以太网嗅探原理
信安实验报告1网络嗅探实验
实验一网络嗅探实验一、简单阐述实验原理网络嗅探器Sniffer的原理网卡有几种接收数据帧的状态：unicast（接收目的地址是本级硬件地址的数据帧），Broadcast （接收所有类型为广播报文的数据帧），multicast（接收特定的组播报文），promiscuous （目的硬件地址不检查，全部接收）以太网逻辑上是采用总线拓扑结构，采用广播通信方式，数据传输是依靠帧中的MAC地址来寻找目的主机。
每个网络接口都有一个互不相同的硬件地址（MAC地址），同时，每个网段有一个在此网段中广播数据包的广播地址一个网络接口只响应目的地址是自己硬件地址或者自己所处网段的广播地址的数据帧，丢弃不是发给自己的数据帧。
但网卡工作在混杂模式下，则无论帧中的目标物理地址是什么，主机都将接收通过Sniffer工具，将网络接口设置为“混杂”模式。
可以监听此网络中传输的所有数据帧。
从而可以截获数据帧，进而实现实时分析数据帧的内容。
数据传输有两种方式：主动和被动模式。
关于被动模式与主动模式书上这么解释来着。
客户端与服务器建立控制连接后，要告诉服务器采用哪种文件传输模式。
FTP提供了两种传输模式，一种是Port（主动模式），一种是Passive被动模式。
这个主被动指的是服务器端。
主动，是指服务器端主动向客户端发起数据连接请求，那么此时服务器端要用自己的一个固有端口一般是20去监听客户端。
整个过程是这样的，客户端在最初会用一个端口3716向服务器端的21发起控制连接请求（应该是在握手后中确定的吧），连接成功后，在发送port 3716+1，告诉服务服务器端坚定3717，那么服务器端就会用数据端口，一般是20与3717建立连接（这就是主动进行数据连接）。
服务器端利用自己的20与客户端 3717来文件的数据传送通信，利用21和客户端最初的端口3616进行用户验证和管理。
而被动模式，是服务器端被动的接受客户端的数据连接请求，这个端口号是由客户端告知服务器端的，在本地随机生成（1025-65535）。
网络嗅探、抓包工具、集线器、交换机和路由器介绍
网络嗅探定义：网络嗅探是指利用计算机的网络接口截获其它计算机的数据报文的一种手段。
嗅探的原理：要知道在以太网中，所有的通讯都是广播的，也就是说通常在同一个网段的所有网络接口都可以访问在物理媒体上传输的所有数据，而每一个网络接口都有一个唯一的硬件地址，这个硬件地址也就是网卡的MAC地址，大多数系统使用48比特的地址，这个地址用来表示网络中的每一个设备，一般来说每一块网卡上的MAC地址都是不同的，每个网卡厂家得到一段地址，然后用这段地址分配给其生产的每个网卡一个地址。
在硬件地址和IP地址间使用ARP和RARP协议进行相互转换。
在正常的情况下，一个网络接口应该只响应这样的两种数据帧：1.与自己硬件地址相匹配的数据帧。
2.发向所有机器的广播数据帧。
在一个实际的系统中，数据的收发是由网卡来完成的，网卡接收到传输来的数据，网卡内的单片程序接收数据帧的目的MAC地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，认为该接收就接收后产生中断信号通知CPU，认为不该接收就丢掉不管，所以不该接收的数据网卡就截断了，计算机根本就不知道。
CPU得到中断信号产生中断，操作系统就根据网卡的驱动程序设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号堆栈让操作系统处理。
而对于网卡来说一般有四种接收模式：①广播方式：该模式下的网卡能够接收网络中的广播信息。
②组播方式：设置在该模式下的网卡能够接收组播数据。
③直接方式：在这种模式下，只有目的网卡才能接收该数据。
④混杂模式：在这种模式下的网卡能够接收一切通过它的数据，而不管该数据是否是传给它的。
好了，现在我们总结一下，首先，我们知道了在以太网中是基于广播方式传送数据的，也就是说，所有的物理信号都要经过我的机器，再次，网卡可以置于一种模式叫混杂模式（promiscuous），在这种模式下工作的网卡能够接收到一切通过它的数据，而不管实际上数据的目的地址是不是他。
网络嗅探的原理
网络嗅探的原理网络嗅探的原理在介绍Sniffer是怎样工作之前，首先需要明确的一点就是，我们无法在网络上找到一点，对计算机网络上的所有的通信进行监听。
这是因为Internet的连接看起来就像渔民的渔网，通信只是流经一个网眼，没有一个点能看到所有的网眼。
Internet被建设成为是“抗中心打击”的——它可以经受任何的“单点失败”。
因此，这就阻止了单点的监听。
通常在同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力，而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其他网络接口的硬件地址，同时，每个网络至少还要一个广播地址。
在正常情况下，一个合法的网络接口应该只响应这样的两种数据帧：帧的目标区域具有和本地网络接口相匹配的硬件地址，或者是帧的目标区域具有“广播地址”。
在接受到上面两种情况的数据包时，网卡通过CPU产生一个硬件中断，该中断能引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理。
而Sniffer就是一种能将本地网卡状态设成promiscuous（混杂）状态的软件，当网卡处于这种“混杂”方式时，该网卡具备“广播地址”，它对所有遭遇到的每一个帧都产生一个硬件中断，以便提醒操作系统处理流经该物理媒体上的每一个报文包（绝大多数的网卡具备置成promiscuous方式的能力）。
可见，Sniffer工作在网络环境中的底层，它会拦截所有正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。
值得注意的是，Sniffer 是不易发现的、被动的安全攻击。
