【正文】 第 4章 網(wǎng)絡(luò)端口監(jiān)聽與端口掃描技術(shù) ? 本章提示 – 計算機網(wǎng)絡(luò)監(jiān)聽的概述 – ——Sniffer（嗅探器） – 端口掃描技術(shù) 計算機網(wǎng)絡(luò)監(jiān)聽的概述 隨著計算機技術(shù)的發(fā)展，網(wǎng)絡(luò)已日益成為生活中不可或缺的工具，但伴之而來的非法入侵也一直威脅著計算機網(wǎng)絡(luò)系統(tǒng)的安全。由于局域網(wǎng)中采用廣播方式，因此，在某個廣播域中可以監(jiān)聽到所有的信息包。而黑客通過對信息包進(jìn)行分析，就能獲取局域網(wǎng)上傳輸?shù)囊恍┲匾畔ⅰＪ聦嵣?，很多黑客入侵時都把局域網(wǎng)掃描和偵聽作為其最基本的步驟和手段，原因是想用這種方法獲取其想要的密碼等信息。但另一方面，我們對黑客入侵活動和其它網(wǎng)絡(luò)犯罪進(jìn)行偵查、取證時，也可以使用網(wǎng)絡(luò)監(jiān)聽技術(shù)來獲取必要的信息。因此，了解以太網(wǎng)監(jiān)聽技術(shù)的原理、實現(xiàn)方法和防范措施就顯得尤為重要。 所謂的網(wǎng)絡(luò)監(jiān)聽，是指主機網(wǎng)絡(luò)進(jìn)程接受到 IP數(shù)據(jù)包后，察看其的目標(biāo)端口是不是自己的端口號，如果是的話就接受該數(shù)據(jù)包進(jìn)行處理。進(jìn)行網(wǎng)絡(luò)通訊的主機，既要發(fā)送數(shù)據(jù)，也要接受數(shù)據(jù)，所以就要開啟相應(yīng)的端口以接受數(shù)據(jù)。一個網(wǎng)絡(luò)上的主機有可能開啟多個網(wǎng)絡(luò)進(jìn)程（如即瀏覽網(wǎng)頁又上 ），也就是監(jiān)聽了多個端口。 計算機網(wǎng)絡(luò)監(jiān)聽的概述 Ether協(xié)議的工作方式是將要發(fā)送的數(shù)據(jù)包發(fā)往連接在一起的所有主機。在包頭中包括有應(yīng)該接收數(shù)據(jù)包的主機的正確地址，因為只有與數(shù)據(jù)包中目標(biāo)地址一致的那臺主機才能接收到信息包，但是當(dāng)主機工作在監(jiān)聽模式下的話不管數(shù)據(jù)包中的目標(biāo)物理地址是什么，主機都將可以接收到。許多局域網(wǎng)內(nèi)有十幾臺甚至上百臺主機是通過一個電纜、一個集線器連接在一起的，在協(xié)議的高層或者用戶來看，當(dāng)同一網(wǎng)絡(luò)中的兩臺主機通信的時候，源主機將寫有目的的主機地址的數(shù)據(jù)包直接發(fā)向目的主機，或者當(dāng)網(wǎng)絡(luò)中的一臺主機同外界的主機通信時，源主機將寫有目的的主機IP地址的數(shù)據(jù)包發(fā)向網(wǎng)關(guān)。但這種數(shù)據(jù)包并不能在協(xié)議棧的高層直接發(fā)送出去，要發(fā)送的數(shù)據(jù)包必須從 TCP/IP協(xié)議的 IP層交給網(wǎng)絡(luò)接口，也就是所說的數(shù)據(jù)鏈路層。網(wǎng)絡(luò)接口不會識別 IP地址的。在網(wǎng)絡(luò)接口由 IP層來的帶有 IP地址的數(shù)據(jù)包又增加了一部分以太禎的禎頭的信息。在禎頭中，有兩個域分別為只有網(wǎng)絡(luò)接口才能識別的源主機和目的主機的物理地址這是一個 48位的地址，這個 48位的地址是與 IP地址相對應(yīng)的，換句話說就是一個 IP地址也會對應(yīng)一個物理地址。對于作為網(wǎng)關(guān)的主機，由于它連接了多個網(wǎng)絡(luò)，它也就同時具備有很多個 IP地址，在每個網(wǎng)絡(luò)中它都有一個。而發(fā)向網(wǎng)絡(luò)外的禎中繼攜帶的就是網(wǎng)關(guān)的物理地址。 (待續(xù) …) 計算機網(wǎng)絡(luò)監(jiān)聽的概述 Ether中填寫了物理地址的禎從網(wǎng)絡(luò)接口中，也就是從網(wǎng)卡中發(fā)送出去傳送到物理的線路上。如果局域網(wǎng)是由一條粗網(wǎng)或細(xì)網(wǎng)連接成的，那么數(shù)字信號在電纜上傳輸信號就能夠到達(dá)線路上的每一臺主機。再當(dāng)使用集線器的時候，發(fā)送出去的信號到達(dá)集線器，由集線器再發(fā)向連接在集線器上的每一條線路。這樣在物理線路上傳輸?shù)臄?shù)字信號也就能到達(dá)連接在集線器上的每個主機了。當(dāng)數(shù)字信號到達(dá)一臺主機的網(wǎng)絡(luò)接口時，正常狀態(tài)下網(wǎng)絡(luò)接口對讀入數(shù)據(jù)禎進(jìn)行檢查，如果數(shù)據(jù)禎中攜帶的物理地址是自己的或者物理地址是廣播地址，那么就會將數(shù)據(jù)禎交給 IP層軟件。對于每個到達(dá)網(wǎng)絡(luò)接口的數(shù)據(jù)禎都要進(jìn)行這個過程的。但是當(dāng)主機工作在監(jiān)聽模式下的話，所有的數(shù)據(jù)禎都將被交給上層協(xié)議軟件處理。 當(dāng)連接在同一條電纜或集線器上的主機被邏輯地分為幾個子網(wǎng)的時候，那么要是有一臺主機處于監(jiān)聽模式，它還將可以接收到發(fā)向與自己不在同一個子網(wǎng)（使用了不同的掩碼、 IP地址和網(wǎng)關(guān)）的主機的數(shù)據(jù)包，在同一個物理信道上傳輸?shù)乃行畔⒍伎梢员唤邮盏健? 在 UNIX系統(tǒng)上，當(dāng)擁有超級權(quán)限的用戶要想使自己所控制的主機進(jìn)入監(jiān)聽模式，只需要向 Interface（網(wǎng)絡(luò)接口）發(fā)送 I/O控制命令，就可以使主機設(shè)置成監(jiān)聽模式了。而在 Windows 9x的系統(tǒng)中則不論用戶是否有權(quán)限都將可以通過直接運行監(jiān)聽工具就可以實現(xiàn)了。 (待續(xù) …) 計算機網(wǎng)絡(luò)監(jiān)聽的概述 ? 當(dāng)連接在同一條電纜或集線器上的主機被邏輯地分為幾個子網(wǎng)的時候，那么要是有一臺主機處于監(jiān)聽模式，它還將可以接收到發(fā)向與自己不在同一個子網(wǎng)（使用了不同的掩碼、 IP地址和網(wǎng)關(guān)）的主機的數(shù)據(jù)包，在同一個物理信道上傳輸?shù)乃行畔⒍伎梢员唤邮盏健? ? 在 UNIX系統(tǒng)上，當(dāng)擁有超級權(quán)限的用戶要想使自己所控制的主機進(jìn)入監(jiān)聽模式，只需要向 Interface（網(wǎng)絡(luò)接口）發(fā)送 I/O控制命令，就可以使主機設(shè)置成監(jiān)聽模式了。而在 Windows 9x的系統(tǒng)中則不論用戶是否有權(quán)限都將可以通過直接運行監(jiān)聽工具就可以實現(xiàn)了。 ? 在網(wǎng)絡(luò)監(jiān)聽時，常常要保存大量的信息（也包含很多的垃圾信息），并將對收集的信息進(jìn)行大量的整理，這樣就會使正在監(jiān)聽的機器對其它用戶的請求響應(yīng)變的很慢。同時監(jiān)聽程序在運行的時候需要消耗大量的處理器時間，如果在這個時候就詳細(xì)的分析包中的內(nèi)容，許多包就會來不及接收而被漏走。所以監(jiān)聽程序很多時候就會將監(jiān)聽得到的包存放在文件中等待以后分析。分析監(jiān)聽到的數(shù)據(jù)包是很頭疼的事情。因為網(wǎng)絡(luò)中的數(shù)據(jù)包都非常之復(fù)雜。兩臺主機之間連續(xù)發(fā)送和接收數(shù)據(jù)包，在監(jiān)聽到的結(jié)果中必然會加一些別的主機交互的數(shù)據(jù)包。