Sniffer

Sniffer，中文可以翻譯為嗅探器，是一種基于被動(dòng)偵聽原理的網(wǎng)絡(luò)分析方式。使用這種技術(shù)方式，可以監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔ⅰ?

目錄

• 1 概述
  • 1.1 網(wǎng)絡(luò)技術(shù)與設(shè)備簡介
  • 1.2 網(wǎng)絡(luò)監(jiān)聽原理
  • 1.3 Snifffer的分類
  • 1.4 網(wǎng)絡(luò)監(jiān)聽的目的
• 2 Sniffer的擴(kuò)展應(yīng)用
  • 2.1 專用領(lǐng)域的Sniffer
  • 2.2 長期存儲的Sniffer應(yīng)用
  • 2.3 易于使用的Sniffer輔助系統(tǒng)
  • 2.4 無線網(wǎng)絡(luò)的Sniffer
• 3 OSI全協(xié)議七層解碼
• 4 相關(guān)條目

概述

• 當(dāng)信息以明文的形式在網(wǎng)絡(luò)上傳輸時(shí)，便可以使用網(wǎng)絡(luò)監(jiān)聽的方式來進(jìn)行攻擊。將網(wǎng)絡(luò)接口設(shè)置在監(jiān)聽模式，便可以將網(wǎng)上傳輸?shù)脑丛床粩嗟男畔⒔孬@。黑客們常常用它來截獲用戶的口令。據(jù)說某個(gè)骨干網(wǎng)絡(luò)的路由器曾經(jīng)被黑客攻入，并嗅探到大量的用戶口令。

網(wǎng)絡(luò)技術(shù)與設(shè)備簡介

• 在講述Sniffer的概念之前，首先需要講述局域網(wǎng)設(shè)備的一些基本概念。

• 數(shù)據(jù)在網(wǎng)絡(luò)上是以很小的稱為幀（Frame）的單位傳輸?shù)?，幀由幾部分組成，不同的部分執(zhí)行不同的功能。幀通過特定的稱為網(wǎng)絡(luò)驅(qū)動(dòng)程序的軟件進(jìn)行成型，然后通過網(wǎng)卡發(fā)送到網(wǎng)線上，通過網(wǎng)線到達(dá)它們的目的機(jī)器，在目的機(jī)器的一端執(zhí)行相反的過程。接收端機(jī)器的以太網(wǎng)卡捕獲到這些幀，并告訴操作系統(tǒng)幀已到達(dá)，然后對其進(jìn)行存儲。就是在這個(gè)傳輸和接收的過程中，嗅探器會(huì)帶來安全方面的問題。

• 每一個(gè)在局域網(wǎng)（LAN）上的工作站都有其硬件地址，這些地址惟一地表示了網(wǎng)絡(luò)上的機(jī)器（這一點(diǎn)與Internet地址系統(tǒng)比較相似）。當(dāng)用戶發(fā)送一個(gè)數(shù)據(jù)包時(shí)，這些數(shù)據(jù)包就會(huì)發(fā)送到LAN上所有可用的機(jī)器。

• 在一般情況下，網(wǎng)絡(luò)上所有的機(jī)器都可以“聽”到通過的流量，但對不屬于自己的數(shù)據(jù)包則不予響應(yīng)（換句話說，工作站A不會(huì)捕獲屬于工作站B的數(shù)據(jù)，而是簡單地忽略這些數(shù)據(jù)）。如果某個(gè)工作站的網(wǎng)絡(luò)接口處于混雜模式，那么它就可以捕獲網(wǎng)絡(luò)上所有的數(shù)據(jù)包和幀。

網(wǎng)絡(luò)監(jiān)聽原理

• Sniffer程序是一種利用以太網(wǎng)的特性把網(wǎng)絡(luò)適配卡（NIC，一般為以太網(wǎng)卡）置為雜亂（promiscuous）模式狀態(tài)的工具，一旦網(wǎng)卡設(shè)置為這種模式，它就能接收傳輸在網(wǎng)絡(luò)上的每一個(gè)信息包。
• 普通的情況下，網(wǎng)卡只接收和自己的地址有關(guān)的信息包，即傳輸?shù)奖镜刂鳈C(jī)的信息包。要使Sniffer能接收并處理這種方式的信息，系統(tǒng)需要支持BPF，Linux下需要支持SOCKET一PACKET。但一般情況下，網(wǎng)絡(luò)硬件和TCP/IP堆棧不支持接收或者發(fā)送與本地計(jì)算機(jī)無關(guān)的數(shù)據(jù)包，所以，為了繞過標(biāo)準(zhǔn)的TCP／IP堆棧，網(wǎng)卡就必須設(shè)置為混雜模式。