我们通过以下的例子来讨论Sniffer的工作原理：这个问题可以在以下的情境中来问：A和B在上海并且正在用电话聊天，你位于北京，想听到他们之间的谈话。
在这种情况下，你当然听不到A和B之间的谈话，甚至可以说是根本就没有这个可能。
为了听到他们之间的聊天，你必须能访问这个通信所在的线路。
网络嗅探器3篇
网络嗅探器网络嗅探器是一种网络安全工具，可以监听、捕捉和分析网络数据包，用于发现网络中的漏洞和安全问题。
本文将从网络嗅探器的原理、使用方法和应用场景三个方面来介绍网络嗅探器。
一、网络嗅探器的原理网络嗅探器的原理是通过监听网络通信，捕捉网络数据包，并对其进行分析。
其基本工作原理可以概括为以下几点：1. 网络嗅探器通过网络接口卡（NIC）来读取网络数据包。
2. 当数据包到达网卡时，嗅探器会复制一份数据包，然后将其传输到嗅探器中。
3. 嗅探器将捕获到的数据包分解成协议层次，以便更好的分析。
4. 嗅探器将分析数据包的内容，并记录下其中的关键信息。
5. 最后，嗅探器会将分析结果返回给用户，以帮助他们识别网络漏洞和安全问题。
网络嗅探器的工作原理虽然简单，但其使用需要一定的技能和知识。
因此，用户需要花费一些时间学习并掌握网络嗅探器的使用方法。
二、网络嗅探器的使用方法1. 安装网络嗅探器首先，需要下载并安装网络嗅探器。
常见的网络嗅探器有Wireshark和Tcpdump等，这些工具都可从官方网站上免费下载。
2. 选择需要监听的网卡安装完成后，需要选择要监听的网络接口卡（NIC）。
用户可以在嗅探器界面上选择需要监听的网卡。
一般来说，用户需要选择与其所使用的网络环境相对应的网卡。
3. 分析网络数据包成功选择网卡后，用户可以开始分析网络数据包了。
为了提高分析效率，用户可以根据需要进行过滤，比如只监控某个IP地址或端口等信息。
4. 查找网络漏洞当找到一个网络包时，网络嗅探器会对其进行分析，并提供相关的信息。
用户可以利用这些信息来查找网络漏洞，并采取相应的措施。
5. 提高嗅探器的可用性为了提高嗅探器的可用性，用户可以在嗅探器界面上设置相关的参数，比如数据包缓冲区大小、捕获窗口大小等。
这些参数可以帮助用户找到更多的网络漏洞和安全问题。
三、网络嗅探器的应用场景网络嗅探器在网络安全领域中有着广泛的应用场景。
以下是几个常见的应用场景：1. 监听网络流量网络嗅探器可以帮助管理员监控网络流量，了解网络使用情况，并识别潜在的网络攻击。
网络嗅探器
网络嗅探器网络嗅探器是一种通过监听互联网上的数据流量来提取有价值信息的软件工具。
它通常用于网络安全、网络监控、网络调试等应用场景。
在本文中，我们将介绍网络嗅探器的原理、工作方式、应用场景和安全风险。
一、网络嗅探器的原理网络嗅探器主要依赖于三个基本原理：ARP协议、IP协议和TCP协议。
ARP是地址解析协议，它将网络层的IP地址映射到数据链路层的MAC地址。
当数据帧从一台计算机去往另一台计算机时，它需要知道目标计算机的MAC地址。
ARP就是解决这个问题的协议。
IP协议是Internet协议的简称，它定义了互联网的地址规范和路由规则。
IP协议将数据分成若干个数据包（也称IP 包），每个包包含源IP地址、目标IP地址和数据。
当一个数据包到达路由器时，路由器会查找路由表，确定数据包应该向哪条路径发送。
TCP协议是传输控制协议的简称，它定义了可靠的、有序的、基于连接的数据传输。
TCP将数据分成若干个数据段（也称TCP段），每个段包含序号、确认号、数据和控制信息。
TCP会对数据的发送和接收进行可靠性检查，确保数据的完整性和顺序性。
基于以上三个原理，网络嗅探器可以捕获和解析网络数据包，提取其中的有用信息。
它可以截获数据包并提取其中的源IP地址、目标IP地址、源端口号、目标端口号、协议类型、数据内容等信息。
一般而言，网络嗅探器可以支持以下类型的协议：1. ARP协议2. IP协议3. ICMP协议4. TCP协议5. UDP协议6. HTTP协议7. FTP协议二、网络嗅探器的工作方式网络嗅探器通常有两种工作方式：混杂模式和非混杂模式。
混杂模式是一种特殊的工作模式，它允许网络嗅探器能够监听所有经过网络接口的数据包，不论它们是否是目标接口的地址。
非混杂模式是一种相对保守的工作模式，它只能监听目标接口的网络数据包。
因此，在非混杂模式下，网络嗅探器通常需要在网络接口上设置一个过滤器，以保证它只截获有用的数据包，从而提高效率。
以太网监听技术分析报告
以太网监听技术分析报告以太网监听技术原理：以太网嗅探原理以太网环境下的嗅探本身是比较简单的，只要网卡能设置成混杂模式且有数据包到达网卡，则可用多种方法捕获数据包并进行各种协议分析。
在LINUX下可用RAW套接字，SOCK_PACKET套接字，LIBPCAP函数包等方法捕获数据包，典型的应用程序如TCPDUMP，LINUX_SNIFFER等。
在共享型以太网中，上述两个条件显然是满足的。
所有的主机都连接到HUB，而HUB 对数据包传输形式是广播。
这意味着发给某个主机的数据包也会被其它所有主机的网卡所收到。
因此在这样的环境中，任何设置成混杂模式的主机，都可以捕获发送给其它主机的数据包，从而窃听网络上的所有通信。
在交换型以太网中，上述条件2是不满足的。
所有的主机连接到SWITCH，SWITCH 比HUB更聪明，它知道每台计算机的MAC地址信息和与之相连的特定端口，发给某个主机的数据包会被SWITCH从特定的端口送出，而不是象HUB那样，广播给网络上所有的机器。
这种传输形式使交换型以太网的性能大大提高，同时还有一个附加的作用：使传统的嗅探器无法工作。
以太网监听实验（一）将PC机挂在局域网中，是无法监听到目标地址不是本机网卡的信息包。
如下图：目标地址主机中：只有目标地址是本机IP的信息包到达。
HUB隔离了目标地址不是本机地址的数据包。
（二）在正在运行的PC机和HUB之间用一个三口以态网来监听网络，如下结构图：在这种状态下，监听PC会影响PC正常的网络连接，PC无法正常通过网口与外界联系。
将监听PC的SEND线减断，如下图：可能出现以下几种状况:(一)最常见的状况这时监听PC无法监听到PC的TCP数据包，但是可以监听到PC的UDP数据包。
