Sniffer分析协议实验报告.docx

密码与网络安全 课程设计报告题 目：利用sniffer分析协议 系 （部）： 理学院 专 业： 信息与计算科学 姓 名： 任业乔 杨坤 学 号： 090111104 090111107 指导教师： 邢朝辉 2012年 6 月 密码与网络安全课程设计（说明书）报告用纸17目 录前言 2 1. sniffer技术概括 4 1.1 sniffer的定义 5 1.2 sniffer的工作原理 51.3 sniffer技术应用现状 5 1.4 sniffer 技术发展状况 5 2.monitor功能介绍 62,1 dashboard仪表盘的使用 6 2.2 host table的使用 6 2.3 matrix矩阵的应用 8 2.4 art的使用 9 3. sniffer抓包实例 9 3.1 抓取这台机器的所有数据包 9 4.抓取邮箱密码账号 10 4.1 设置规则 10 4.2 抓包开始 13 4.3 登录邮箱 14 4,4 对包分析 15 4.5 查找获取账号密码 15 5.谢辞 16 6.参考文献 17 前言简介数据在网络上是以很小的称为帧（frame）的单位传输的，帧由几部分组成，不同的部分执行不同的功能。帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上，通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧已到达，然后对其进行存储。就是在这个传输和接收的过程中，嗅探器会带来安全方面的问题。每一个在局域网（lan）上的工作站都有其硬件地址，这些地址惟一地表示了网络上的机器（这一点与internet地址系统比较相似）。当用户发送一个数据包时，这些数据包就会发送到lan上所有可用的机器。如果使用hub/即基于共享网络的情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的数据包则不予响应（换句话说，工作站a不会捕获属于工作站b的数据，而是简单地忽略这些数据）。如果某个工作站的网络接口处于混杂模式（关于混杂模式的概念会在后面解释），那么它就可以捕获网络上所有的数据包和帧。但是现代网络常常采用交换机作为网络连接设备枢纽，在通常情况下，交换机不会让网络中每一台主机侦听到其他主机的通讯，因此sniffer技术在这时必须结合网络端口镜像技术进行配合。而衍生的安全技术则通过arp欺骗来变相达到交换网络中的侦听。网络监听原理sniffer程序是一种利用以太网的特性把网络适配卡（nic，一般为以太网卡）置为杂乱（promiscuous）模式状态的工具，一旦网卡设置为这种模式，它就能接收传输在网络上的每一个信息包。普通的情况下，网卡只接收和自己的地址有关的信息包，即传输到本地主机的信息包。要使sniffer能接收并处理这种方式的信息，系统需要支持bpf，linux下需要支持socket一packet。但一般情况下，网络硬件和tcp/ip堆栈不支持接收或者发送与本地计算机无关的数据包，所以，为了绕过标准的tcp/ip堆栈，网卡就必须设置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内核必须支持这种伪设备bpfilter，而且需要root权限来运行这种程序，所以sniffer需要root身份安装，如果只是以本地用户的身份进入了系统，那么不可能嗅探到root的密码，因此不能运行sniffer。也有基于无线网络、广域网络(ddn, fr)甚至光网络(pos、fiber channel)的监听技术，这时候略微不同于以太网络上的捕获概念，其中通常会引入tap(测试介入点)这类的硬件设备来进行数据采集。分类sniffer分为软件和硬件两种，软件的sniffer有 sniffer pro、network monitor、packetbone等，其优点是易于安装部署，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的sniffer通常称为协议分析仪，一般都是商业性的，价格也比较昂贵，但会具备支持各类扩展的链路捕获能力以及高性能的数据实时捕获分析的功能。基于以太网络嗅探的sniffer只能抓取一个物理网段内的包，就是说，你和监听的目标中间不能有路由或其他屏蔽广播包的设备，这一点很重要。所以，对一般拨号上网的用户来说，是不可能利用sniffer来窃听到其他人的通信内容的。网络监听目的当一个黑客成功地攻陷了一台主机，并拿到了root权限，而且还想利用这台主机去攻击同一（物理）网段上的其他主机时，他就会在这台主机上安装sniffer软件，对以太网设备上传送的数据包进行侦听，从而发现感兴趣的包。如果发现符合条件的包，就把它存到一个log文件中去。通常设置的这些条件是包含字“username”或“password”的包，这样的包里面通常有黑客感兴趣的密码之类的东西。一旦黑客截获得了某台主机的密码，他就会立刻进入这台主机。如果sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。