信息收集技术概要

2信息收集技术网络攻防与实践概要

网络信息收集方式网络搜寻搜寻引擎电驴、Foxy共享软件博客以及论坛扫描、监听社会工程学网络信息收集技术网络踩点(Footprinting)Web搜寻与挖掘DNS和IP查询网络拓扑侦察网络扫描(Scanning)主机扫描端口扫描系统类型探查漏洞扫描网络查点(Enumeration)旗标抓取网络效劳查点网络信息收集技术之网络踩点目标组织具体使用的域名网络地址范围因特网上可直接访问的IP地址与网络效劳网络拓扑构造号码段电子邮件列表信息安全状况目标个人身份信息联系方式职业经受其他个人隐私信息网络信息收集技术之网络踩点公开渠道信息收集目标Web网页、地理位置、相关组织组织构造和人员、个人资料、、电子邮件网络配置、安全防护机制的策略和技术细节GoogleHackingGoogleHacking:通过网络搜寻引擎查找特定安全漏洞或私密信息的方法allinurl:tsweb/default.htm:查找远程桌面Web连接JohnnyLong:GoogleHackingforPenetrationTestersGoogleHacking软件:Athena,Wikto,SiteDigger网络信息收集技术之网络踩点Google根本搜寻规律运算andor-(not)匹配“完全匹配“通配*?Google高级搜寻intitle|allintitle|intext|inurlsite|filetype|link|daterange|related|cache|infophonebook|rphonebookauthor|group|msgidGoogleHacking/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking本人参考课件以及这两篇文章亲自尝试了一下。GoogleHacking的实现以及应用教你做黑客，用GOOGLE搜寻Indexof....破解网站密码，切忌只作为消遣，不行做违法之事，于己于人都无疑！网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点/GoogleHacking网络信息收集技术之网络踩点组织安全敏感信息及个人隐私信息不在因特网上随便公布个人上网时尽量保持匿名“网络实名制”?个人隐私权立法爱护?还没有！“跨省追捕”!必需供给个人隐私信息时，应选择具有良好声誉并可信任的网站定期对自身单位及个人在Web上的信息脚印进展搜寻把握GoogleHacking信息搜寻技术觉察非预期泄漏的敏感信息后，应实行行动进展去除/Web信息搜寻与挖掘防范网络信息收集技术之网络踩点DNS/IP因特网赖以运转的两套根底设施因特网上的公共数据库中进展维护层次化构造治理ICANN:因特网技术协调机构ASO:地址支持组织,负责IP地址安排和治理GNSO:根本名称支持组织,负责通用顶级域名安排CNNSO:国家代码域名支持组织,负责国家顶级域名安排国内公网:CNNIC,ISPs(电信,网通…),域名效劳商(万网)教育网:CERNET,赛尔网络,…/DNS与IP网络信息收集技术之网络踩点/DNS与IP网络信息收集技术之网络踩点DNS效劳器和查询机制权威DNS效劳器：供给原始DNS映射信息主(primary)DNS效劳器帮助(secondary)DNS效劳器递归缓存DNS效劳器：ISP供给接入用户使用分布式缓存与递归查询的机制DNS查询工具nslookup/dig/DNS与IP网络信息收集技术之网络踩点域名解析过程第一步：客户机提出域名解析恳求,并将该恳求发送给本地的域名效劳器。其次步：当本地的域名效劳器收到恳求后,就先查询本地的缓存,假设有该纪录项,则本地的域名效劳器就直接把查询的结果返回。第三步：假设本地的缓存中没有该纪录,则本地域名效劳器就直接把恳求发给根域名效劳器,然后根域名效劳器再返回给本地域名效劳器一个所查询域(根的子域)的主域名效劳器的地址。第四步：本地效劳器再向上一步返回的域名效劳器发送恳求,然后承受恳求的效劳器查询自己的缓存,假设没有该纪录,则返回相关的下级的域名效劳器的地址。第五步：重复第四步,直到找到正确的纪录。第六步：本地域名效劳器把返回的结果保存到缓存,以备下一次使用,同时还将结果返回给客户机/DNS与IP网络信息收集技术之网络踩点/Shell入门网络信息收集技术之网络踩点/Shell入门网络信息收集技术之网络踩点/Shell入门网络信息收集技术之网络踩点DNS解析案例alex@alex-ThinkPad-X121e:~$nslookupAddress: #53Non-authoritativeanswer:Address:/DNS与IP网络信息收集技术之网络踩点域名注册过程注册人(Registrant)→注册商(Registrar)→官方注册局(Registry)3R注册信息：分散在官方注册局或注册商各自维护数据库中官方注册局一般会供给注册商和ReferralURL信息具体注册信息一般位于注册商数据库中WHOIS查询查询特定域名的3R具体注册信息域名注册信息查询:ICANN(IANA)→域名官方注册局→域名效劳商WhoisWeb查询效劳：官方注册局、注册商查找域名注册信息数据库并查询返回结果的WhoisWeb查询效劳：万网、站长之家(whois.chinaz)集成工具:Whois客户程序,SamSpade,SuperScan,…/Whois查询网络信息收集技术之网络踩点Whois查询案例本人觉察该网站能查到Whois信息的概率比较大。