網(wǎng)絡(luò)監(jiān)聽實(shí)驗(yàn)(2013-4-3)

網(wǎng)絡(luò)監(jiān)聽NetworkMonitoring1主要內(nèi)容Sniffer概述共享局域網(wǎng)的嗅探CuteSniffer嗅探實(shí)例交換局域網(wǎng)的嗅探交換局域網(wǎng)嗅探實(shí)例2什么是Sniffer

網(wǎng)絡(luò)監(jiān)聽的作用：監(jiān)視網(wǎng)絡(luò)的流量、狀態(tài)、數(shù)據(jù)等信息，分析數(shù)據(jù)包，獲得有價值的信息。網(wǎng)絡(luò)監(jiān)聽工具：Sniffer(嗅探器)，有硬件和軟件兩種類型。一把雙刃劍管理員的管理工具，主要是進(jìn)行數(shù)據(jù)包分析，通過網(wǎng)絡(luò)監(jiān)聽軟件，觀測分析實(shí)時經(jīng)由的數(shù)據(jù)包，從而進(jìn)行網(wǎng)絡(luò)故障定位攻擊者們常用的收集信息的工具

3Sniffer的網(wǎng)絡(luò)環(huán)境共享式網(wǎng)絡(luò)通過網(wǎng)絡(luò)的所有數(shù)據(jù)包發(fā)往每一個主機(jī)最常見的是通過HUB連接起來的子網(wǎng)交換式網(wǎng)絡(luò)通過交換機(jī)連接網(wǎng)絡(luò)由交換機(jī)構(gòu)造一個“MAC地址-端口”映射表發(fā)送包的時候，只發(fā)到特定的端口上4被監(jiān)聽的網(wǎng)絡(luò)以太網(wǎng)FDDI、Token-ring使用電話線通過有線電視信道微波和無線電5截獲的信息

口令金融帳號偷窺機(jī)密或敏感的信息數(shù)據(jù)（如e-mail內(nèi)容）窺探低級的協(xié)議信息（如用于IP欺騙）

6網(wǎng)絡(luò)監(jiān)聽原理網(wǎng)卡工作在數(shù)據(jù)鏈路層，數(shù)據(jù)以幀為單位進(jìn)行傳輸，在幀頭部分含有數(shù)據(jù)的目的MAC地址和源MAC地址。普通模式下，網(wǎng)卡只接收與自己MAC地址相同的數(shù)據(jù)包，并將其傳遞給操作系統(tǒng)。在“混雜”模式下，網(wǎng)卡將所有經(jīng)過的數(shù)據(jù)包都傳遞給操作系統(tǒng)。7網(wǎng)絡(luò)監(jiān)聽原理共享式集線器（HUB）連接將網(wǎng)卡置于混雜模式實(shí)現(xiàn)監(jiān)聽8Sniffer軟件WiresharkNetxRaySnifferProCuteSniffer(小巧，功能較全)9CuteSniffer10設(shè)置過濾器過濾器。Options->Programoptions...

[not]primitive[and|or[not]primitive...]

類型（Type）-host,netandport.如,`hostfoo',`net128.3',`port20'.方向（dir）-src,dst,srcordst,srcanddst.如,`srcfoo',`dstnet128.3',`srcordstportftp-data'.協(xié)議（proto）-ether,fddi,tr,ip,ip6,arp,rarp,decnet,tcpandudp.如,,`ethersrcfoo',`arpnet128.3',`tcpport21'.11設(shè)置過濾器1.捕捉特定主機(jī)的ftp流:tcpport21andhost2.捕捉特定主機(jī)流出的包:srchost3.捕捉80端口發(fā)出的包:srcport8012設(shè)置過濾器13設(shè)置規(guī)則從文本文件rules.ini讀規(guī)則header(option1;option2;...)