sniffer属于第m层次的攻击。就是说，只有在攻击者已经进入了目标系统的情况下，才能使用sniffer这种攻击手段，以便得到更多的信息。sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个重要的信息、在网上传送的金融信息等等。sniffer几乎能得到任何在以太网上传送的数据包。sniffer技术发展状况当前将sniffer技术应用在网络管理中还不是十分的普遍，即使已经在网络管理中使用了sniffer技术，其也是处于一种辅助的、次要的位置，在这些产品中，太部分都是孤立的sniffer技术的产品，少有真正实现sniffer技术和网络管理的集成，形成一个完善的功能强大的sniffer网络管理系统。在sniffer技术的发展和应用中， sniffer技术公司(sniffer technologies)起到了巨大的推动作用，sniffer技术公司的品牌和方法已经成为监控局域网和广域网性能的事实工业标准，提出和实现了许多sniffer技术的热点研究方向和行之有效的网络管理解决方案，在创新技术与解决方案领域领先于市场和同类公司。sniffer技术公司是全球第五大软件公司美国网络联盟(network associates，inc简称nai)下属的一家分公司，专门提供各种网络和应用程序管理解决方案，占领着世界80的市场份额。在sniffer技术的基础之上，sniffer技术公司结合分布式、人工智能、远程监视、无线lan等技术推出了一系列的sniffer网络管理产品。该公司的”sniffer网络全视野”(sniffertotal network visiblity简称tvn)是一套端对端的优化网络性能和确保网络运行的智能管理解决方案，包括sniffer basic、sniffer pro lan、sniffer prowan、sniffer pro highspeed组成的便携式分析套件和分布式分析套件。除了sniffer技术公司的sniffer产品外，还有一些公司的产品，它们的功能和应用范围一般非常有限或用于一些专用的设备，推广不如sniffer技术公司。1.sniffer技术概述 sniffer，网络监(诊)听，也称嗅探器，可以被用于网络管理中进行网络监视的一种技术。 1.1.sniffer的定义iss(internet security system)为sniffer这样定义：sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。我们一般认为sniffer是指在运行以太网协议、tcpip协议、ipx协议或者其他协议的网络上，可以攫取网络信息流的软件或硬件。sniffer早期主要是分析网络的流量，以便找出所关心的网络中潜在的问题。sniffer的存在对网络系统管理员是至关重要的，网络系统管理员通过sniffer可以诊断出大量的不可见模糊问题(如网络瓶颈、错误配置等)，监视网络活动，完善网络安全策略，进行行之有效的网络管理。 1.2.sniffer的工作原理internet是由众多的局域网所组成，这些局域网一般是以太网、令牌网的结构。数据在这些网络上是以很小的称为帧(frame)的单位传输的，帧通过特定的网络驱动程序进行成型，然后通过网卡发送到网线上。由于以太网等很多网络(常见共享hub连接的内部网)是基于总线方式，物理上是广播的，同一物理网段的所有主机的网卡都能接收到这些以太网帧。当网络接口处于正常状态时，网卡收到传输来的数据帧，网卡内的芯片程序先接收数据头的目的mac地址，根据计算机上的网卡驱动程序设置的接收模式判断该不该接收，如果认为是目的地址为本机地址的数据帧或是广播帧，则接收并在接收后产生中断信号通知cpu，否则就丢弃不管，cpu得到中断信号产生中断，操作系统就根据网卡驱动程序中设置的网卡中断程序地址调用驱动程序接收数据，驱动程序接收数据后放入信号堆栈让操作系统处理。通过修改网卡存在一种特殊的工作模式，在这种工作模式下，网卡不对目的地址进行判断，而直接将它收到的所有报文都传递给操作系统进行处理。这种特殊的工作模式，称之为混杂模式(promiscuous mode)。sniffer就是通过将网卡设置为混杂模式，它对遇到的每一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。sniffer工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。一般典型的sniffer通常由三部分组成：网络硬件设备 。监听驱动程序：截获数据流，进行过滤并把数据存入缓冲区：实时分析程序：实时分析数据帧中所包含的数据，目的是发现网络性能问题和故障1.3 sniffer技术应用现状sniffer最早是设计来诊断网络联接情况的，允许系统管理员分析网络和查明网络故障的简单工具，由于其本身的特性，也经常成为黑客提取网络数据，监视网络的工具。也就是说，sniffer技术早期用于网络管理的功能是十分有限的，仅仅是一个功能简单的工具而已。 