網(wǎng)絡(luò)嗅探技術(shù)ppt-文庫吧資料
2024-10-24 19:22本頁面
【正文】 下面是運行 sniffit的一個例子： sniffit – a – A . – p 23 – t . 入口參數(shù)的設(shè)置非常簡單 ， 為： a接收所有信息； A將不可打印字符用 “ .” 代替； p監(jiān)聽端口 23； t 目標(biāo)地址在 子網(wǎng)范圍 （ 可以只監(jiān)聽一臺主機(jī)或者是源主機(jī) ） 。 想要記錄從主機(jī) ： sniffit： ~/ sniffit – p 23 t 想要記錄到主機(jī) ftp服務(wù)： sniffit： ~/ sniffit – p 21 – l 0 – t 記錄所有發(fā)出和發(fā)往主機(jī) ： sniffit： ~/ sniffit p 25 l 0 b – t amp。 i：進(jìn)入交互模式 。 s：指定 Sniffer 檢查從 發(fā)送的數(shù)據(jù)包 。 P protocol： 選擇要檢查的協(xié)議 ， 缺省為 TCP。 p： 記錄連接到的包 ， 0為所有端口 。 s。 A： 在進(jìn)行記錄時 ， 所有不可打印的字符都可代替 。 而 Sniffit PRO版支持 Windows NT，也支持 WINDOWS 2021。而一個黑客完全可以利用這一點來進(jìn)行攻擊，使得 A發(fā)送給 B的數(shù)據(jù)直接發(fā)送給黑客。 IRDP協(xié)議的主要內(nèi)容就是告訴人們誰是路由器 ， 如果一個黑客利用 IRDP宣稱自己是路由器的情況是很糟糕的 ， 因為所有相信黑客的請求的機(jī)器都會把所有的數(shù)據(jù)都發(fā)送給黑客所控制的機(jī)器 。其關(guān)鍵技術(shù)是需要向 Switch發(fā)送偽造過的數(shù)據(jù)包，其中源 MAC地址對應(yīng)的是機(jī)器 C的 MAC地址，現(xiàn)在 Switch就把機(jī)器 C和你的端口對應(yīng)起來了。 the MAC address（偽造 MAC地址） 偽造 MAC地址也是一種常用的辦法，不過這要基于你網(wǎng)絡(luò)內(nèi)的 Switch是動態(tài)更新其地址表，這實際上和我們上面說到的 ARP Spoof 有些類似，只不過現(xiàn)在是想要 Switch相信你，而不是要機(jī)器 A相信你。 Flooding（ MAC地址溢出） 在上面我們曾經(jīng)提到過 ， Switch之所以能夠由數(shù)據(jù)包中目的 MAC地址判斷出他應(yīng)該把數(shù)據(jù)包發(fā)送到那一個端口上是根據(jù)自身維護(hù)的一張 ARP地址表 。 現(xiàn)在設(shè)想一下 ， 一個 Switch工作在數(shù)據(jù)鏈路層 ， 根據(jù)MAC地址來轉(zhuǎn)發(fā)他所接收的數(shù)據(jù)包 ， 而計算機(jī)維護(hù)的 ARP高速緩存卻是動態(tài)的 。 Spoof（ ARP欺騙） ARP Spoof攻擊的根本原理是因為計算機(jī)中維護(hù)著一個 ARP高速緩存 ， 并且這個 ARP高速緩存是隨著計算機(jī)不斷的發(fā)出 ARP請求和收到 ARP響應(yīng)而不斷的更新的 ， ARP高速緩存的目的是把機(jī)器的 IP地址和 MAC地址相互映射 （ 綁定 ） 。 在這個簡單的例子中，機(jī)器 B上的管理員如果很好奇，想知道究竟登陸機(jī)器C上 FTP口令是什么，要做的事情是很簡單的，僅僅需要把自己機(jī)器上的網(wǎng)卡置于混雜模式，即可接收數(shù)據(jù)，接著對接收到的數(shù)據(jù)幀進(jìn)行分析，從而可得到包含在數(shù)據(jù)幀中所想知道的信息。接下來數(shù)據(jù)幀送到了 HUB上，再由 HUB向每一個接點廣播由機(jī)器 A發(fā)出的數(shù)據(jù)幀，機(jī)器 B接收到由 HUB廣播發(fā)出的數(shù)據(jù)幀，并檢查在數(shù)據(jù)幀中的地址是否和自己的地址相匹配，發(fā)現(xiàn)不是發(fā)向自己的數(shù)據(jù)后就把這數(shù)據(jù)幀丟棄，不予理睬。