范偉導(dǎo)老師Sniffer課程資料(六)

/范偉導(dǎo)老師Sniffeｒ課程資料（六)(2009-0３—16２１:５7：3２)標(biāo)簽：雜談

我們注意到這臺機(jī)器向公網(wǎng)發(fā)出大量的ICMP包,那是在作什么？(同學(xué)們：在ping）

對！PIＮG采用ＩＣMP協(xié)議，ｐｉng可以用來掃描，也可以用來攻擊。?掃描就是看那一臺機(jī)器活著,接著掃描端口，在攻擊,所以掃描是攻擊主機(jī)的前奏。

另外，還可以用pinｇ來沖擊路由器,或占用帶寬,是一種DOS攻擊.?大家看這個(gè)過程更像哪一種類型。

(同學(xué)們:掃描,DOS攻擊）?一般情況下,掃描會(huì)是比較連續(xù)的地址,我們看這個(gè)地址并不連續(xù)，我們先排除掃描，當(dāng)然不是絕對的，也有比較聰明的掃描。

有同學(xué)說,這是DＯＳ攻擊,那是沖擊路由器，還是占用帶寬？

（同學(xué)們:沖擊路由器)

嘿，這次比較統(tǒng)一,我也覺得他在沖擊路由器,我們看,他的目標(biāo)地址基本不在一個(gè)網(wǎng)段，這樣路由器收到這樣的數(shù)據(jù)包會(huì)消耗大量資源在查找路由表上面。所以對路由器有一定沖擊。

一般來說,如果他想占用帶寬的話，會(huì)發(fā)大包，我們發(fā)現(xiàn)，包的長度不大，并且一秒鐘才發(fā)１0幾個(gè)包，所以對貸款沖擊不大。?或許大家會(huì)覺得這沒秒10幾個(gè)包對路由器沖擊也不大呀。大家想像一下，如果有很多機(jī)器在作這個(gè)操作，那影響就會(huì)很大.

大家自己在找一找，是否還有其他機(jī)器在作同類事情。?（同學(xué)們找出７臺這樣的機(jī)器)

好大家找出7臺這樣的機(jī)器，怎么找出來的？有同學(xué)用鋼材的辦法,有同學(xué)用過濾,都市好辦法。

現(xiàn)在假設(shè)在你們的網(wǎng)絡(luò)中出現(xiàn)這樣的情況,我們發(fā)現(xiàn)了異常,接下來怎么做？?（同學(xué)們:找到這臺機(jī)器）

然后呢？?我們可以看看這臺機(jī)器的任務(wù)管理器,看看有什么不常見的進(jìn)程，把他去掉,看是否解決。在看其他的機(jī)器,是否有類似的特征.

這是我的一個(gè)學(xué)員發(fā)給我的,當(dāng)時(shí)他發(fā)現(xiàn)這7臺機(jī)器都有一個(gè)特殊的進(jìn)程，但是他的防病毒軟件沒有查出來。他手工解決了。?這很好說明用Ｓnｉffeｒ可以比防病毒軟件更快發(fā)現(xiàn)病毒，因?yàn)榉啦《拒浖呛笾笥X得,什么意思？防病毒軟件必須有相應(yīng)的特征才能查病毒。而Ｓnｉfｆｅr通過流量可以發(fā)現(xiàn)一些特征，一些異常。

但是有一點(diǎn),我們不能拿Sniffｅr當(dāng)防病毒軟件用，那不是他的特長，同時(shí)也太低沽Snifｆer的功能了(同學(xué)們笑）

好我們在看看掃描是怎么一回事，大家看這個(gè)ｔracefｉle（范老師在演示，我就不寫了)?先是ARP掃描，再端口掃描，接下來就是攻擊了.

(編者：接著我們做了一個(gè)游戲，范老師讓大家用Sniｆfer攻擊他的機(jī)器,結(jié)果1臺機(jī)器就把他的機(jī)器搞死了,這個(gè)就不細(xì)說了）?好,我們再看第四個(gè)ｍｏnitor功能，ＡRT，Ａpplicａt(yī)ionResponsｅＴiｍｅ,應(yīng)用響應(yīng)時(shí)間.