監(jiān)聽程序?qū)⑼?TCP會話的包整理到一起就相當(dāng)不容易了，如果你還期望將用戶詳細(xì)信息整理出來就需要根據(jù)協(xié)議對包進(jìn)行大量的分析。 Inter上那么多的協(xié)議，運行進(jìn)起的話這個監(jiān)聽程序?qū)值拇笈丁? (待續(xù) …) 現(xiàn)在網(wǎng)絡(luò)中所使用的協(xié)議都是較早前設(shè)計的，許多協(xié)議的實現(xiàn)都是基于一種非常友好的，通信的雙方充分信任的基礎(chǔ)。在通常的網(wǎng)絡(luò)環(huán)境之下，用戶的信息包括口令都是以明文的方式在網(wǎng)上傳輸?shù)?，因此進(jìn)行網(wǎng)絡(luò)監(jiān)聽從而獲得用戶信息并不是一件難點事情，只要掌握有初步的 TCP/IP協(xié)議知識就可以輕松的監(jiān)聽到你想要的信息的。前些時間美籍華人 Chinababble曾提出將望路監(jiān)聽從局域網(wǎng)延伸到廣域網(wǎng)中，但這個想法很快就被否定了。如果真是這樣的話我想網(wǎng)絡(luò)必將天下大亂了。而事實上現(xiàn)在在廣域網(wǎng)里也可以監(jiān)聽和截獲到一些用戶信息。只是還不夠明顯而已。在整個 Inter中就更顯得微不足道了。監(jiān)聽的協(xié)議分析 我們的研究從監(jiān)聽程序的編寫開始，用 Linux C語言設(shè)計實現(xiàn)。 以太網(wǎng)上數(shù)據(jù)幀的監(jiān)聽剖析 以太網(wǎng)上的數(shù)據(jù)幀主要涉及 Tcp/ip協(xié)議，針對以下幾個協(xié)議的分析： IP， ARP，RARP， IPX，其中重點在于 ip和 arp協(xié)議，這兩個協(xié)議是多數(shù)網(wǎng)絡(luò)協(xié)議的基礎(chǔ)，因此把他們研究徹底，就對大多數(shù)的協(xié)議的原理和特性比較清楚了。 由于各種協(xié)議的數(shù)據(jù)幀個不相同，所以涉及很多的數(shù)據(jù)幀頭格式分析，接下來將一一描述 . (待續(xù) …) 計算機網(wǎng)絡(luò)監(jiān)聽的概述 計算機網(wǎng)絡(luò)監(jiān)聽的概述 在 linux 下監(jiān)聽網(wǎng)絡(luò)，應(yīng)先設(shè)置網(wǎng)卡狀態(tài)，使其處于雜混模式以便監(jiān)聽網(wǎng)絡(luò)上的所有數(shù)據(jù)幀。然后選擇用 Linux socket 來截取數(shù)據(jù)幀，通過設(shè)置 socket() 函數(shù)參數(shù)值，可以使 socket截取未處理的網(wǎng)絡(luò)數(shù)據(jù)幀，關(guān)鍵是函數(shù)的參數(shù)設(shè)置，下面就是有關(guān)的程序部分： AF_INET=2 表示 inter ip protocol SOCK_PACKET=10 表示 截取數(shù)據(jù)幀的層次在物理層，既不作處理。 Htons(0x0003)表示 截取的數(shù)據(jù)幀的類型為不確定，既接受所有的包。 總的設(shè)定就是網(wǎng)卡上截取所有的數(shù)據(jù)幀。這樣就可以截取底層數(shù)據(jù)幀，因為返回的將是一個指向數(shù)據(jù)的指針，為了分析方便，我設(shè)置了一個基本的數(shù)據(jù)幀頭結(jié)構(gòu)。 Struct etherpacket {struct ethhdr eth。 struct iphdr ip。 struct tcphdr tcp。 char buff[8192]。} ep。 (待續(xù) …) 計算機網(wǎng)絡(luò)監(jiān)聽的概述 將返回的指針賦值給指向數(shù)據(jù)幀頭結(jié)構(gòu)的指針，然后對其進(jìn)行分析。以下是有關(guān)協(xié)議的報頭： ethhdr 這是以太網(wǎng)數(shù)據(jù)幀的 mac報頭： |48bit 目的物理地址 | 48bit 源物理地址 |