規(guī)則頭包括協(xié)議、源IP地址、源端口、方向、目的IP地址、目的端口規(guī)則選項(xiàng)14設(shè)置規(guī)則15設(shè)置規(guī)則例子rules.initcpanyany->anyany(flags:S+;msg:"SYNpacket";symbol:"SYN";)tcpanyany->anyany(flags:F+;msg:"FINpacket";symbol:"FIN";)tcpanyany->any143(content:"|90C8C0FFFFFF|/bin/sh";msg:"IMAPbufferoverflow!";)tcpanyany->any80(content:"cgi-bin/phf";offset:3;depth:22;msg:"CGI-PHFaccess";)tcpanyany->any21(msg:"FTPPassword";content:"PASS";nocase;symbol:"PASS";)tcpanyany->any110(msg:"E-mailPassword";content:"PASS";nocase;symbol:"PASS";)16捕捉礦大郵箱口令17捕捉礦大郵箱口令查看源文件，輸入的口令名字為Password18捕捉礦大郵箱口令設(shè)置過濾器為Dsthost7或者Dsthost19捕捉礦大郵箱口令查找捕捉的包20捕捉礦大郵箱口令幀頭21捕捉礦大郵箱口令包頭22捕捉礦大郵箱口令TCP頭23捕捉SINA郵箱口令24捕捉SINA郵箱口令25捕捉POP3郵箱口令設(shè)置過濾器（礦大POP3郵件服務(wù)器地址）26捕捉POP3郵箱口令在登錄前啟動捕捉27捕捉POP3郵箱口令捕捉結(jié)果28捕捉POP3郵箱口令29捕捉POP3郵箱口令30捕捉FTP口令這是一個FTP站點(diǎn)31捕捉FTP口令準(zhǔn)備登錄32捕捉FTP口令啟動捕捉，輸入用戶名與密碼33捕捉FTP口令捕捉的內(nèi)容34捕捉FTP口令35捕捉FTP口令36捕捉BBS口令這個是北大BBS站點(diǎn)37捕捉BBS口令搜索pw38捕捉Telnet口令可以通過Telnet登錄BBS開始－運(yùn)行－cmd－telnet39捕捉Telnet口令40捕捉Telnet口令設(shè)置過濾器的兩種方式41捕捉Telnet口令42捕捉Telnet口令口令的第一個字母是143捕捉Telnet口令口令的第二個字母是244捕捉Telnet口令口令的第三個字母是345捕捉畢業(yè)設(shè)計(jì)管理系統(tǒng)的口令46自動捕捉口令A(yù)cePasswordSniffer，能監(jiān)聽LAN，取得密碼。包括：FTP、POP3、HTTP、SMTP、Telnet密碼。47自動捕捉口令密碼監(jiān)聽器。48交換局域網(wǎng)嗅探交換機(jī)在正常模式下按MAC地址表轉(zhuǎn)發(fā)數(shù)據(jù)包，此時只能監(jiān)聽廣播數(shù)據(jù)包。交換網(wǎng)絡(luò)嗅探的關(guān)鍵：如何使不應(yīng)到達(dá)的數(shù)據(jù)包到達(dá)本地MAC洪水包利用交換機(jī)的鏡像功能利用ARP欺騙49MAC洪水包向交換機(jī)發(fā)送大量含有虛構(gòu)MAC地址和IP地址的IP包，使交換機(jī)無法處理如此多的信息，致使交換機(jī)就進(jìn)入了所謂的"打開失效"模式，也就是開始了類似于集線器的工作方式，向網(wǎng)絡(luò)上所有的機(jī)器廣播數(shù)據(jù)包50利用交換機(jī)的鏡像功能利用交換機(jī)的鏡像功能51利用ARP欺騙首先介紹以太數(shù)據(jù)包格式

目的MAC地址源MAC地址類型數(shù)據(jù)66246~1500類型0800：IP數(shù)據(jù)包

類型0806：ARP數(shù)據(jù)包52然后介紹ARP數(shù)據(jù)包格式

目的端MAC地址源MAC地址0806硬件類型協(xié)議類型硬件地址長度協(xié)議地址長度ARP包類型發(fā)送端MAC地址發(fā)送端IP地址目的端MAC地址目的端IP地址662221126464

<------以太網(wǎng)首部-------->

<------26字節(jié)ARP請求/應(yīng)答-------->53交換局域網(wǎng)嗅探在VICTIM運(yùn)行ARP–A，有如下輸出：Interface:onInterface0x3000006InternetAddressPhysicalAddressType00-00-00-00-00-01dynamic00-00-00-00-00-03dynamic54交換局域網(wǎng)嗅探在ATTACKER上構(gòu)建并發(fā)送表一所示的包，其中目的mac為00-00-00-00-00-02，目的IPaddress為，發(fā)送者M(jìn)AC為00-00-00-00-00-01，發(fā)送者IP為（假冒IP）。在VICTIM上運(yùn)行ARP–A，有如下的輸出：Interface:onInterface0x3000006InternetAddressPhysicalAddressType00-00-00-00-00-01dynamic00-00-00-00-00-01dynamic欺騙成功?。ㄍㄟ^網(wǎng)關(guān)出去的信息發(fā)給了攻擊者）55交換局域網(wǎng)嗅探網(wǎng)絡(luò)剪刀手來切斷局域網(wǎng)內(nèi)任何一臺主機(jī)與網(wǎng)關(guān)之間通信。不論是交換環(huán)境還是普通環(huán)境.得到整個局域網(wǎng)內(nèi)所有開機(jī)主機(jī)的IP地址<-->MAC(物理地址)<-->Hostname(主機(jī)名)對應(yīng)列表，并且可以打印出來?；蛘邔?dǎo)入excel文件，數(shù)據(jù)庫。來對局域網(wǎng)內(nèi)部錯誤IP配置的主機(jī)快速查找。56交換局域網(wǎng)嗅探網(wǎng)絡(luò)執(zhí)法官實(shí)時記錄上線用戶并存檔備查。自動偵測未登記主機(jī)接入并報(bào)警限定各主機(jī)的IP，防止IP盜用限定各主機(jī)的連接時段"網(wǎng)絡(luò)執(zhí)法官"是一款局域網(wǎng)管理輔助軟件，采用網(wǎng)絡(luò)底層協(xié)議，能穿透各客戶端防火墻對網(wǎng)絡(luò)中的每一臺主機(jī)（本文中主機(jī)指各種計(jì)算機(jī)、交換機(jī)等配有IP的網(wǎng)絡(luò)設(shè)備）進(jìn)行監(jiān)控；采用網(wǎng)卡號