安全课堂:网络嗅探Sniffer原理应用详解

p;                                

网络嗅探有三种方式，一种是mac洪水，即攻击者向交换机发送大量的虚假mac地址数据，交换机在应接不暇的情况下就象一台普通的hub那样只是简单的向所有端口广播数据了，这时嗅探者就可以借机进行窃听，但如果交换机使用静态地址映射表的话，这种方法就不行了。第二种方式是mac地址复制，即修改本地的mac地址，使其与欲嗅探主机的mac地址相同，这样交换机将会发现有两个端口对应相同的mac地址，于是到该mac地址的数据包同时从这两个端口中发出去。

第三种方式就是用得最多的了--------arp欺骗。我们可以看下自己的机器，在刚开机的时候在dos中输入arp –a(查看本机arp缓存表的内容)可以看到arp缓存表是空的。

如：Microsoft Windows [版本 5.2.3790]

(C) 版权所有 1985-2003 Microsoft Corp.

 

D:\>arp -a

No ARP Entries Found

 

D:\>

那么我们ping一下网关再输入arp –a查看一下。

 

D:\>ping 192.168.0.1

 

Pinging 192.168.0.1 with 32 bytes of data:

 

Reply from 192.168.0.1: bytes=32 time<1ms TTL=64

Reply from 192.168.0.1: bytes=32 time<1ms TTL=64

 

Ping statistics for 192.168.0.1:

    Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

Control-C

^C

D:\>arp -a

 

Interface: 192.168.0.6 --- 0x10003

  Internet Address      Physical Address      Type

  192.168.0.1          00-0a-e6-48-41-8b     dynamic

 

D:\>

   从上面的ping命令，我们分析包的结果是，首先本机发出一个arp包询问谁是192.168.0.1？192.168.0.1回应一个arp包，并返回一个mac地址，接下来本机再发送request请求，目标机回应该一个reply包，最后将mac地址保存在arp缓存中。

我们再来举一个arp欺骗的实例：

   交换局域网中有A、B、C三台机器，假设ip地址和mac地址如下：

A主机：ip地址为：192.168.0.1,mac地址为：0a:0a:0a:0a:0a:0a

B主机：ip地址为：192.168.0.2,mac地址为：0b:0b:0b:0b:0b:0b

C主机：ip地址为：192.168.0.3,mac地址为：0c:0c:0c:0c:0c:0c