1.4 sniffer技术发展状况当前将sniffer技术应用在网络管理中还不是十分的普遍，即使已经在网络管理中使用了sniffer技术，其也是处于一种辅助的、次要的位置，在这些产品中，太部分都是孤立的sniffer技术的产品，少有真正实现sniffer技术和网络管理的集成，形成一个完善的功能强大的sniffer网络管理系统。在sniffer技术的发展和应用中， sniffer技术公司(sniffer technologies)起到了巨大的推动作用，sniffer技术公司的品牌和方法已经成为监控局域网和广域网性能的事实工业标准，提出和实现了许多sniffer技术的热点研究方向和行之有效的网络管理解决方案，在创新技术与解决方案领域领先于市场和同类公司。sniffer技术公司是全球第五大软件公司美国网络联盟(network associates，inc简称nai)下属的一家分公司，专门提供各种网络和应用程序管理解决方案，占领着世界80的市场份额。在sniffer技术的基础之上，sniffer技术公司结合分布式、人工智能、远程监视、无线lan等技术推出了一系列的sniffer网络管理产品。该公司的”sniffer网络全视野”(sniffertotal network visiblity简称tvn)是一套端对端的优化网络性能和确保网络运行的智能管理解决方案，包括sniffer basic、sniffer pro lan、sniffer prowan、sniffer pro highspeed组成的便携式分析套件和分布式分析套件。除了sniffer技术公司的sniffer产品外，还有一些公司的产品，它们的功能和应用范围一般非常有限或用于一些专用的设备，推广不如sniffer技术公司。2.monitor功能介绍2.1第一个monitor功能-dashboard仪表盘的使用图1在使用的过程中可以可以点击detail errors查看数据丢失率与组播广播数量，这些数据的异常都是网络出现问题的先兆。图中第一个表显示的是网络的使用率（utilization），第二个表显示的是网络的每秒钟通过的包数量（packets），第三个表显示的是网络的每秒错误率（errors）。其中红色区域是警戒区域，如果发现有指针到了红色区域我们就该引起一定的重视了，说明网络线路不好或者网络使用压力负荷太大。通过这三个表可以直观的观察到网络的使用情况，红色部分显示的是根据网络要求设置的上限。2.2第二个monitor功能-host table的使用点击host table键，就显示了下图中的界面。再点击ip选项。界面中出现的是所有在线的本网主机地址及连到外网的外网服务器地址。点击图所示的“detail”图标，图中显示的是整个网络中的协议分布情况，可清楚地看出哪台机器运行了那些协议。图2图3点击图所示的“bar”图标，图中显示的是整个网络中的机器所用带宽前10名的情况。显示方式是柱状图，下图显示的内容与辖下图相同，只是显示方式是饼图。图4图52.3第三个monitor功能-matrix矩阵的应用点击图matrix图标，出现全网的连接示意图，图中绿线表示正在发生的网络连接，蓝线表示过去发生的连接。将鼠标放到线上可以看出连接情况。很多人用他来发现病毒，其实用他来评估网络状况和异常流量，是一个很好用的工具。图6如要查看哪那一台主机的连接数最多，鼠标右键在弹出的菜单中可选择放大（zoom）此图。找到对外连接最多的机器，选中后，按鼠标右键，选show select nodes，就可以查看特定的点对多点的网络连接。2.4第四个monitor功能-art的使用art,application response time，应用响应时间。1. 图73.抓某台机器的所有数据包 3.1抓取这台机器的所有数据包本例要抓这台机器的所有数据包，如图8选择这台机器。点击左侧捕获图标，出现如图9界面，等到图9望远镜图标变红时，表示已捕捉到数据，点击该图标出现图10界面，选择解码选项即可看到捕捉到的所有包。图8图9图104.抓取邮箱密码账号本例从 这台机器上用sniff 抓到163邮箱的用户名和密码4.1设置规则如图11所示，选择捕获菜单中的定义过滤器，出现图12界面，选择图12中的地址项，在地址类型中选择ip，位置1填写ip为位置2填写任意如图13所示.选择高级选项，选择选ip/tcp/http 点击确定完成设置。图11图12图13图14图154.2抓包点击开始按钮开始抓包如图16所示，登陆163邮箱，等到望远镜图标变红时，表示已捕捉到数据，点击该图标出现图18界面，选择解码选项即可看到捕捉到的所有包邮箱的账号和密码就在里面，单击显示，查找帧查找范围对话框内输入关键字password如图19单击确定可以找到邮箱的账号密码如图20右下角为我们班163邮箱的账号和密码。图164.3登录邮箱图174.4对包分析图18 4.5查找获取账号密码图19图205.谢辞本论文能够顺利的完成，首先是要感谢我的老师。从论文的选题、研究思路的确定、论文提纲的修订、初稿的审阅和论文的定稿，处处都有老师的汗水和心血。其次非常感谢同学，在论文写作前期他们给了我很大的帮助，他们提出的种种建议总是让我感受到他深厚的学术积累和严谨的治学态度，在论文几经波折的时候，他们