一般情況下，要激活這種方式，內(nèi)核必須支持這種偽設(shè)備Bpfilter，而且需要root權(quán)限來運(yùn)行這種程序，所以sniffer需要root身份安裝，如果只是以本地用戶的身份進(jìn)入了系統(tǒng)，那么不可能喚探到root的密碼，因?yàn)椴荒苓\(yùn)行Sniffer。

• 基于Sniffer這樣的模式，可以分析各種信息包并描述出網(wǎng)絡(luò)的結(jié)構(gòu)和使用的機(jī)器，由于它接收任何一個(gè)在同一（物理）網(wǎng)段上傳輸?shù)臄?shù)據(jù)包，所以也就存在著捕獲密碼、各種信息、秘密文檔等一些沒有加密的信息的可能性。這成為黑客們常用的擴(kuò)大戰(zhàn)果的方法，用來奪取其他主機(jī)的控制權(quán)

Snifffer的分類

• Sniffer分為軟件和硬件兩種，軟件的Sniffer有 NetXray、Packetboy、Net monitor等，其優(yōu)點(diǎn)是物美價(jià)廉，易于學(xué)習(xí)使用，同時(shí)也易于交流；缺點(diǎn)是無法抓取網(wǎng)絡(luò)上所有的傳輸，某些情況下也就無法真正了解網(wǎng)絡(luò)的故障和運(yùn)行情況。

• 硬件的Sniffer通常稱為協(xié)議分析儀，一般都是商業(yè)性的，價(jià)格也比較貴。

• 實(shí)際上本文中所講的Sniffer指的是軟件。它把包抓取下來，然后打開并查看其中的內(nèi)容，可以得到密碼等。Sniffer只能抓取一個(gè)物理網(wǎng)段內(nèi)的包，就是說，你和監(jiān)聽的目標(biāo)中間不能有路由或其他屏蔽廣播包的設(shè)備，這一點(diǎn)很重要。所以，對一般撥號上網(wǎng)的用戶來說，是不可能利用Sniffer來竊聽到其他人的通信內(nèi)容的。

網(wǎng)絡(luò)監(jiān)聽的目的

• 當(dāng)一個(gè)黑客成功地攻陷了一臺主機(jī)，并拿到了root權(quán)限，而且還想利用這臺主機(jī)去攻擊同一（物理）網(wǎng)段上的其他主機(jī)時(shí)，他就會(huì)在這臺主機(jī)上安裝Sniffer軟件，對以太網(wǎng)設(shè)備上傳送的數(shù)據(jù)包進(jìn)行偵聽，從而發(fā)現(xiàn)感興趣的包。如果發(fā)現(xiàn)符合條件的包，就把它存到一個(gè)LOG文件中去。通常設(shè)置的這些條件是包含字“username”或“password”的包，這樣的包里面通常有黑客感興趣的密碼之類的東西。一旦黑客截獲得了某臺主機(jī)的密碼，他就會(huì)立刻進(jìn)入這臺主機(jī)。

• 如果Sniffer運(yùn)行在路由器上或有路由功能的主機(jī)上，就能對大量的數(shù)據(jù)進(jìn)行監(jiān)控，因?yàn)樗羞M(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包都要經(jīng)過路由器。

Sniffer屬于第M層次的攻擊。就是說，只有在攻擊者已經(jīng)進(jìn)入了目標(biāo)系統(tǒng)的情況下，才能使用Sniffer這種攻擊手段，以便得到更多的信息。Sniffer除了能得到口令或用戶名外，還能得到更多的其他信息，比如一個(gè)重要的信息、在網(wǎng)上傳送的金融信息等等。Sniffer幾乎能得到任何在以太網(wǎng)上傳送的數(shù)據(jù)包。

• Sniffer是一種比較復(fù)雜的攻擊手段，一般只有黑客老手才有能力使用它，而對于一個(gè)網(wǎng)絡(luò)新手來說，即使在一臺主機(jī)上成功地編譯并運(yùn)行了Sniffer，一般也不會(huì)得到什么有用的信息，因?yàn)橥ǔ＞W(wǎng)絡(luò)上的信息流量是相當(dāng)大的，如果不加選擇地接收所有的包，然后從中找到所需要的信息非常困難；而且，如果長時(shí)間進(jìn)行監(jiān)聽，還有可能把放置Sniffer的機(jī)器的硬盤撐爆。

