網(wǎng)絡(luò)嗅探技術(shù)ppt(參考版)
2024-10-21 19:22本頁面
【正文】 如圖 114所示。在重要的主機(jī)或者工作站上設(shè)置靜態(tài)的 ARP對應(yīng)表，比如 Windows 2021/XP系統(tǒng)使用 ARP命令設(shè)置，在交換機(jī)上設(shè)置靜態(tài)的 IPMAC對應(yīng)表等，防止利用欺騙手段進(jìn)行嗅探的手法。 ARP或者 IP－ MAC對應(yīng)表代替動(dòng)態(tài)的 ARP 或者 IP－ MAC對應(yīng)表 該措施主要是進(jìn)行滲透嗅探的防范，采用諸如 ARP欺騙手段能夠讓入侵者在交換網(wǎng)絡(luò)中順利完成嗅探。SSH的加密隧道保護(hù)的只是中間傳輸?shù)陌踩裕沟萌魏瓮ǔ５男崽焦ぞ哕浖o法獲取發(fā)送的內(nèi)容。身份鑒別完成之后，后面的所有流量都使用 IDEA進(jìn)行加密。 SSH有很多功能，它既可以代替 Tel，又可以為 FTP、 POP，甚至 PPP提供一個(gè)安全的 “ 通道 ” 。通過使用 SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密。傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序， SMTP、 HTTP、 FTP、 POP3和 Tel等在本質(zhì)上都是不安全的，因?yàn)樗鼈冊诰W(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，嗅探器非常容易就可以截獲這些口令和數(shù)據(jù)?？傊仨殞ふ乙环N友好的媒介，還要具有一定的用戶友好性。人為問題是指，有些用戶可能不喜歡加密，他們覺得這太麻煩。例如， 64位的 DES加密就可能不夠安全，而且并不是所有的應(yīng)用程序都集成了加密支持。在加密時(shí)有兩個(gè)主要的問題：一個(gè)是技術(shù)問題，一個(gè)是人為問題。另外配置它也不是一件簡單的事情。S/key可從以下網(wǎng)址得到： ftp： //。S/key的原理是遠(yuǎn)程主機(jī)已得到一個(gè)口令（這個(gè)口令不會在不安全的網(wǎng)絡(luò)中傳輸），當(dāng)用戶連接時(shí)會獲得一個(gè) “ 挑戰(zhàn) ” (challenge)信息，用戶將這個(gè)信息和口令經(jīng)過某種算法運(yùn)算，產(chǎn)生正確的 “ 響應(yīng) ” (response)信息（如果通訊雙方口令正確的話）。這種方法的優(yōu)點(diǎn)是明顯的：即使攻擊者嗅探到了數(shù)據(jù)，這些數(shù)據(jù)對他也是沒有用的。 會話加密提供了另外一種解決方案。網(wǎng)絡(luò)分段只適應(yīng)于中小的網(wǎng)絡(luò)。一般可以采用 20個(gè)工作站為一組，這是一個(gè)比較合理的數(shù)字。不使用 HUB而用交換機(jī)來連接網(wǎng)絡(luò)，就能有效地避免數(shù)據(jù)進(jìn)行泛播，也就是避免讓一個(gè)工作站接收與之不相關(guān)的數(shù)據(jù)。普通的嗅探器程序只是簡單地進(jìn)行數(shù)據(jù)的捕獲，因此需要杜絕網(wǎng)絡(luò)數(shù)據(jù)的泛播。我們可以通過靈活的運(yùn)用這些設(shè)備來進(jìn)行網(wǎng)絡(luò)分段。網(wǎng)絡(luò)分段需要昂貴的硬件設(shè)備。這就意味著，將網(wǎng)絡(luò)分段工作進(jìn)行得越細(xì)，嗅探器能夠收集的信息就越少。 完全主動(dòng)的解決方案很難找到 ， 我們可以采用一些被動(dòng)的防御措施： l 安全的拓?fù)浣Y(jié)構(gòu)； l 會話加密； l 用靜態(tài)的 ARP或者 IP－ MAC對應(yīng)表代替動(dòng)態(tài)的 ARP。 Sniffer的防范措施 嗅探器通常是難以被發(fā)現(xiàn)的 ， 因?yàn)樗潜粍?dòng)的程序 ， 一個(gè)老練的攻擊者可以輕易通過破壞日志文件來掩蓋信息 。將一個(gè) TDR連接到網(wǎng)絡(luò)上，能夠檢測到未授權(quán)的獲取網(wǎng)絡(luò)數(shù)據(jù)的設(shè)備。