首先機(jī)器 A上的管理員輸入的登陸機(jī)器 C的 FTP命令經(jīng)過應(yīng)用層 FTP協(xié)議、傳輸層 TCP協(xié)議、網(wǎng)絡(luò)層 IP協(xié)議、數(shù)據(jù)鏈路層上的以太網(wǎng)驅(qū)動程序一層一層的包裹，最后送到了物理層所連接的網(wǎng)線上。 值得注意的一點是機(jī)器 A、 B、 C使用一個普通的 HUB連接的 ，不是用 Switch， 也不是用 Router， 使用 Switch和 Router的情況要比這復(fù)雜得多 。這實際上就是我們 Sniff工作的基本原理：讓網(wǎng)卡接收一切能接收的數(shù)據(jù)。 這樣 ， 通過交換機(jī)的過濾和轉(zhuǎn)發(fā) ， 可以有效避免網(wǎng)絡(luò)廣播風(fēng)暴 ， 減少誤包和錯包的出現(xiàn) 。 舉例來說 ， 當(dāng) Switch接收到一個數(shù)據(jù)包之后 ， 根據(jù)自身保存的網(wǎng)絡(luò)地址表檢查數(shù)據(jù)包內(nèi)包含的發(fā)送方和接收方地址 。 與 HUB只是簡單地把所接收到的信號通過所有端口重復(fù)發(fā)送出去不同 ， Switch卻可以檢查每一個收到的數(shù)據(jù)包 ， 并對數(shù)據(jù)包進(jìn)行相應(yīng)的處理 。 CPU得到中斷信號產(chǎn)生中斷，操作系統(tǒng)就根據(jù)網(wǎng)卡的驅(qū)動程序設(shè)置的網(wǎng)卡中斷程序地址調(diào)用驅(qū)動程序接收數(shù)據(jù)，驅(qū)動程序接收數(shù)據(jù)后放入信號堆棧讓操作系統(tǒng)處理。 在正常的情況下 ， 一個網(wǎng)絡(luò)接口應(yīng)該只響應(yīng)下述的兩種數(shù)據(jù)幀來完成的： l 與自己硬件地址相匹配的數(shù)據(jù)幀； l 發(fā)向所有機(jī)器的廣播數(shù)據(jù)幀 。 我們知道，在以太網(wǎng)中，所有的通訊都是廣播方式，也就是說通常在同一個網(wǎng)段的所有網(wǎng)絡(luò)接口都可以接收在物理媒體上傳輸?shù)乃袛?shù)據(jù)，而每一個網(wǎng)絡(luò)接口都有一個唯一的硬件地址，這個硬件地址也就是網(wǎng)卡的 MAC地址， MAC使用的是 48比特的地址，這個地址用來表示網(wǎng)絡(luò)中的每一個設(shè)備，每塊網(wǎng)卡上的 MAC地址都是不同的。 幾乎可以在任何連接著的網(wǎng)絡(luò)上直接竊聽到你同一掩碼范圍內(nèi)的計算機(jī)網(wǎng)絡(luò)數(shù)據(jù) 。 因此 ，一個網(wǎng)絡(luò)竊聽程序也必須使用特定的網(wǎng)絡(luò)協(xié)議來分解嗅探到的數(shù)據(jù) ，嗅探器也就必須能夠識別出哪個協(xié)議對應(yīng)于這個數(shù)據(jù)片斷 ， 只有這樣才能夠進(jìn)行正確的解碼 。一個典型的在以太網(wǎng)中客戶與服務(wù)器使用 TCP/IP協(xié)議的通信如圖 111所示。 以太網(wǎng)采用廣播機(jī)制 ， 所有與網(wǎng)絡(luò)連接的工作站都可以看到網(wǎng)絡(luò)上傳遞的數(shù)據(jù) 。 載波監(jiān)聽 /沖突檢測 (CSMA/CD)技術(shù)被普遍的使用在以太網(wǎng)中 ， 所謂載波監(jiān)聽是指在以太網(wǎng)中的每個站點都具有同等的權(quán)利 ， 在傳輸自己的數(shù)據(jù)時 ，首先監(jiān)聽信道是否空閑 ， 如果空閑 ， 就傳輸自己的數(shù)據(jù) ， 如果信道被占用 ，就等待信道空閑 。 網(wǎng)關(guān)：主要工作在網(wǎng)絡(luò)第四層以上，主要實現(xiàn)收斂功能及協(xié)議轉(zhuǎn)換，不過很多時候網(wǎng)關(guān)都被用來描述任何網(wǎng)絡(luò)互連設(shè)備。 網(wǎng)橋：網(wǎng)橋使用 MAC物理地址實現(xiàn)中繼功能 ， 可以用來分隔網(wǎng)段或連接部分異種網(wǎng)絡(luò) ， 網(wǎng)橋工作在數(shù)據(jù)鏈路層 。 嗅探器可能造成的危害有： l 嗅探器能夠捕獲口令； l 能夠捕獲專用的或者機(jī)密的信息； l 可以用來危害網(wǎng)絡(luò)鄰居的安全，或者用來獲取更高級別
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1