的机器的一端执行相反的过程。
接收端机器的以太网卡捕获到这些帧,
并告诉操作系统帧的到达,然后对其进行存储。
就是在这个传输和接收的过程中,嗅探器会造成安全方面的问题。
通
常在局域网(LAN)中同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力,而每个网络接口都
还应该有一个硬件地址,该硬件地址不同于网络中存在的其他网络接口的硬件地址,同时,每个网络至少还要一个
广播地址。
(代表所有的接口地址),在正常情况下,一个合法的网络接口应该只响应这样的两种数据帧:
1、帧的目标区域具有和本地网络接口相匹配的硬件地址;
2、帧的目标区域具有“广播地址”。
在接受到上面两种情况的数据包时,网卡通过cpu产生一个硬件中断,该中断能引起操作系统注意,然后将帧中所
包含的数据传送给系统进一步处理。
当采用共享HUB,用户发送一个报文时,这些报文就会发送到LAN上所有可用的机器。
在一般情况下,网络上所
有的机器都可以“听”到通过的流量,但对不属于自己的报文则不予响应(换句话说,工作站A不会捕获属于工作
站B的数据,而是简单的忽略这些数据)。
如果局域网中某台机器的网络接口处于杂收(promiscuous)模式(即网卡可以接收其收到的所有数据包,下
面会详细地讲),那么它就可以捕获网络上所有的报文和帧,如果一台机器被配置成这样的方式,它(包括其软
件)就是一个嗅探器。
4
2Sniffer原理
有了这HUB、网卡的工作原理就可以开始讲讲SNIFFER。
首先,要知道SNIFFER要捕获的东西必须是要物理信号能
收到的报文信息。
显然只要通知网卡接收其收到的所有包(一般叫作杂收promiscuous模式:
指网络上的所有设备都
对总线上传送的数据进行侦听,并不仅仅是它们自己的数据。
),在共享HUB下就能接收到这个网段的所有包,但是
交换HUB下就只能是自己的包加上广播包。
要想在交换HUB下接收别人的包,那就要让其发往你的机器所在口。
交换HUB记住一个口的MAC是通过接收来自这
个口的数据后并记住其源MAC,就像一个机器的IP与MAC对应的ARP列表,交换HUB维护一个物理口(就是HUB上的网线
插口,这之后提到的所有HUB口都是指网线插口)与MAC的表,所以可以欺骗交换HUB的。
可以发一个包设置源MAC是
你想接收的机器的MAC,那么交换HUB就把你机器的网线插的物理口与那个MAC对应起来了,以后发给那个MAC的包就
发往你的网线插口了,也就是你的网卡可以SNIFFER到了。
注意这物理口与MAC的表与机器的ARP表一样是动态刷新的,
那机器发包后交换HUB就又记住他的口了,所以实际上是两个在争,这只能应用在只要收听少量包就可以的场合。
内部网基于IP的通信可以用ARP欺骗别人机器让其发送给你的机器,如果要想不影响原来两方的通信,可以欺骗
两方,让其都发给你的机器再由你的机器转发,相当于做中间人,这用ARP加上编程很容易实现。
并且现在很多设备
支持远程管理,有很多交换HUB可以设置一个口监听别的口,不过这就要管理权限了。
利用这一点,可以将一台计算机的网络连接设置为接受所有以太网总线上的数据,从而实现sniffer。
Sniffer
就是一种能将本地网卡状态设成‘杂收’状态的软件,当网卡处于这种“杂收”方式时,该网卡具备“广播地
址”,它对遇到的每一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。
(绝
大多数的网卡具备置成杂收方式的能力)
可见,sniffer工作在网络环境中的底层,它会拦截所有的正在网络上传送的数据,并且通过相应的软件处理,
可以实时分析这些数据的内容,进而分析所处的网络状态和整体布局。
值得注意的是:
sniffer是极其安静的,它
是一种消极的安全攻击。
嗅探器在功能和设计方面有很多不同。
有些只能分析一种协议,而另一些可能能够分析几百种协议。
一般情
况下,大多数的嗅探器至少能够分析下面的协议:
标准以太网、TCP/IP、IPX、DECNet。
嗅探器造成的危害sniffing是作用在网络基础结构的底层。
通常情况下,用户并不直接和该层打交道,有些
甚至不知道有这一层存在。
所以,应该说snffer的危害是相当之大的,通常,使用sniffer是在网络中进行欺骗的开
始。
它可能造成的危害:
嗅探器能够捕获口令。