此时被监听的PC机不能联网，如下图：(二)短时间内监听到TCP包偶尔也会监听到TCP包，但是过一段时间后，被监测PC与网络连接失败。
变成第一种状态。
结论：在现有的条件下，只要监测主机与被监测PC通过3口以太网物理连接着，被监测PC就无法获得IP地址，因此无法连接网络。
网络嗅探器的工作原理
网络嗅探器的工作原理随着网络技术的不断进化和普及，人们使用网络的频率越来越高。
网络安全问题也日益受到重视，为了保障网络安全，网络嗅探器应运而生。
网络嗅探器是一种被广泛应用于网络管理、网络安全等领域的工具，它可以对网络数据包进行抓取、分析和查询，从而帮助管理员监控网络、检测网络中的安全隐患。
本文就是要介绍网络嗅探器的工作原理。
一、网络嗅探器的基本原理网络嗅探器是一种软件工具，主要用于抓取和分析网络数据包。
网络数据包是在网络中流动的载体，其中包含了各种信息，比如网址、IP、端口和数据等。
网络嗅探器利用网络适配器（网卡）和操作系统提供的底层 API，通过监听网络传输的原始数据包，并对数据包进行分析，从而提取出其中的重要信息。
网络嗅探器的基本工作流程如下：1. 打开网络适配器并指定分析的数据包类型（例如，IP、TCP、UDP、ICMP等）和过滤规则：网络嗅探器首先需要打开一个适配器，并且指定要分析的数据包类型。
根据实际需要，管理员可以选择不同的适配器和分析模式。
例如，在 Windows 系统中，可以通过 WinPCap 库实现网络嗅探功能，WinPCap 提供了捕获和处理网络数据包的 API 接口，用户可以通过这些接口实现对数据包的分析。
通过设置过滤规则，可以帮助用户只抓取指定类型的网络数据包，并排除无关的数据包，从而减少抓包数据量，提高分析效率。
2. 监听网络数据包并进行抓取和分析：网络嗅探器的第二个重要任务是监听网络数据流，并抓取要分析的数据包。
当数据包被捕获后，嗅探器会对其进行解码和解析，还原出 IP 头、TCP 头或 UDP 头等数据内容，从而得到数据包中包含的重要信息，如 IP 地址、源目标端口、协议类型等。
对于加密或压缩过的数据包，网络嗅探器无法直接处理，需要对其进行解密和解压缩处理后才能进行分析。
3. 分析抓包数据、生成统计信息并输出结果：网络嗅探器的第三个任务是对抓包数据进行分析并输出结果。
网络嗅探原理
网络嗅探原理网络嗅探是指通过监听网络数据包来获取网络通信信息的一种技术手段。
它能够帮助网络管理员监控网络流量、发现网络安全问题，同时也可以用于网络分析、性能优化和故障排查。
在实际应用中，网络嗅探技术发挥着重要的作用，下面我们将介绍网络嗅探的原理和实现方式。
首先，网络嗅探利用的是网络数据包的传输原理。
在计算机网络中，数据是以数据包的形式进行传输的，而网络嗅探就是通过监听这些数据包来获取网络通信的信息。
在数据包中，包含了发送方和接收方的IP地址、端口号、数据内容等信息，通过解析这些数据包，就可以获取网络通信的详细信息。
其次，网络嗅探依赖于网络接口的混杂模式。
网络接口的混杂模式是指网卡可以接收所有经过它的数据包，而不仅仅是发往自己的数据包。
通过将网卡设置为混杂模式，就可以实现对整个网络数据包的监听和捕获，从而实现网络嗅探的功能。
此外，网络嗅探还需要借助相应的软件工具来实现。
常见的网络嗅探工具有Wireshark、Tcpdump等，这些工具能够帮助用户捕获网络数据包，并对数据包进行解析和分析，从而获取网络通信的相关信息。
在实际应用中，网络嗅探可以用于多种场景。
首先，它可以用于网络安全监控，通过对网络数据包的监听和分析，及时发现网络攻击、异常流量等安全问题。
其次，网络嗅探可以用于网络性能优化，通过分析网络通信的情况，找出网络瓶颈和性能问题，从而进行优化。
另外，网络嗅探还可以用于网络故障排查，通过分析网络数据包的传输情况，找出网络故障的原因，加快故障排查的速度。
总的来说，网络嗅探是一种重要的网络技术手段，它通过监听网络数据包来获取网络通信的信息，能够帮助用户进行网络安全监控、性能优化和故障排查。
在实际应用中，需要借助网络接口的混杂模式和相应的软件工具来实现网络嗅探的功能。
希望本文对网络嗅探的原理和实现方式有所帮助，让读者对网络嗅探有更深入的了解。
嗅探的原理
嗅探的原理
嗅探指窃听网络中流经的数据包，这里的网络一般指用集线器或路由器组建的局域网。
通过嗅探并解析数据包，便可知道数据包中的信息，一旦含有账户密码等隐私信息就可能造成个人资金损失。
嗅探数据包无法通过输入命令实现，需要使用专业的工具。
嗅探原理是指让安装了嗅探工具的计算机能够接收局域网中所有计算机发出的数据包，并对这些数据包进行分析。
局域网中，数据包会广播到所有主机的网络接口，在没有使用嗅探工具之前，计算机网卡只会接收发给自己的数据包，但安装了嗅探工具后，计算机则能接收所有流经本地计算机的数据包，从而实现监听。
嗅探工具不仅适合黑客用，而且适合网络管理员和码农使用。
对黑客而言，嗅探工具可以监听网络中所有的数据包，通过分析这些数据包达到窃取他人隐私信息的目的；而对网络管理员和码农来说，嗅探工具则是用于找出网络堵塞的原因或调试程序。
网络嗅探原理
网络嗅探原理网络嗅探是一种通过监视网络通信流量来获取信息的技术。
它可以用于网络安全监控、流量分析、网络故障诊断等领域。
网络嗅探器通常是一种软件或硬件设备，能够捕获经过网络的数据包，并对其进行分析。
在本文中，我们将深入探讨网络嗅探的原理以及其在网络管理和安全领域的应用。
首先，让我们来了解一下网络嗅探的基本原理。
网络嗅探器通常工作在网络的数据链路层或网络层，它可以监听经过网络的数据包，并提取其中的信息。
在数据链路层，网络嗅探器可以直接访问网络接口，捕获经过网络的所有数据包；而在网络层，它可以通过监听网络中的路由器或交换机来获取数据包。
一旦捕获到数据包，网络嗅探器就可以对其进行解析和分析，从中提取出所需的信息。
网络嗅探器可以通过多种方式来捕获数据包。
其中最常见的方式是使用混杂模式（promiscuous mode）来监听网络接口。
