资源预览内容
第1页 / 共27页
第2页 / 共27页
第3页 / 共27页
第4页 / 共27页
第5页 / 共27页
第6页 / 共27页
第7页 / 共27页
第8页 / 共27页
第9页 / 共27页
第10页 / 共27页
亲,该文档总共27页,到这儿已超出免费预览范围,如果喜欢就下载吧!
资源描述
第7章 嗅探,网络中的窃听技术,何路 helunwu.edu.cn http:/dc-security.org,主要内容,嗅探技术概述 嗅探的原理与实现 嗅探的检测与防范,嗅探,窃听是间谍获取情报的一种重要手段 嗅探(Sniff)技术是网络中的窃听 嗅探程序(Sniffer)截获网络中传输的数据,并从中解析出其中的机密信息,口令嗅探,主机A:您的主机,FTP服务器,Username:student Password:htjtyd%32,如果主机B处于主机A和FTP通信的信道上,就可以“窃听到”合法的用户名及口令。,攻击者进行嗅探的目的,窃取各种用户名和口令 窃取机密的信息 如电子邮件正文及附件、网络打印的文档等 窥探底层的协议信息 如DNS的IP地址、本机IP地址、本机MAC地址,远程主机的IP地址、网关的IP地址、一次TCP连接的Sequence Numbe 中间人攻击时篡改数据的基础,嗅探的正当用途,解释网络上传输的数据包的含义 为网络诊断提供参考 为网络性能分析提供参考,发现网络瓶颈 发现网络入侵迹象,为入侵检测提供参考 将网络事件记入日志,讨论范围限定,802.3以太网 使用广播信道的网络,在以太网中所有通信都是广播的 目前的以太网分为共享式以太网和交换式以太网 共享式以太网使用同轴电缆或HUB连接 交换式以太网使用交换机连接,共享式以太网包转发,数据到达主机时的格式,在以太网中传输的数据包,其包格式为:,应用层数据,TCP包头,IP包头,MAC帧头,应用层,传输层,网络层,数据链路层,应用程序,操作系统,网络接口,数据发送,应用层,传输层,网络层,主机网络层,应用程序,操作系统,操作系统,网络设备,应用数据,数据接收,应用层,传输层,网络层,主机网络层,应用程序,操作系统,操作系统,网络设备,应用数据,主机接收数据,以太网卡首先从网络中接收数据,并在处理完成数据链路层的任务后向操作系统的传递。,以太网卡的工作原理,网卡接收到传输来的数据,网卡内的单片程序检查数据帧的目的MAC地址,根据网卡驱动程序设置的接收模式决定是否接收 若不应接收就直接丢弃 否则通过中断的方式通知操作系统 操作系统根据驱动设置的中断程序地址调用驱动程序接收数据 驱动程序将数据放入堆栈让操作系统处理。,以太网卡的侦听模式,侦听模式是网络适配器分析传入帧的目标MAC地址,以决定是否进一步处理它们的方式。 单播模式:接收单播和广播数据帧 组播模式:接收单播、广播和组播数据帧 混杂模式:接收所有数据帧,单播模式,单播模式下,网卡只让与目标MAC地址与自己MAC地址相匹配的数据帧或者广播数据帧通过,而过滤掉其它的帧。,混杂模式,混杂(promiscuous)模式下工作的网卡能够接收到一切通过它的数据,而不进行数据的目的地址检查,即不再进行硬件过滤。,嗅探程序设计,从程序设计角度,Sniffer程序至少包括三个模块: 网络数据驱动:捕获数据包 协议还原:分析数据包 缓冲区管理:管理缓冲区,Windows环境下的包捕获,使用WinSock编程接口 创建原始套接字,并使用WSAIoctl()函数将套接字设置为接收所有数据。 使用Winpcap Npf.sys:设备驱动,捕获和发送原始数据包 Packet.dll :使用Npf.sys包捕获和发送能力的应用程序编程接口 Wpcap.dll :与Libpcap相兼容的更高层次抽象 http:/winpcap.polito.it/,嗅探器,Windows Sniffer_pro Netxray Unix Sniffit Snort Tcpdump,广域环境的嗅探,理论上,广域环境下的嗅探并不可行 在实践中,可以在远程传输中的端点或是必经中间节点进行嗅探,主机B,主机A,服务器,交换式以太网,交换式以太网是使用交换机组建的局域网 交换机使用端口和MAC地址对应表进行数据转发,根据数据包的目的MAC地址,选定目标端口,共享式以太网包转发,发送到C,交换式以太网包转发,0260.8c01.1111,0260.8c01.2222,0260.8c01.3333,0260.8c01.4444,E0,E1,E2,E3,D,C,A,B,交换式以太网的嗅探,0260.8c01.1111,0260.8c01.2222,0260.8c01.3333,0260.8c01.4444,E0,E1,E2,E3,D,C,A,B,X,X,嗅探的防范,广播信道 使用网络分段 用交换机代替HUB 明文传输 数据加密,嗅探的检查,嗅探器检查比较困难 商业嗅探器向外发送的数据包 向主机发送可以触发操作系统作出响应,同时又不能通过硬件过滤的数据包,就可以检测主机网络接口的接收模式。实践中,这种数据包的应有特殊的目的MAC地址。,小结,嗅探器是一种基本的攻击方法。本章对嗅探器的原理和实现做了简单介绍。 在嗅探攻击的基础上,攻击者可以实现中间人攻击、拒绝服务攻击等更高级的攻击方法。,
网站客服QQ:2055934822
金锄头文库版权所有
经营许可证:蜀ICP备13022795号 | 川公网安备 51140202000112号