这大概是绝大多数非法使用sniffer的理由,sniffer可以记录到明文传送的userid和
passwd。
能够捕获专用的或者机密的信息。
比如金融帐号,许多用户很放心在网上使用自己的信用卡或现金帐号,
然而sniffer可以很轻松截获在网上传送的用户姓名、口令、信用卡号码、截止日期、帐号和pin。
比如偷窥机密或
5
敏感的信息数据,通过拦截数据包,入侵者可以很方便记录别人之间敏感的信息传送,或者干脆拦截整个的email
会话过程。
可以用来危害网络邻居的安全,或者用来获取更高级别的访问权限。
窥探低级的协议信息。
这是很可
怕的事,通过对底层的信息协议记录,比如记录两台主机之间的网络接口地址、远程网络接口ip地址、ip路由信息
和tcp连接的字节顺序号码等。
这些信息由非法入侵的人掌握后将对网络安全构成极大的危害,通常有人用sniffer
收集这些信息只有一个原因:
他正要进行一次欺骗(通常的ip地址欺骗就要求你准确插入tcp连接的字节顺序号),
如果某人很关心这个问题,那么sniffer对他来说只是前奏,今后的问题要大得多。
(对于高级的hacker而言,我想
这是使用sniffer的唯一理由吧)事实上,如果你在网络上存在非授权的嗅探器就意味着你的系统已经暴露在别人
面前了。
一般Sniffer只嗅探每个报文的前200到300个字节。
用户名和口令都包含在这一部分中,这是我们关心的真正
部分。
工人,也可以嗅探给定接口上的所有报文,如果有足够的空间进行存储,有足够的那里进行处理的话,将会
发现另一些非常有趣的东西⋯⋯
简单的放置一个嗅探器并将其放到随便什么地方将不会起到什么作用。
将嗅探器放置于被攻击机器或网络附近,这
样将捕获到很多口令,还有一个比较好的方法就是放在网关上。
sniffer通常运行在路由器,或有路由器功能的主机
上。
这样就能对大量的数据进行监控。
sniffer属第二层次的攻击。
通常是攻击者已经进入了目标系统,然后使用
sniffer这种攻击手段,以便得到更多的信息。
如果这样的话就能捕获网络和其他网络进行身份鉴别的过程。
6
二SnifferPro软件软件说明
1SnifferPro网络监控的几种模式
hosttable
图中不同颜色的区块代表了同一网段内与你的主机相连接的通信量的多少。
本例以IP地址为测量基准。
1.2monitorà
matrix
7
该兰色圆中的各点连线表明了当前处于活跃状态的点对点连接,也可通过将鼠标放在IP地址上点右键
à
showselectnodes查看特定的点对多点的网络连接,如下图,表示出与192.168.0.250相连接的IP地址。
1.3monitorà
protocoldistribution查看协议分布状态,可以看到不同颜色的区块代表不同的网络协议
8
1.4monitorà
dashboard
该表显示各项网络性能指标包括利用率、传输速度、错误率。
1.5monitor-sizedistribution
9
可以查看网络上传输包的大小比例分配。
applicationresponsetime
2SnifferPro抓包使用说明
2.1捕获数据包前的准备工作
在默认情况下,sniffer将捕获其接入碰撞域中流经的所有数据包,但在某些场景下,有些数据包可能不是我们
所需要的,为了快速定位网络问题所在,有必要对所要捕获的数据包作过滤。
Sniffer提供了捕获数据包前的过滤规
则的定义,过滤规则包括2、3层地址的定义和几百种协议的定义。
定义过滤规则的做法一般如下:
1、在主界面选择captureà
definefilter选项。
2、definefilterà
address,这是最常用的定义。
其中包括MAC地址、ip地址和ipx地址的定义。
以定义IP地址过滤为
例,见图1。
10
比如,现在要捕获地址为10.1.30.100的主机与其他主机通信的信息,在Mode选项卡中,选Include(选Exclude
选项,是表示捕获除此地址外所有的数据包);
在station选项中,在任意一栏填上10.1.30.100,另外一栏填上any
(any表示所有的IP地址)。
这样就完成了地址的定义。
注意到Dir.栏的图标:
表示,捕获station1收发的数据包;
表示,捕获station1发送的数据包;
表示,捕获station1收到的数据包。
最后,选取,将定义的规则保存下来,供以后使用。