/Whois查询EastChinaUniversityofScienceandTechnology(DOM)MeiLongRoad,XuHuiDistrictShanghai,SH202337ChinaAdministrativeContact,TechnicalContact:Xia,Ping(PX1-CN)+86-21-6477-1328Recordlastupdatedon19960116Recordcreatedon19960116DomainServersinlistedorder:WebsiteTitle:华东理工大学TitleRelevancy100%网络信息收集技术之网络踩点/IP地理信息网络信息收集技术之网络踩点公用数据库中供给信息的安全问题必需向注册机构供给尽可能准确的信息承受一些安防措施不让攻击者轻易得手准时更新治理性事务联系人的信息尝试使用虚构的人名来作为治理性事务联系人“HoneyMan”:帮助觉察和追查那些在或邮件中试图冒充虚构人名的“社会工程师”慎重考虑所列的号码和地址等信息留意域名注册机构允许更新注册信息的方式，并确保其中关键信息的安全攻击案例：2023年黑客进入了网络支付效劳商CheckFree的邮箱，从而修改了域名记录/DNS与IP查询防范措施网络信息收集技术之网络踩点Traceroute–路由跟踪探测网络路由路径，可用于确定网络拓扑主机发送TTL从1开头逐步增1的IP包，网络路径上路由器返回ICMPTIME_EXECEEDEDUNIX/Linux:tracerouteWindows:tracert穿透防火墙:traceroute-S-p53TARGET_IP图形化界面工具:VisualRoute,NeoTrace,Trout网络侦察防范措施路由器配置:只允许特定系统响应ICMP/UDP数据包网络入侵检测系统/网络入侵防范系统:Snort虚假响应信息:RotoRouter/网络侦查网络信息收集技术之网络踩点路由跟踪案例alex@alex-ThinkPad-X121e:~$sudotraceroutetracerouteto(7),30hopsmax,60bytepackets1()6.804ms7.098ms*2***353(53)4.212ms4.624ms5.025ms4***814(14)50.409ms50.790ms51.201ms941(41)44.949ms45.384ms46.125ms1050(50)43.939ms44.573ms46.606ms119(9)46.839ms47.235ms47.575ms12***1525(25)10.556ms8.411ms9.346ms16***187(7)23.137ms23.288ms23.501ms/网络侦查网络信息收集技术之网络踩点路由跟踪案例alex@alex-ThinkPad-X121e:~$sudotraceroutetraceroutetosnwei(51),30hopsmax,60bytepackets1()190.511ms190.942ms*2***3()4.319ms5.978ms6.682ms47(7)11.510ms13.433ms14.069ms586(86)11.919ms12.313ms12.681ms60(0)25.563ms21.895ms21.659ms7()21.402ms24.249ms23.943ms826(26)25.416ms25.688ms25.616ms9***/网络侦查网络信息收集技术之网络踩点路由跟踪案例C:\DocumentsandSettings\Administrator>tracertTracingrouteto[75]overamaximumof30hops:810ms8ms6msTracecomplete./网络侦查网络信息收集技术之网络扫描主机扫描——找出IP段内活动主机端口扫描——找出某台主机开发的网络效劳系统/效劳辨识——打算攻击手段漏洞扫描——找出破解通道网络信息收集技术之网络扫描网络测试最常用的命令——pingping[-LRUbdfnqrvVaAB][-ccount][-mmark][-iinterval][-lpreload][-ppattern][-spacketsize][-tttl][-wdeadline][-Fflowlabel][-Iinterface][-Mhint][-Nnioption][-Qtos][-Ssndbuf][-Ttimestampoption][-Wtimeout][hop...]destinationping/主机扫描网络信息收集技术之网络扫描这台主机处于活动状态吗？alex@alex-ThinkPad-X121e:~$pingPING()56(84)bytesofdata.64bytesfrom:icmp_req=4ttl=64time=52.4ms64bytesfrom:icmp_req=5ttl=64time=78.7ms64bytesfrom:icmp_req=6ttl=64time=102ms64bytesfrom:icmp_req=7ttl=64time=1.38ms64bytesfrom:icmp_req=8ttl=64time=11.6ms64bytesfrom:icmp_req=9ttl=64time=1.32ms^C---pingstatistics---9packetstransmitted,6received,33%packetloss,time8030msrttmin/avg/max/mdev=1.329/41.340/102.571/39.480ms/主机扫描网络信息收集技术之网络扫描这台主机处于活动状态吗？alex@alex-ThinkPad-X121e:~$pingPING()56(84)bytesofdata.From4icmp_seq=1DestinationHostUnreachableFrom4icmp_seq=2DestinationHostUnreachableFrom4icmp_seq=3DestinationHostUnreachable^C---pingstatistics---6packetstransmitted,0received,+3errors,100%packetloss,time5033ms/主机扫描网络信息收集技术之网络扫描ping扫描主机扫描目的：检查目标主机是否活泼(active).主机扫描方式传统ICMPPing扫描ACKPing扫描SYNPing扫描UDPPing扫描主机扫描程序pingnmap-sP/主机扫描网络信息收集技术之网络扫描ping扫描/主机扫描alex@alex-ThinkPad-X121e:~/code/bash$catsping.sh#!/bin/bashfor((i=10;i<20;i++))doip=192.168.1.$i

