網(wǎng)絡(luò)嗅探使用SnifferPro監(jiān)控ARP協(xié)議

1、14/14banker將向網(wǎng)友介紹如何使用sniffer pro來監(jiān)控ARP欺騙行為。文中會介紹一些更為簡便和直接的snffer程序，它們都屬于snffer程序的一種，只是在功能上更有針對性。一、使用sniffer pro監(jiān)控ARP實際上，使用sniffer pro程序的監(jiān)控功能能夠更方便、更為迅速的關(guān)心我們定位問題。步驟一：首先，我們在差不多做了端口鏡像的機(jī)器上啟動snffer pro程序。選擇菜單欄中MonitorDefine Filter 來定義我們需要的過濾器。在彈出的define Filter對話框中選擇ProfilesNew 來新建一個過濾器，我們那個地點(diǎn)取名為ARP。 圖1 步驟

2、二：點(diǎn)擊Advanced高級標(biāo)簽，我們那個地點(diǎn)選中ARP協(xié)議。單擊OK后完成過濾器的新建。 圖2步驟三：系統(tǒng)默認(rèn)過濾器為Default，我們來選擇剛才新建過濾器ARP。首先，選擇MonitorSelect Filter。 圖3 步驟四：在彈出的對話框中點(diǎn)擊ARP。在那個地點(diǎn)要注意的是：一定要把Apply monitor勾選。點(diǎn)擊確定后，過濾器定義和選擇工作預(yù)備完畢。 圖4步驟五：鼠標(biāo)點(diǎn)擊工具欄中Host Table按鈕(聯(lián)網(wǎng)圖標(biāo))，在彈出的子窗口中選擇Detail工具(放大鏡圖標(biāo))。注意觀看本圖同之前程序使用默認(rèn)Default Filter過濾器的不同之處?，F(xiàn)在，按照我們的定義，監(jiān)視器內(nèi)Pro

3、tocol(協(xié)議類型)僅包括IP_ARP.這關(guān)于我們查找問題，層次上更加分明。那個地點(diǎn)需要注意的是：那個地點(diǎn)的Address(地址)以IP或者機(jī)器名的形式顯示，假如顯示MAC，請先使用ToolsAddress book進(jìn)行掃描，IP-MAC的顯示轉(zhuǎn)換后，將有利于我們快速定位節(jié)點(diǎn)。網(wǎng)內(nèi)終端中所有ARP廣播包的和，合計后等于Broadcast數(shù)據(jù)包(廣播包)。 圖5 步驟六：我們先來觀看，在正常網(wǎng)絡(luò)狀況下，ARP協(xié)議的TOP流量分布圖，這將方便我們的區(qū)分、推斷。鼠標(biāo)點(diǎn)擊左邊工具欄中的Bar(柱形圖標(biāo))，我們明白Bar會將目前數(shù)據(jù)包流量排行前10位，通過動態(tài)柱型圖的方式顯示出來。同上圖的Detail

4、(詳細(xì)顯示方式)一樣，只只是Bar在界面上關(guān)于觀看者來講更為直觀。需要注意的是：Broadcast(網(wǎng)內(nèi)所有節(jié)點(diǎn)的廣播)占TOP排行第一位。其它節(jié)點(diǎn)依次排開。然而，流量差距不大。 圖6步驟七：我們再來觀看，網(wǎng)內(nèi)存在ARP欺騙情況時流量排行圖。請認(rèn)真對比上述兩圖。我們會發(fā)覺問題的所在：TOP1 節(jié)點(diǎn)219.238.*.111占據(jù)網(wǎng)內(nèi)最大ARP流量。TOP2中的流量急速增大且與TOP3差距懸殊。我們明白，在網(wǎng)絡(luò)常的情況下，不同節(jié)點(diǎn)的ARP流量會有差距，但應(yīng)該相差不大。同時我們對比在網(wǎng)絡(luò)正常情況下ARP流量TOP圖，并以它做為基準(zhǔn)，問題就顯而易見了。那個地點(diǎn)需要解釋的是，Broadcast在下圖中排

5、行第二，什么緣故呢?因為Broadcast是網(wǎng)內(nèi)廣播總計，但ARP分為請求(廣播)、和回應(yīng)(單播)兩種，當(dāng)219.238.*.111的回應(yīng)(也確實是單播數(shù)量)大于ARP請求(廣播的數(shù)量)將可能出現(xiàn)ARP總流量大于Broadcast的情況，這也印證我們在開場所講的：當(dāng)節(jié)點(diǎn)出現(xiàn)ARP欺騙時，它會向網(wǎng)內(nèi)ARP reply。 圖7 步驟八：再來看看節(jié)點(diǎn)219.238.*.111的traffic map (通信圖)，幾乎與網(wǎng)內(nèi)所有節(jié)點(diǎn)都有ARP通信。同時與節(jié)點(diǎn)wangguan(網(wǎng)關(guān))通信數(shù)據(jù)量最大。至于它什么緣故最大?在文章開始介紹ARP時提過，那個地點(diǎn)不在贅述。圖8通過專用sniffer程序監(jiān)視異常A

6、RP除了NAI Sniffer pro 以外，網(wǎng)絡(luò)上還提供有專門多專用的ARP監(jiān)視工具，這些工具也是sniffer的一種，只是在功能上更有針對性，大多數(shù)界面也專門簡單、友好。那個地點(diǎn)我們簡單介紹由國內(nèi)欣全向公司開發(fā)，頗為流行的免費(fèi)ARP檢測工具：“欣向巡路之ARP工具1.1Beta” ,大伙兒能夠從/downcenter.asp直接下載。和專門多數(shù)據(jù)包捕獲工具一樣，在程序安裝運(yùn)行前，需要提早安裝WinPcap驅(qū)動。使用方法：步驟一：使用方法專門簡單。首先選擇網(wǎng)卡，程序會依照網(wǎng)卡掃描出相應(yīng)網(wǎng)段IP-MAC清單。但需要注意，IP-MAC清單的掃描務(wù)必在網(wǎng)絡(luò)內(nèi)正常的情況下。步驟二：添加ARP檢測范圍

7、，一般將網(wǎng)關(guān)或者路由的IP填入即可。步驟三：啟動 ARP檢測。那個時候，假如網(wǎng)絡(luò)內(nèi)出現(xiàn)ARP欺騙，程序則會報警，并用紅色字體在“ARP欺騙紀(jì)錄”上標(biāo)注。如下圖所示： 圖9 步驟四：假如發(fā)覺ARP欺騙紀(jì)錄后，應(yīng)該如何處理，防止斷線呢?那個時候能夠使用軟件中“主動維護(hù)”功能來修復(fù)網(wǎng)絡(luò)。那個功能的含義是：定義好網(wǎng)關(guān)正確IP-MAC，在網(wǎng)內(nèi)以一定頻率廣播，來修復(fù)網(wǎng)絡(luò)。注意：使用了本功能后，網(wǎng)內(nèi)被欺騙的機(jī)器，受正確ARP廣播的阻礙，ARP緩存表臨時恢復(fù)正常，請盡快處理出現(xiàn)故障機(jī)器。 圖10 總結(jié)：在網(wǎng)絡(luò)出現(xiàn)故障時，有經(jīng)驗的網(wǎng)絡(luò)治理員通常都能夠迅速發(fā)覺故障并加以排除，這是基于網(wǎng)絡(luò)治理員自身技能素養(yǎng)、對環(huán)境的了解、和經(jīng)驗。然而在網(wǎng)絡(luò)日益進(jìn)展的今天，網(wǎng)絡(luò)應(yīng)用、規(guī)模、手段都在急速膨