在混杂模式下，网络接口可以接收经过网络的所有数据包，而不仅仅是目标地址是自己的数据包。
这样一来，网络嗅探器就可以捕获到网络中的所有数据包，无论其目的地是不是自己。
一旦捕获到数据包，网络嗅探器就可以对其进行分析。
它可以提取出数据包中的源地址、目的地址、协议类型、数据长度等信息，并根据这些信息来进行进一步的处理。
例如，网络嗅探器可以根据数据包中的源地址和目的地址来进行流量分析，以便识别出网络中的流量模式和异常行为；它还可以根据数据包中的协议类型和数据长度来进行协议识别，以便对网络通信进行深入分析。
在网络管理和安全领域，网络嗅探器有着广泛的应用。
它可以用于监控网络流量，及时发现网络中的异常行为和安全威胁；它还可以用于分析网络性能，帮助网络管理员及时发现和解决网络故障。
此外，网络嗅探器还可以用于实时监控网络通信，对网络中的恶意流量进行检测和防御。
总之，网络嗅探是一种重要的网络技术，它可以帮助我们监控网络流量、分析网络性能、发现网络安全威胁。
通过深入了解网络嗅探的原理和应用，我们可以更好地保障网络的安全和稳定运行。
网络嗅探的原理分析
嗅探也称“网络监听”或“网络分析”，这是一个对于新手显得比较神秘的领域。
起初，网络监听通常被网络管理员用于在以太网中监测传输的网络数据，它在排除网络故障等方面起到了重要的作用。
后来，有一些人发现网络监听可以用于口令监听等敏感数据的截获，于是开始将这种技术引人到了黑客领域，进而就给以太网的安全带来了极大的隐患。
我们可以把网络监听想象成“电气工程师使用万用表测量电流、电压和电阻”的工作，在看似无迹可循的电流中也有着这样或是那样令人感兴趣的数据。
同样的道理，在网络中流动的数据里也可以通过专业的工具找出各种有用的数据，比方说密码。
在1994年2月，相继发生了几次大的安全事件，一个不知名的人在众多的主机和骨干网络设备上安装了网络监听软件，利用它对美国骨干互联网和军方网窃取了超过100，000个有效的用户名和口令。
上述事件可能是互联网上最早期的大规樓的网络监听事件了，它使早期网络监听从“地下”走向了公开，并迅速地在大众中普及开来。
在网络监听引起人们普遍注意后，很多疑问随之而生，如： *我可以监听Internet中任意电脑的数据吗? *我可以使用交換机来解决网络监听问题吗? *是不是监听的数据都是明文的? 其实，之所以产生这些疑惑，都是因为对网络监听技术的基本知识不了解导致的。
要了解网络监听，首先需要知道如下网络传输组成： *每台电脑都是通过网卡进行数据传输; *每块网卡都需要安装专用的驱动程序才能使用; *每块网卡都有独自的mac地址; *电脑之间需要使用TCP/IP协议进行通信; *网卡都会自动或手工綁定一个IP地址。
网卡有数种用于接收数据帧的状态，如unicast,broadcast,multicast、promiscuous,它们的含义是： *广播摸式：可以接受网络里的广播信息。
*直接槟式：只能接受目的地址是本机的数搪包，其它的统统被忽略。
*多播槟式：可以接受特定的多播数据。
*混杂樓式：就是我们今天要讲的主角，在这种模式下，只要流经网卡的数据都将被截获。
第1课 嗅探原理与Sniffer Pro
Sniffer的用途
• Sniffer是一种常用的收集有用数据的方法，攻击者可 以用它来捕获用户在网络中传输的用户名和密码等机 密数据，网管员用它来监测本地网络，解决网络故障， 软件总是没有问题的，关键是看用软件的人要做什么。 • Sniffer通常运行在路由器或者具有路由功能的主机上 （网关），这样就能对大量的数据进行监控。 • Sniffer属于第二层的攻击，通常是攻击者在已经进入 了目标系统网络的情况下，用于更多的信息。
局域网安全与嗅探
第一课 嗅探原理与Sniffer Pro
网络数据传输
• 数据在网络上以“帧”为单位进行传输。帧由多 个部分组为，不同的部分对应不同的信息，从而 实现相应的功能。以太网帧的前12个字节存放的 是源地址和目的地址，这些地址告诉网络该帧的 来源和去处。 • 帧是根据通信所使用的协议，由网络驱动程序按 照一定的规则生成的，然后通过网卡发送到网络 中，通过有线或无线的介质传递给目标主机。
监听的可能性
• 不同传输介质网络的可监听性是不同的，广播型网络非常 容易被监听。 • 一般来说，以太网被监听的可能性比较高，因为以太网是 一个广播型的网络。 • 光纤令牌环网被监听的可能性也比较高，尽管它并不是一 个广播型的网络，但带有令牌的那些帧在传输过程中平均 要经过一半的计算机。 • 微波和无线网被监听的可能性同样比较高，因为无线电本 身就是一个广播型的传输媒介。 • 路由网络被监听的可能性相对较小，因为路由转发协议使 得数据包可以不通过广播直接发送到指定的主机上。
Sniffer分类
• 在实际应用中的Sniffer主要分为软、硬件两种： • 软件Sniffer优点在于价格便宜、易于使用，缺点 是无法抓取网络上所有的传输信息，在某些情况 下可能无法真正了解网络的故障及运行情况。 • 硬件Sniffer通常被本功能，软件Sniffer 的缺点它几乎都不存在。
Sniffer含义及工作原理
一.有关sniffer及sniffer的含义sniffers(嗅探器)几乎和internet有一样久的历史了.Sniffer是一种常用的收集有用数据方法，这些数据可以是用户的帐号和密码，可以是一些商用机密数据等等。
随着Internet及电子商务的日益普及,Internet的安全也越来越受到重视。
在Internet安全隐患中扮演重要角色之一的Sniffer以受到越来越大的关注，所以今天我要向大家介绍一下介绍Sniffer以及如何阻止sniffer。
大多数的黑客仅仅为了探测内部网上的主机并取得控制权，只有那些"雄心勃勃"的黑客，为了控制整个网络才会安装特洛伊木马和后门程序，并清除记录。
他们经常使用的手法是安装sniffer。
在内部网上，黑客要想迅速获得大量的账号（包括用户名和密码），最为有效的手段是使用"sniffer" 程序。
这种方法要求运行Sniffer 程序的主机和被监听的主机必须在同一个以太网段上，故而在外部主机上运行sniffer是没有效果的。