ping$ip-c1>/dev/null

if[$?-eq0]

then

echo$ip

fidonealex@alex-ThinkPad-X121e:~/code/bash$./sping.sh网络信息收集技术之网络扫描nmap扫描nmap-sP/主机扫描alex@alex-ThinkPad-X121e:~/code/bash$nmapStartingNmap5.21(://)at2023-10-0620:27CSTNmapscanreportforHostisup(0.0035slatency).NmapscanreportforHostisup(0.093slatency).NmapscanreportforHostisup(0.021slatency).NmapscanreportforHostisup(0.046slatency).NmapscanreportforHostisup(0.000071slatency).NmapscanreportforHostisup(0.0013slatency).Nmapdone:256IPaddresses(6hostsup)scannedin3.92seconds网络信息收集技术之网络扫描ping扫射Ping扫射同时扫描大量的IP地址段，以觉察某个IP地址是否绑定活泼主机的扫描Ping扫射工具软件UNIX:Nmap,fping,hping2Win32:Superscan/主机扫描网络信息收集技术之网络扫描当确定了目标主机可达后，就可以使用端口扫描技术，觉察目标主机的开放端口，包括网络协议和各种应用监听的端口。端口扫描技术包括以下几种：全扫描会产生大量的审计数据，简洁被对方觉察，但其牢靠性高。半扫描隐蔽性和牢靠性介于全扫描和隐秘扫描之间。隐秘扫描能有效的避开对方入侵检测系统和防火墙的检测，但使用的数据包在通过网络时简洁被丢弃从而产生错误的探测信息。认证(ident)扫描需要先建立一个完整的TCP连接。FTP代理扫描隐蔽性好，难以追踪。但受到效劳器设置的限制。/主机扫描网络信息收集技术之网络扫描主机扫描的防范措施监测：网络入侵检测系统Snort；主机扫描监测工具Scanlogd防范：认真考虑对ICMP通信的过滤策略利用Ping构建后门:loki(Phrackv51#06),pingd/主机扫描网络信息收集技术之网络扫描端口TCP/UDP(1-64K),运行网络应用效劳由IANA/ICANN负责安排端口扫描定义连接目标主机的TCP和UDP端口，确定哪些效劳正在运行即处于监听状态的过程。端口扫描目的防范者－更加了解所治理的网络状况，找出没有必要开放的端口并关闭，这是保证业务网络安全的第一步。攻击者－找出可供进一步攻击的网络效劳，同时结合操作系统探测技术也可以确定目标主机所安装的操作系统版本。开放网络效劳和操作系统版本信息为攻击者供给了破解攻击的目标，使其更简洁找出进入目标主机的漏洞路径。/端口扫描网络信息收集技术之网络扫描TCP端口扫描Connect扫描调用socket的connect函数连接目标端口开放端口：完成完整的TCP三次握手(SYN,SYN|ACK,ACK)，timeout/RST关闭端口：SYN,RST优势&弱势：无需特权用户权限可发起，目标主机记录大量连接和错误信息，简洁检测/端口扫描网络信息收集技术之网络扫描TCP端口半开扫描SYN扫描半开扫描(half-openscanning)开放端口：攻击者SYN,目标主机SYN|ACK,攻击者马上反响RST包关闭连接关闭端口：攻击者SYN,目标主机RST优势&弱势：目标主机不会记录未建立连接，较为隐蔽，需根用户权限构建定制SYN包/端口扫描网络信息收集技术之网络扫描TCP端口扫描nmap-sT/端口扫描alex@alex-ThinkPad-X121e:~$nmapStartingNmap5.21(://)at2023-10-0621:00CSTHostisup(0.0087slatency).Notshown:996filteredportsPORTSTATESERVICE80/tcpopen135/tcpopenmsrpc139/tcpopennetbios-ssn445/tcpopenmicrosoft-dsNmapdone:1IPaddress(1hostup)scannedin6.00seconds网络信息收集技术之网络扫描TCP端口半开扫描nmap-sS/端口扫描alex@alex-ThinkPad-X121e:~$sudonmapStartingNmap5.21(://)at2023-10-0621:06CSTHostisup(0.038slatency).Notshown:996filteredportsPORTSTATESERVICE80/tcpopen135/tcpopenmsrpc139/tcpopennetbios-ssn445/tcpopenmicrosoft-dsMACAddress:00:13:46:6F:8C:1B(D-Link)Nmapdone:1IPaddress(1hostup)scannedin11.75seconds网络信息收集技术之网络扫描谁启用了远程桌面？