3、definefilterà
advanced,定义希望捕获的相关协议的数据包。
如图2。
选择:
11
比如,想捕获FTP、NETBIOS、DNS、HTTP的数据包,那么说首先打开TCP选项卡,再进一步选协议;
还要明确DNS、
NETBIOS的数据包有些是属于UDP协议,故需在UDP选项卡做类似TCP选项卡的工作,否则捕获的数据包将不全。
如果不选任何协议,则捕获所有协议的数据包。
PacketSize选项中,可以定义捕获的包大小,图3,是定义捕获包大小界于64至128bytes的数据包。
图3
4、definefilterà
buffer,定义捕获数据包的缓冲区。
如图4:
12
Buffersize选项卡,将其设为最大40M。
Capturebuffer选项卡,将设置缓冲区文件存放的位置。
5、最后,需将定义的过滤规则应用于捕获中。
如图5:
图5
点选SelectFilterà
Capture中选取定义的捕获规则。
13
2.2捕获数据包时观察到的信息
选择“Captureà
Start”,启动捕获引擎。
sniffer可以实时监控主机、协议、应用程序、不同包类型等的分布情况。
如图6:
图6
Dashboard:
可以实时统计每秒钟接收到的包的数量、出错包的数量、丢弃包的数量、广播包的数量、多播包的数量
以及带宽的利用率等。
HostTable:
可以查看通信量最大的前10位主机。
Matrix:
通过连线,可以形象的看到不同主机之间的通信。
ApplicationResponseTime:
可以了解到不同主机通信的最小、最大、平均响应时间方面的信息。
HistorySamples:
可以看到历史数据抽样出来的统计值。
Protocoldistribution:
可以实时观察到数据流中不同协议的分布情况。
Switch:
可以获取cisco交换机的状态信息。
在捕获过程中,同样可以对想观察的信息定义过滤规则,操作方式类似捕获前的过滤规则。
14
2.3捕获数据包后的分析工作
要停止sniffer捕获包时,点选Captureà
Stop或者Captureà
StopandDisplay,前者停止捕获包,后者停止捕
获包并把捕获的数据包进行解码和显示。
如图7:
图7
Decode:
对每个数据包进行解码,可以看到整个包的结构及从链路层到应用层的信息,事实上,sniffer的使用中大
部分的时间都花费在这上面的分析,同时也对使用者在网络的理论及实践经验上提出较高的要求。
素质较高的使用
者借此工具便可看穿网络问题的结症所在。
Expert:
这是sniffer提供的专家模式,系统自身根据捕获的数据包从链路层到应用层进行分类并作出诊断。
其中
diagnoses提出非常有价值的诊断信息。
图8,是sniffer侦查到IP地址重叠的例子及相关的解析。
15
sniffer同样提供解码后的数据包过滤显示。
要对包进行显示过滤需切换到Decode模式。
Displayà
definefilter,定义过滤规则。
selectfilter,应用过滤规则。
显示过滤的使用基本上跟捕获过滤的使用相同。
2.4sniffer提供的工具应用
sniffer除了提供数据包的捕获、解码及诊断外,还提供了一系列的工具,包括包发生器、ping、traceroute、
DNSlookup、finger、whois等工具。
其中,包发生器比较有特色,将做简单介绍。
其他工具在操作系统中也有提供,不做介绍。
2.4.1包发生器使用介绍
包发生器提供三种生成数据包的方式:
点选
,新构一个数据包,包头、包内容及包长由用户直接填写。
图9,定义一个广播包,使其连续发送,包的发送延迟
位1ms
16
图9
发送在Decode中所定位的数据包,同时可以在此包的基础上对数据包进行如前述的修改。
,发送buffer中所有的数据包,实现数据流的重放。
见图10:
17
图10
可以定义连续地发送buffer中地数据包或只发送一次buffer中地数据包。
请特别注意,不要在运行的网络中重放
数据包,否则容易引起严重的网络问题。
数据包的重放经常用于实验环境中。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- sniffer 使用 教程
![提示](https://static.bdocx.com/images/bang_tan.gif)