Sniffer的擴(kuò)展應(yīng)用

專用領(lǐng)域的Sniffer

• Sniffer被廣泛應(yīng)用到各種專業(yè)領(lǐng)域，例如FIX (金融信息交換協(xié)議)、MultiCast(組播協(xié)議)、3G (第三代移動(dòng)通訊技術(shù))的分析系統(tǒng)。其可以解析這些專用協(xié)議數(shù)據(jù)，獲得完整的解碼分析。

長期存儲的Sniffer應(yīng)用

• 由于現(xiàn)代網(wǎng)絡(luò)數(shù)據(jù)量驚人，帶寬越來越大。采用傳統(tǒng)方式的Sniffer產(chǎn)品很難適應(yīng)這類環(huán)境，因此誕生了伴隨有大量硬盤存儲空間的長期記錄設(shè)備。例如nGenius Infinistream等。

　　

易于使用的Sniffer輔助系統(tǒng)

• 由于協(xié)議解碼這類的應(yīng)用曲高和寡，很少有人能夠很好的理解各類協(xié)議。但捕獲下來的數(shù)據(jù)卻非常有價(jià)值。因此在現(xiàn)代意義上非常流行如何把協(xié)議數(shù)據(jù)采用最好的方式進(jìn)行展示，包括產(chǎn)生了可以把Sniffer數(shù)據(jù)轉(zhuǎn)換成Excel的BoneLight類型的應(yīng)用和把Sniffer分析數(shù)據(jù)進(jìn)行圖形化的開源系統(tǒng)PacketMap等。這類應(yīng)用使用戶能夠更簡明地理解Sniffer數(shù)據(jù)。

無線網(wǎng)絡(luò)的Sniffer

• 傳統(tǒng)Sniffer是針對有線網(wǎng)絡(luò)中的局域網(wǎng)而言，所有的捕獲原理也是基于CSMA/CD的技術(shù)實(shí)現(xiàn)。隨著WLAN的廣泛使用，Sniffer進(jìn)一步擴(kuò)展到802.11A/B/G/N的無線網(wǎng)絡(luò)分析能力。無線網(wǎng)絡(luò)相比傳統(tǒng)網(wǎng)絡(luò)無論從捕獲的原理和接入的方式都發(fā)生了較大改變。這也是Sniffer技術(shù)發(fā)展趨勢中非常重要的部分.

OSI全協(xié)議七層解碼

• Sniffer的軟件非常豐富，可以對在各種網(wǎng)絡(luò)上運(yùn)行的400多種協(xié)議進(jìn)行解碼，如TCP/IP、Novell Netware、DECnet、SunNFS、X-Windows、HTTP、TNS SLQ*Net v2(Oracle)、Banyan v5.0和v6.0、TDS/SQL(Sybase)、X.25、Frame Realy、PPP、Rip/Rip v2、EIGRP、APPN、SMTP等。還廣泛支持專用的網(wǎng)絡(luò)互聯(lián)橋/路由器的幀格式。

• Sniffer可以在全部七層OSI協(xié)議上進(jìn)行解碼，目前沒有任何一個(gè)系統(tǒng)可以做到對協(xié)議有如此透徹的分析；它采用分層方式，從最低層開始，一直到第七層，甚至對Oracle數(shù)據(jù)庫、SYBASE數(shù)據(jù)庫都可以進(jìn)行協(xié)議分析；每一層用不同的顏色加以區(qū)別。

• Sniffer對每一層都提供了Summary(解碼主要規(guī)程要素)、Detail(解碼全部規(guī)程要素)、Hex(十六進(jìn)制碼)等幾種解碼窗口。在同一時(shí)間，最多可以打開六個(gè)觀察窗口。

• Sniffer還可以進(jìn)行強(qiáng)制解碼功能(Protocl Forcing)，如果網(wǎng)絡(luò)上運(yùn)行的是非標(biāo)準(zhǔn)協(xié)議，可以使用一個(gè)現(xiàn)有標(biāo)準(zhǔn)協(xié)議樣板去嘗試解釋捕獲的數(shù)據(jù)。

• Sniffer提供了在線實(shí)時(shí)解碼分析和在線捕捉，將捕捉的數(shù)據(jù)存盤后進(jìn)行解碼分析二種功能。

相關(guān)條目

• WSockExpert
• 后門程序?