再者，必须以root的身份使用sniffer 程序，才能够监听到以太网段上的数据流。
谈到以太网sniffer，就必须谈到以太网sniffing。
那么什么是以太网sniffer呢?以太网sniffing是指对以太网设备上传送的数据包进行侦听，发现感兴趣的包。
如果发现符合条件的包，就把它存到一个log文件中去。
通常设置的这些条件是包含字"username"或"password"的包。
它的目的是将网络层放到promiscuous模式，从而能干些事情。
Promiscuous模式是指网络上的所有设备都对总线上传送的数据进行侦听，并不仅仅是它们自己的数据。
根据第二章中有关对以太网的工作原理的基本介绍，可以知道：一个设备要向某一目标发送数据时，它是对以太网进行广播的。
一个连到以太网总线上的设备在任何时间里都在接受数据。
sniffer工作的基本原理
sniffer工作的基本原理Sniffer工作的基本原理Sniffer，也被称为网络嗅探器或数据包嗅探器，是一种用于捕获和分析网络数据包的工具。
它可以监听网络上的数据流量，并提供一种方法来分析和识别通过网络传输的数据。
那么，Sniffer工作的基本原理是什么呢？我们需要了解数据包是什么。
数据包是计算机网络中传输的基本单位，它包含了发送和接收数据的相关信息。
数据包通常由首部和载荷组成。
首部包含了控制信息，如源IP地址、目标IP地址、协议类型等。
载荷则是实际传输的数据。
Sniffer工具通过嗅探网络接口上的数据包来进行工作。
它可以捕获网络上的所有数据包，无论是从本地主机发送还是接收的。
Sniffer 的工作原理可以分为以下几个步骤：步骤一：网络接口的监听Sniffer工具通过打开网络接口的监听模式，可以捕获经过该接口的所有数据包。
它可以监听以太网、无线网卡等不同类型的网络接口。
步骤二：数据包的捕获一旦网络接口处于监听模式，Sniffer工具就会开始捕获经过该接口的数据包。
它会将捕获到的数据包保存到缓冲区中，以便进行后续的分析和处理。
步骤三：数据包的分析捕获到数据包后，Sniffer工具会对数据包进行分析。
它会解析数据包的首部信息，提取出源IP地址、目标IP地址、协议类型等相关信息。
此外，Sniffer还可以解析传输层协议，如TCP和UDP，以及应用层协议，如HTTP和FTP。
步骤四：数据包的记录和展示分析完成后，Sniffer工具会将数据包的相关信息记录下来，并以易于阅读的方式展示给用户。
这包括了数据包的源IP地址、目标IP 地址、协议类型、传输层端口等信息。
此外，Sniffer还可以将数据包的载荷展示出来，用户可以查看传输的实际数据。
步骤五：过滤和筛选Sniffer工具通常提供了过滤和筛选功能，以便用户可以只关注特定的数据包。
用户可以根据源IP地址、目标IP地址、协议类型、传输层端口等条件进行过滤，只显示满足条件的数据包。
嗅探是什么意思
嗅探是什么意思
浏览器嗅探是指嗅探器。
安装了嗅探器的浏览器能够接收局域网中计
算机发出的数据包，并对这些数据进行分析。
以太网中是基于广播方式传
送数据的，所有的物理信号都要经过主机节点。
使用嗅探工具后，计算机则能接收所有流经本地计算机的数据包，从
而实现盗取敏感信息。
由于嗅探器的隐蔽性好，只是被动接收数据，而不
向外发送数据，所以在传输数据的过程中，难以觉察到有人监听。
1、浏览器嗅探的发展背景：
随着互联网多层次性、多样性的发展，网吧已由过去即时通信、浏览
网页、电子邮件等简单的应用，扩展成为运行大量在线游戏、在线视频音频、互动教学、P2P等技术应用。
应用特点也呈现出多样性和复杂性，因此，这些应用对我们的网络服务质量要求更为严格和苛刻。
2、浏览器嗅探的作用：
嗅探器可以获取网络上流经的数据包。
用集线器hub组建的网络是
基于共享的原理的，局域网内所有的计算机都接收相同的数据包，而网
卡构造了硬件的“过滤器“ 通过识别MAC地址过滤掉和自己无关的信息。
扩展资料：
防范浏览器嗅探的方法：
1、对数据进行加密：对数据的加密是安全的必要条件。
其安全级别
取决于加密算法的强度和密钥的强度。
使用加密技术，防止使用明文传输
信息。
2、实时检测监控嗅探器：监测网络通讯丢包和带宽异常情况，及时发现可能存在的网络监听机器。
3、使用安全的拓朴结构：将非法用户与敏感的网络资源相互隔离，网络分段越细，则安全程度越大。
网络嗅探原理
网络嗅探原理网络嗅探是一种网络安全分析工具，它可以监视网络上的数据流量，并且可以分析这些数据包中的内容。
网络嗅探可以帮助网络管理员识别网络中的安全问题，监视网络流量，并且可以用于网络犯罪调查。
在本文中，我们将探讨网络嗅探的原理以及其在网络安全领域中的应用。
首先，让我们来了解一下网络嗅探的原理。
网络嗅探器通常是一种软件或硬件设备，它可以监听网络上的数据包，并且可以分析这些数据包中的内容。
网络嗅探器通常工作在网络的数据链路层，它可以捕获经过网络的数据包，并且可以提取出其中的数据内容。
网络嗅探器可以通过监听网络上的数据包来获取网络流量的信息，这些信息可以包括用户的用户名、密码、网站的访问记录等敏感信息。
网络嗅探器的工作原理是通过网络接口卡来监听网络上的数据包，然后将这些数据包传输到网络嗅探器的分析引擎中进行分析。
网络嗅探器可以通过分析数据包的头部信息和内容来获取网络流量的信息，然后将这些信息呈现给用户进行分析。
网络嗅探器可以通过过滤规则来筛选出用户感兴趣的数据包，并且可以对这些数据包进行存储和分析。
网络嗅探在网络安全领域中有着广泛的应用。
首先，网络嗅探可以帮助网络管理员监视网络流量，及时发现网络中的异常流量和攻击行为。
其次，网络嗅探可以帮助网络管理员识别网络中的安全问题，及时采取措施加强网络安全防护。
此外，网络嗅探还可以用于网络犯罪调查，通过分析网络流量来获取证据，帮助警方追踪犯罪嫌疑人。
总之，网络嗅探是一种重要的网络安全分析工具，它可以帮助网络管理员监视网络流量，及时发现网络中的安全问题，保护网络安全。
