共享以太网反监听新技术的研究与实现

摘
要 ：网络监 听极 大地威胁着 网络 的安全 ， 如何 检测发 现监 听行为 至关重要 。根据共 享 以太 网的监 听原
理， 克服已有 检测方法 的缺 陷 ， 提出并 实现了基于“ 毒害 ＡＲ Ｐ缓存 ” 攻击的检测技术 。这种新 的检测方法对高
级监听器依然适用 。
关键词 ： 网络安全 ； 反监听 ； 混杂模式 ； 害 Ａ Ｐ缓存 毒 Ｒ
有方法的缺陷 ， 更有效地完成监听检测 。
（） ２ 用伪造的条 目更新一个原有条 目， 所要
做 的仅 是 向被 攻 击 主机 发 送 一 个 带 有 伪 造 的 源
Ｉ Ｐ和 Ｍ Ｃ地 址 的 Ａ Ｐ应答 包 。这样 ， Ａ Ｒ 即使 被 攻
１ 共 享 以太 网监 听原 理
网络监 听也 叫 嗅探 ， 即将 网络 上传 输 的数 据 进 行捕 获并 进 行 分 析 的行 为 。共 享 式 网 络 中
Ｖ １２ ｏ ６ ｏ． ９ Ｎ ．
Ｊ ｎ ０ ７ ｕ ｅ２ ０
文 章 编 号 ：０７— ４ Ｘ（０ ７ ０ ０ ５ ｏ １０ １４ ２ ０ ）６— ０ ０一 ３
共 享 以太 网反 监 听 新技 术 的研 究 与 实现
李 婧， 魏 军 ， 斌 曾
（ 海军工程大学 管理工程系 ， 湖北 武汉 ，３０ ３ ４０３ ）
维普资讯
第２ 卷 第６ ９ 期
２０ 年 ６ ０７ 月
武 汉 理 工 大 学 学 报 ・ 息 与 管 理 工 程 版 信
ＪＵ Ｎ ＬＯ Ｔ ＩＦ Ｒ Ａ ＩＮ＆Ｍ Ｎ Ｇ Ｍ Ｎ Ｎ ＩＥ ＲＮ ） Ｏ Ｒ Ａ ＦＷＵ （Ｎ Ｏ Ｍ ＴＯ Ａ Ａ Ｅ Ｅ ＴＥ ＧＮ Ｅ ＩＧ
监 听工具 （ Ｐｏ Ｓａ 、 ＭＤ、 Ｏ ｈ ｎｉｎｆ 主 如 ｒｍｉｃｎ Ｐ Ｌ ｐｔ ｔ ｉ） Ａ Ｓ
２ 基于“ 毒害 Ａ Ｐ缓存” 击的检 测法 Ｒ 攻
２ １ “ 害 Ａ 是 指攻 击者 恶 意地 向 毒 Ｒ 攻 被攻 击 主机 的 Ａ Ｐ缓存 中引 入一 项 虚假 的 Ｉ Ｒ Ｐ—
中图 法 分 类 号 ：Ｐ ０ ． Ｔ ３９ ２ 文献标识码 ： Ａ
网络 的迅 速发展 和普 及使 网络安 全 问题越 来 越 受到人们 的重视 ， 网络 监 听 作 为一 种 发 展 比 而 较 成熟 的技术 ， 一直 给 网络 安 全带来极 大 的威胁 。 通 过监 听 ， 意分 子 可 以很 容 易 地 截获 局 域 网 内 恶
Ｍ Ｃ映射对。根据 Ａ Ｐ缓存 中原有条 目的不 同 Ａ Ｒ
情况 ， 攻击 方可 通过 以下 ２种方 式来实 现该攻 击 。 （ ） 加 一 个 新 的伪 造 条 目， 向被 攻 击 主 １添 即
机发送 一个 带有 伪造 的源 Ｉ Ｐ和 ＭＡ Ｃ地址 的 Ａ Ｐ Ｒ
查询包 。当被攻 击 主 机 接 收该 包 后 ， 它相 信 一 个 连接将 要执 行 ， 而会 在 Ａ Ｐ缓存 中添加 一 个 新 从 Ｒ 的条 目来 存 放 该 查 询 包 中一 对 伪 造 的源 地 址 映 射 。这样 ， 被攻击 主机 的 Ａ Ｐ缓存 就被“ Ｒ 毒害” 了。
击主机缓存 中存在相应条 目也会被伪造的映射对
所更新 。
收 稿 Ｅ期 ：０ ７—０ Ｏ ． ｔ ２ｏ １一 ９ 作者简介 ： 李 婧（ ９ １一）， ， １８ 女 山东菏泽人 ， 海军工程 大学管理工程 系助教
基金项目： 国防预研基金资助项目（８１．．．Ｂ １５ ． ９Ｊ９３２Ｊ１０ ）
的关 键所在 。
任何数据包 ， 进而分析获得密码 、 账号等敏感信息 和机密数据 。许多网络入侵往往伴随着网络监听 行为， 许多 网络攻击也都借助于网络的监听。
由于共 享 以太 网 中 的监 听原 理 非 常简 单 ， 使 得 这类 监 听 问题 也 更 为严 重 。因此 ， 何 有 效 地 如 检测 和发现 局域 网 中所 存在 的监 听行 为并进 行 相 应 的防范 已成为 维护 网络安 全非 常重 要 的环节 。 共 享 以太 网的监 听行 为 非 常 难 以被 发 现 ， 因 为它们 并不 干扰 正常 的 网络 通信 。 目前大 多数 反
数据是以广播方式发送 的， 也就是 说局域 网中传 输 的所 有 数 据 包 可 以 到 达 网 内 的 每 台 主 机 ｊ 。
在 正常情 况下 ， 网卡仅 可 以接 收广 播 数 据 和 目的 ＭＡ Ｃ地 址 与 自己 的 ＭＡ Ｃ地 址 相 同 的 数 据 。但 是， 如果把 网卡 设 置 为 “ 杂 模 式 ” ， 么 它 就 混 Ｊ那 可 以接收 网 内的所有 数据包 。共 享 以太 网的监 听 正是 这样 实现 的 。因此 ， 找 局域 网 内哪 些 主 机 查 的网卡工 作处 在混 杂 模 式 ， 成 为 检测 监 听 行 为 就
维普资讯
第２ ９卷
第 ６期
李
婧， ： 等 共享以太网反监听新技术 的研究与实现
表 １ 用来攻击的 Ａ Ｐ包格式 Ｒ Ａ Ｐ包中字段名 Ｒ 目的以太 网地址 发送方以太 网地址 以太 网帧类型（ Ｒ ＯＯ ） Ａ Ｐ＝ ８６ 各字段 的值
要采用 ＲＴ 检测 、 Ｎ １ ｒ Ｄ Ｓ检测。 和 Ａ Ｐ检测 等 。 Ｒ
方 法 。而这 些检 测方 法 自身 都存 在不 少缺 陷 。它 们 都依 赖 于 目标 主机发 出 Ｄ Ｓ反 向查询 、 Ｒ Ｎ Ａ Ｐ应 答 或 ＩＭＰ数 据 包 ， 现 在 很 多 高 级 的监 听器 在 Ｃ 但 运 行 时会阻 止本 机 发 出 上述 数 据 包 ， 而使 得 任 从 何 基 于这些 检测法 的反监 听工具都 会被 蒙蔽 而失 效 。笔 者研 究并 实 现 了 一种 新 的检 测技 术 ， 即基 于“ 害 Ａ Ｐ缓存 ” 击 的检 测法 ， 可 以克 服 已 毒 Ｒ 攻 它