應(yīng)用響應(yīng)時(shí)間是分析應(yīng)用的一個(gè)很好工具，主要用來分析應(yīng)用的性能。?AＲT是指一個(gè)客戶端發(fā)出一個(gè)請求，到服務(wù)器響應(yīng)回來的時(shí)間差。

一般來說，應(yīng)用響應(yīng)的快慢，是應(yīng)用性能的一個(gè)重要指標(biāo).

應(yīng)用性能主要決定于幾個(gè)因素：網(wǎng)絡(luò)因素、服務(wù)器因素、客戶端因素、應(yīng)用協(xié)議因素

我們先看看如何操作，再來看看應(yīng)用這個(gè)功能。?我們打開ART，大家看到Http的應(yīng)用響應(yīng)時(shí)間分析，這里有幾個(gè)列，serveｒAddｒess,CｌientAｄdｒess.?他是怎么知道誰是Seｒver,誰是Clieｎｔ？其實(shí)也就是看端口號和IＰ的對應(yīng)關(guān)系，比如如果一個(gè)數(shù)據(jù)包的目的IＰ是１.１．1。1，目的端口是80，Sniffeｒ就會(huì)認(rèn)為１.1.1．１就是Http服務(wù)器。對應(yīng)的源ＩP就是Cliｅnt。?AvgRｓp—平均響應(yīng)時(shí)間

90%Ｒsp—90％響應(yīng)時(shí)間，去掉頭尾個(gè)5%,其實(shí)我個(gè)人覺得去掉最大的10％更合理一些.?還有最大最小的響應(yīng)時(shí)間，這些都是以毫秒為單位.?接著就是ＴotaｌＲsp，這個(gè)是響應(yīng)次數(shù)，單位是次。?接著是0到25毫秒的響應(yīng)有多少次，2５到50毫秒的響應(yīng)有多少次。.等等。

后面還有serｖeｒ發(fā)送子節(jié)數(shù)，clienｔ發(fā)送子節(jié)數(shù)，ｔiｍｅout次數(shù)等等，５秒不響應(yīng)則Timeouｔ。

我們再看看怎么增加其他應(yīng)用，按屬性，選擇disｐlａyprotoｃol,添加你關(guān)心的協(xié)議，再確定,ARＴ會(huì)重新刷新(范老師在演示）

你看我這里就有了telnet,Oracｌe.

（同學(xué)們:我們沒有Oracle）?我知道，其實(shí)平時(shí)我們更關(guān)心的是我們關(guān)鍵業(yè)務(wù)，所以我們要把我們關(guān)鍵業(yè)務(wù)的端口添加進(jìn)來，怎么添加？大家跟我來，

選菜單上的tｏｏlｓàｏptiｏnsàprotｏcoｌ，拉到下面，添加一種應(yīng)用，比如Oracｌe,端口１５21。?再在屬性里把這個(gè)新協(xié)議選上，有了嗎？（跑去解答問題去了）

好，大家都做出來了，我們平常分析關(guān)鍵業(yè)務(wù)就行了，有一點(diǎn)要說明，一種業(yè)務(wù)可能有多個(gè)應(yīng)用，也就是多個(gè)端口，需要同時(shí)分析。

有些同學(xué)喜歡把所有wellｋnｏｗｎ的協(xié)議添加到協(xié)議列表里，我在共享目錄上有兩個(gè)注冊表注入工具，大家只要運(yùn)行以下就可以將這些常用端口都注入到協(xié)議列表里，就不用一個(gè)一個(gè)敲了。其實(shí)我個(gè)人覺得不太必要，多了反而亂.

大家打開注冊表，我們看一下協(xié)議列表,找到這兩項(xiàng)：

HKＥY_LOCAL_MACHINE\SOFＴWARE\NetwoｒkAｓsociates，Inc。＼Ｓniｆfer\4。7\1ＣommonＳｅtｔiｎgｓ\Pｒoｔocolｓ＼IPProｔocols\TＣP?ＨKEY_ＬOCAL_MACHＩNE\SＯＦTWARE