网络嗅探的原理是通过监听网络上的数据包，分析其中的内容来获取网络流量的信息，然后将这些信息呈现给用户进行分析。
网络嗅探在网络安全领域中有着广泛的应用，可以帮助网络管理员识别网络中的安全问题，并且可以用于网络犯罪调查。
希望本文对您了解网络嗅探有所帮助。
嗅探技术的原理
嗅探技术的原理
嘿，朋友们！今天咱们来聊聊嗅探技术的原理。
想象一下，嗅探技术就像是一个超级敏锐的“信息侦探”。
它的原理其实并不复杂啦。
就好比我们在一个热闹的聚会上，有人能特别敏锐地捕捉到各种声音和话语。
嗅探技术也是这样，它能够在网络这个“大聚会”中，悄悄地监听和捕捉数据的“声音”。
它就像一个隐藏在网络世界里的小机灵鬼，默默地守着网络通道，当数据像小火车一样在通道里穿梭时，它就能把这些数据“拦下来”，看看里面都装了些什么宝贝信息。
比如说，我们在网上聊天、购物、浏览网页等等，这些行为都会产生数据。
嗅探技术就能把这些数据“嗅”出来，然后分析一下。
当然啦，这可不是为了窥探我们的隐私哦，而是在很多情况下有很重要的作用呢，比如网络安全检测呀。
总之，嗅探技术就像是网络世界里的一个神秘而有趣的存在，悄悄地发挥着它的作用呢！是不是很有意思呀？。
实验二_网络嗅探
实验二网络嗅探【实验目的】1.了解ARP、ICMP等协议明文传输的特性；2.了解局域网内的监听手段；3.掌握Wireshark嗅探器软件的使用方法；4.掌握对嗅探到的数据包进行分析的基本方法，并能够对嗅探到的数据包进行网络状况的判断。
【实验环境】两台以上装有Windows XP以上操作系统的计算机。
【实验原理】(1)嗅探原理网络监听是一种常用的被动式网络攻击方法，能帮助入侵者轻易获得用其他方法很难获得的信息，包括用户口令、账号、敏感数据、IP地址、路由信息、TCP套接字号等。
管理员使用网络监听工具可以监视网络的状态、数据流动情况以及网络上传输的信息。
嗅探器（Sniffer）是利用计算机的网络接口截获发往其他计算机的数据报文的一种技术。
它工作在网络的底层，将网络传输的全部数据记录下来。
嗅探器可以帮助网络管理员查找网络漏洞和检测网络性能。
嗅探器可以分析网络的流量，以便找出所关心的网络中潜在的问题。
不同传输介质网络的可监听性是不同的。
一般来说，以太网(共享式网络)被监听的可能性比较高，因为以太网(共享式网络)是一个广播型的网络。
微波和无线网被监听的可能性同样比较高，因为无线电本身是一个广播型的传输媒介，弥散在空中的无线电信号可以被很轻易地截获。
在以太网中，嗅探器通过将以太网卡设置成混杂模式来捕获数据。
因为以太网协议工作方式是将要发送的数据包发往连接在一起的所有主机，包中包含着应该接收数据包主机的正确地址，只有与数据包中目标地址一致的那台主机才能接收。
但是，当主机工作在监听模式下，无论数据包中的目标地址是什么，主机都将接收（当然自己只能监听经过自己网络接口的那些包）。
在Internet上有很多使用以太网协议的局域网，许多主机通过电缆、集线器连在一起，当同一网络中的两台主机通信的时候，源主机将写有目的主机地址的数据包直接发向目的主机。
但这种数据包不能在IP层直接发送，必须从TCP/IP协议的IP层交给网络接口，也就是数据链路层，而网络接口是不会识别IP地址的，因此在网络接口数据包又增加了一部分以太帧头的信息。
网络嗅探(sniffer)入侵渗透的探讨
网络嗅探（sniffer）入侵渗透的探讨技术本身是没有错的，错误产生于人。
网络安全性的分析可以被用于加强安全性、加强网络的自由度，也可以被入侵者用于窥探他人隐私、任意篡改数据、进行网上诈骗活动。
这里，我们讨论网络嗅探器（sniffer）在广义黑客领域的应用和网络管理中的应用。
一、嗅探器（Sniffer）攻击原理Sniffer既可以是硬件，也可以是软件，它用来接收在网络上传输的信息。
网络可以是运行在各种协议之下的。
包括Ethernet、TCP/IP、ZPX等等（也可以是其中几种协议的联合）。
放置Sniffer的目的是使网络接口（在这个例子中是以太网适配器）处于杂收模式（promiscuous mode），从而可从截获网络上的内容。
嗅探器与一般的键盘捕获程序（Key Capture）不同。
键盘捕获程序捕获在终端上输入的键值，而嗅探器则捕获真实的网络报文。
嗅探器通过将其置身于网络接口来达到这个目的——将以太网卡设置成杂收模式。
⒈关于以太网（Ethernet）Ethernet是由Xerox的Palo Aito研究中心（有时也称为PARC）发明的。
下面简介一下信息在网络（这里为以太网）上的传输形式。
数据在网络上是以很小的称为帧(Ftame)的单位传输的帧由好几部分组成，不同的部分执行不同的功能。
（例如，以太网的前12个字节存放的是源和目的的地址，这些位告诉网络：数据的来源和去处。
以太网帧的其他部分存放实际的用户数据、TCP/IP的报文头或IPX报文头等等）。
帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上。
通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。
接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧的到达，然后对其进行存储。
就是在这个传输和接收的过程中，嗅探器会造成安全方面的问题。
每一个在LAN上的工作站都有其硬件地址。
这些地址唯一地表示着网络上的机器（这一点于Internet地址系统比较相似）。
网络安全技术原理与实践 第三章 网络嗅探与协议分析技术原理及实践
3.1.2 共享式网络与交换式网络中的嗅探
网卡一般有四种接收数据帧的状态： (1)单一模式(Unicast)：是指网卡在工作时，只接收数 据帧中目的地址是本机MAC地址的数据帧。 (2)广播模式(Broadcast)：该模式下的网卡能够接收 网络中的广播信息。 (3)组播模式(Multicast)：设置在该模式下的网卡能够 接收组播数据。 (4)混杂模式(Promiscuous)：在这种模式下的网卡能 够接收一切通过它的数据，而不管该数据是否是传给它 的。