這種工具稱為時(shí)域反射計(jì)量器 (Time Domaio Reflectometer，TDR)。這里可以用： ifconfig le0檢查端口 .然后用： ＃ /usr/sbin/lsof test ＃ vi test 或 grep [打開的端口號 ] 檢測文件大小的變化 。 如果利用 lsof發(fā)現(xiàn)有文件的內(nèi)容不斷的增大 ， 我們就懷疑系統(tǒng)被嗅探 。 對于 SunOS、 和其它 BSD Unix系統(tǒng)可以使用 lsof來檢測嗅探器的存在 。 通過某些帶寬控制器，可以實(shí)時(shí)看到目前網(wǎng)絡(luò)帶寬的分布情況，如果某臺機(jī)器長時(shí)間的占用了較大的帶寬，這臺機(jī)器就有可能在監(jiān)聽。 如果你的網(wǎng)絡(luò)結(jié)構(gòu)正常 ，而又有 20％ － 30％ 數(shù)據(jù)包丟失以致數(shù)據(jù)包無法順暢的流到目的地 。證明你的網(wǎng)絡(luò)被嗅探有三種方法： 通過一些網(wǎng)管軟件 ， 可以看到信息包傳送情況 ， 最簡單是 ping命令 。 網(wǎng)絡(luò)嗅探防范技術(shù) 本節(jié)內(nèi)容 如何在網(wǎng)絡(luò)上發(fā)現(xiàn) Sniffer Sniffer的防范措施 如何在網(wǎng)絡(luò)上發(fā)現(xiàn) Sniffer 檢測嗅探器可以采用檢測混雜模式網(wǎng)卡的工具。并且在 FreeBSD、 Debian Linux、 Slackware Linux、 AIX、和 HPUX上也能運(yùn)轉(zhuǎn)得很好。 Dsniff是由 DugSong開發(fā)的。 TCPdump tcp port 23 host 將監(jiān)聽 IP地址為 23端口的通話。 例： TCPdump host 將監(jiān)聽 IP地址為 。amp。如果沒有指定任何協(xié)議，則 TCPdump將會監(jiān)聽所有協(xié)議的信息包。fddi指明是在 FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò) )上的特定的網(wǎng)絡(luò)協(xié)議，實(shí)際上它是“ ether”的別名， FDDI和 Ether具有類似的源地址和目的地址，所以可以將 FDDI協(xié)議包當(dāng)作 Ether的包進(jìn)行處理和分析。如果沒有指明方向關(guān)鍵字 ， 則缺省是 src or dst關(guān)鍵字 。 第二種是確定傳輸方向的關(guān)鍵字 ， 主要包括 src， dst， dst or src， dst and src， 這些關(guān)鍵字指明了傳輸?shù)姆较?。 在表達(dá)式中一般有如下幾種類型的關(guān)鍵字 ， 第一種是關(guān)于類型的關(guān)鍵字 ， 主要包括 host， ， port， 例如 host ， 指明 機(jī) ， 指明 ， port 23 指明端口號是 23。 表達(dá)式是一個(gè)條件表達(dá)式 ， TCPdump利用它作為過濾報(bào)文的條件 ， 如果一個(gè)報(bào)文滿足表達(dá)式的條件 ， 則這個(gè)報(bào)文將會被捕獲 。 Snoop Snoop默認(rèn)情況安裝在 Solaris下，是一個(gè)用于顯示網(wǎng)絡(luò)交通的程序。在這之后，很可能就會傳輸用戶的登錄名和口令字。網(wǎng)絡(luò)監(jiān)聽程序的人口參數(shù)其實(shí)非常簡單 ， 只要具有初步的網(wǎng)絡(luò)知識便可以正確地使用它們 。 想要使用有菜單的界面： sniffit： ~/ sniffit – i 網(wǎng)絡(luò)出現(xiàn)一些錯(cuò)誤 ， 想要查看控制消息： sniffit： ~/ sniffit – p icmp – b – s 將口令記錄在以 nnn開始的文件中 ， 可以用 cat nnn*來查看： sniffit： ~/ sniffit – p 23 – A . t 或者 sniffit： ~/ sniffit –p 23 –A ^ t
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1