Windows系统下，主要可以使用Windows SDK、套接字等，但是这些 方法是与操作系统类型和版本密切相关，导致这些方法开发的软件通用性不强， 每种方式都有其特定的优缺点。实际上很多产品都是结合了几种不同的技术从 多个层面上来进行Windows下网络数据包的捕获。主要有以下几种方式： (1)使用外界提供的驱动捕获程序。如WinPcap驱动。 (2)使用或自行编写中间层驱动程序。 (3)直接调用NDIS驱动库函数。 (4)使用原始套接字。
Tcpdump嗅探器软件
Tcpdump应用于Unix系统下，提供命令行模式，是一种免费的网络 分析工具。该工具提供了源代码，公开了接口，具备很强的可扩展性。 Tcpdump存在于基本的 FreeBSD系统中，由于它需要将网络接口设置为 混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接 执行它来获取网络上的信息。
在以太网中根据部署方式分为共享式网络与交换式 网络。
共享式网络工作原理
交换式网络工作原理
Байду номын сангаас
（1）MAC泛洪攻击 如果向交换机发送大量虚构MAC地址和IP地址的数据 包，有些交换机在应接不暇的情况下，就会进入普通工作 模式，就像一台普通的Hub那样只是简单的向所有端口广 播数据了，嗅探者正好借此机会来达到窃听的目的。 （2）MAC欺骗 MAC欺骗就是修改本地的MAC地址，使其与目标主 机的MAC地址相同。 （3）ARP欺骗 ARP欺骗是利用IP地址与MAC地址之间进行转换时的 协议漏洞，达到欺骗目的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
以太网嗅探原理
以太网环境下的嗅探本身是比较简单的，只要网卡能设置成混杂模式且有数据包到达网卡，则可用多种方法捕获数据包并进行各种协议分析。
在LINUX下可用RAW 套接字，SOCK_PACKET套接字，LIBPCAP函数包等方法捕获数据包，典型的应用程序如TCPDUMP，LINUX_SNIFFER等。
在共享型以太网中，上述两个条件显然是满足的。
所有的主机都连接到HUB，而HUB对数据包传输形式是广播。
这意味着发给某个主机的数据包也会被其它所有主机的网卡所收到。
因此在这样的环境中，任何设置成混杂模式的主机，都可以捕获发送给其它主机的数据包，从而窃听网络上的所有通信。
在交换型以太网中，上述条件2是不满足的。
所有的主机连接到SWITCH，SWITCH 比HUB更聪明，它知道每台计算机的MAC地址信息和与之相连的特定端口，发给某个主机的数据包会被SWITCH从特定的端口送出，而不是象HUB那样，广播给网络上所有的机器。
这种传输形式使交换型以太网的性能大大提高，同时还有一个附加的作用：使传统的嗅探器无法工作。
综上所述，交换型网络环境嗅探的核心问题是：如何使本不应到达的数据包到达本地。
通常的方法有MAC洪水包和ARP欺骗。
其中MAC洪水包是向交换机发送大量含有虚构MAC地址和IP地址的IP包，使交换机无法处理如此多的信息，致使交换机就进入了所谓的"打开失效"模式，也就是开始了类似于集线器的工作方式，向网络上所有的机器广播数据包。
（具体实现请参阅Dsniff中的macof）本文中，我们将要详细分析ARP欺骗模式。
2. 相关协议数据包格式
•以太数据包格式：
•
类型0800 ：IP 数据包 类型0806 ：ARP 数据包
•
ARP 数据包格式：
•
ARP 数据包简化格式
为了论述的简洁性，我们把ARP 数据包格式做一些简化。
目的端MAC 地址 源MAC 地址
ARP
包类型
发送端MAC 地址 发送端IP 地址 目的端MAC 地址 目的
端IP
地址
3. 实验环境
为了更清楚的描述交换网络的嗅探原理，我们建立一个虚构的交换网络环境， 在下面的论述中将用到这些数据. 4. ARP 协议原理
在以太网中传输的数据包是以太包，而以太包的寻址是依据其首部的物理地址（MAC地址）。
仅仅知道某主机的逻辑地址（IP地址）并不能让内核发送一帧数据给此主机，内核必须知道目的主机的物理地址才能发送数据。
ARP协议的作用就是在于把逻辑地址变换成物理地址，也既是把32bit的IP地址变换成48bit的以太地址。
每一个主机都有一个ARP高速缓存，此缓存中记录了最近一段时间内其它IP地址与其MAC地址的对应关系。
如果本机想与某台主机通信，则首先在ARP高速缓存中查找此台主机的IP和MAC信息，如果存在，则直接利用此MAC地址构造以太包；如果不存在，则向本网络上每一个主机广播一个ARP请求包，其意义是"如果你有此IP地址，请告诉我你的MAC地址"，目的主机收到此请求包后，发送一个ARP响应包，本机收到此响应包后，把相关信息记录在ARP高速缓存中，以下的步骤同上。
可以看出，ARP协议是有缺点的，第三方主机可以构造一个ARP欺骗包，而源主机却无法分辨真假。
5. ARP欺骗原理
假设B(2.2.2.2)要与A(1.1.1.1)通信，且B的ARP高速缓存中没有关于A的MAC 信息，则B发出ARP请求包。
正常情况下A向B发出ARP应答包:
我捕获到B的ARP请求包后，构造ARP欺骗包(欺骗B对A的连接)
此时，B的ARP高速缓存中关于A的记录为(1.1.1.1 <-- --> 04:04:04)，则B向A 发IP包实际上是发到我的主机(4.4.4.4，04:04:04)。
同理，如果我进一步欺骗A，让A的ARP高速缓存中关于B的记录为(2.2.2.2 <-- --> 04:04:04)，则A向B发IP包实际上也是发到我的主机(4.4.4.4，04:04:04)。
最后，我让本机打开数据包转发，也既是充当路由器，则A，B之间能正常通信，但我能全部捕获到相关数据。
以上讨论的是欺骗两台主机，如果我能让局域网中每一台主机的ARP高速缓存中关于其它任意一个主机所对应的MAC地址都为我的MAC地址(04:04:04:04)，则本局域网中所有数据包我都能捕获到!
6. 程序设计思路
•使用到的函数包
libpcap : 捕获ARP数据包。
libnet : 获得本机的MAC地址和IP地址；构造和发送ARP欺骗包。
这两个的函数包的使用在网上资料很多，本文中不介绍。
•主要数据结构
程序中有两个全局变量，MYIP代表本机的IP地址，MYMAC代表本机的MAC地址。
程序中维护一个存放主机信息的链表：
•掌握本局域网中每一台主机的IP地址和MAC地址信息。
利用libpcap捕获网络中的ARP请求/应答包，最大限度的提取相关信息。
如在第五节中的B对A的ARP请求包，我们可以提取出关于B的完整信息（2.2.2.2，02:02:02），也获得了关于A的部分信息（1.1.1.1，null）。
在知道网络中有主机A的情况下，我们可以构造并发送对A的ARP请求包，捕获A的ARP应答包，从而完整掌握A的信息。
同理，我们也可以捕获TCP/UDP等数据包，从中提取信息。
创建一个向链表增加主机信息的函数：add_host(ip，mac)，每收到一个ARP 请求/应答包，都执行add_host( )两次：add_host(发送端IP，发送端MAC)，add_host(目的端IP，目的端MAC)。
在收到ARP应答包时，首先检查发送端的IP和MAC，如果IP不是自己的，但MAC是自己的，则说明此应答包是本机构造的ARP欺骗包，程序忽略。
对于正常的ARP请求包和应答包，add_host(ip，mac )中IP或MAC只要有一个是自己的(ip == MYIP || mac ==MYMAC)，则程序忽略。
显然，没有必要自己欺骗自己。
add_host(ip，mac)遍历主机链表，如果IP存在，且MAC不空，则把MAC 地址写入；如果不存在，则增加一个HOST节点，写入IP地址，如果MAC 不空，则也把MAC地址写入。
注意到这样一个情况：在ARP请求包中，目的MAC地址是没有意义的，所以我们只写入IP地址，而MAC地址用NULL 来表示。
这是我们收集网络拓朴结构的一种被动方法。
函数add_host( )逻辑设计MYIP = IP(d)，MYMAC = MAC(d)
代码如下：
void add_host(u_long ip, u_char * mac)
{
HOST * new = NULL;
HOST * cur = NULL;
if( (ip == MYIP) || (mac && mac_equal(mac, MYMAC)) )
return;
//遍历链表查询IP地址
for(cur = head; cur; cur = cur->next)
{
if( ip == cur->ip )
{
if( mac ) // MAC地址不空，则写入
{
memcpy(cur->mac, mac,
ETHER_ADDR_LEN);
cur->mac_flag = 1;
•周期性的向局域网中每一台主机发送ARP欺骗包。
创建一个发送ARP欺骗包的函数send_fake_arp_packet()，遍历主机链表的每一个IP地址，如果此IP地址的MAC地址已知，则遍历主机链表中其它IP地址，以其它IP地址和本机的MAC地址为发送端，以选中的IP地址和MAC地址为目的端，构造并发送ARP应答欺骗包；如果此IP地址的MAC
地址未知，则以本机IP地址和MAC地址为发送端，以选中的IP地址为目的端，构造并发送正常的ARP请求包。
注意，这是我们收集网络拓朴结构的一种主动方法。
ARP高速缓存中的记录都有过期时间，不同的操作系统有不同的设置.在实施中，我们只需以较短的时间周期性的发ARP欺骗包，则可解决这个问题. 代码如下：
•正确处理一个以太包实际被捕获两次的情况。
例如：捕获到B发向A的以太包，第一次为（2.2.2.2，02:02:02）->(1.1.1.1，04:04:04)，第二次为(2.2.2.2，04:04:04)->(1.1.1.1，01:01:01)。
区分这两次捕获的规则很简单：目标IP 不为本IP且目标MAC为本MAC就是第一次；源IP不为本IP且源MAC为本MAC就是第二次。
在实际处理中，可任取一种包并把源/目的MAC改写，对另一种包忽略即可。
7. 相关说明
•这种ARP欺骗是以主机的ARP高速缓存可以动态改变为前提的，如果ARP 高速缓存中某一IP的MAC地址被设为静态(static)，则对关于此IP的欺骗是显然不成立的。
•为了尽快的掌握网络中主机的地址信息，应至少对ARP请求包和ARP应答包都处理。
如果只处理ARP请求包，则在此刻只能掌握发端主机的信息，并只能欺骗发端主机。
在实际的IP包捕获中，就会看到单边数据包。
当然，在程序运行一段时间后，所有主机信息也能全部掌握，但效率显然是不高的。
如果再加上对未知MAC的IP的主动请求，则捕获所有数据包可在较短时间。