/端口扫描alex@alex-ThinkPad-X121e:~$nmapStartingNmap5.21(://)at2023-10-0621:14CSTNmapscanreportforHostisup(0.0054slatency).PORTSTATESERVICE3389/tcpfilteredms-term-servNmapscanreportforHostisup(0.12slatency).PORTSTATESERVICE3389/tcpfilteredms-term-servNmapscanreportforHostisup(0.078slatency).PORTSTATESERVICE3389/tcpclosedms-term-serv网络信息收集技术之网络扫描谁启用了远程桌面？/端口扫描NmapscanreportforHostisup(0.085slatency).PORTSTATESERVICE3389/tcpfilteredms-term-servNmapscanreportforHostisup(0.00011slatency).PORTSTATESERVICE3389/tcpclosedms-term-servNmapscanreportforHostisup(0.00099slatency).PORTSTATESERVICE3389/tcpclosedms-term-servNmapdone:256IPaddresses(6hostsup)scannedin11.19seconds网络信息收集技术之网络扫描端口扫描防范措施/端口扫描任何攻击技术都是双刃剑网络治理员也可利用端口扫描确定开放必要效劳端口扫描的监测网络入侵检测系统:Snort中的portscan检测插件系统扫描检测工具:scanlogd,PortSentry,Genius端口扫描的预防开启防火墙类UNIX:netfilter/IPTablesWin32:个人防火墙禁用全部不必要的效劳,尽可能削减暴露面(进一步的受攻击面)类UNIX:/etc/inetd.confWin32:掌握面板/效劳网络信息收集技术之网络扫描探查系统类型/端口扫描系统类型探查探查活泼主机的系统及开放网络效劳的类型目标主机上运行着何种类型什么版本的操作系统各个开放端口上监听的是哪些网络效劳目的为更为深入的情报信息收集，真正实施攻击做好预备如远程渗透攻击需了解目标系统操作系统类型，并配置网络信息收集技术之网络扫描探查系统类型/端口扫描操作系统类型探查(OSIdentification)通过各种不同操作系统类型和版本实现机制上的差异通过特定方法以确定目标主机所安装的操作系统类型和版本的技术手段明确操作系统类型和版本是进一步进展安全漏洞觉察和渗透攻击的必要前提不同操作系统类型和版本的差异性协议栈实现差异－协议栈指纹鉴别开放端口的差异－端口扫描应用效劳的差异－旗标攫取辨识方式主动－操作系统主动探测技术被动－被动操作系统识别技术网络信息收集技术之网络扫描探查系统类型nmap-O/端口扫描alex@alex-ThinkPad-X121e:~$sudonmapStartingNmap5.21(://)at2023-10-0621:27CSTHostisup(0.0058slatency).Notshown:996filteredportsPORTSTATESERVICE80/tcpopen135/tcpopenmsrpc139/tcpopennetbios-ssn445/tcpopenmicrosoft-dsMACAddress:00:13:46:6F:8C:1B(D-Link)Warning:OSScanresultsmaybeunreliablebecausewecouldnotfinda..Devicetype:generalpurposeRunning(JUSTGUESSING):MicrosoftWindowsVista|2023|7(97%)AggressiveOSguesses:MicrosoftWindowsVistaSP0orSP1,Server20..NoexactOSmatchesforhost(testconditionsnon-ideal).NetworkDistance:1hopOSdetectionperformed.Pleasereportanyincorrectresultsat:///submit/.Nmapdone:1IPaddress(1hostup)scannedin30.52seconds网络信息收集技术之网络扫描探查系统类型nmap-O

$sudonmap/端口扫描Warning:OSScanresultsmaybeunreliablebecausewecouldnotfindatleast1openand1closedportDevicetype:generalpurpose|VoIPadapterRunning(JUSTGUESSING):MicrosoftWindows2023|7|XP|2023(94%),Sipuraembedded(86%)AggressiveOSguesses:MicrosoftWindowsServer2023SP2(94%),MicrosoftWindowsServer2023SP1(93%),MicrosoftWindows7(87%),MicrosoftWindowsXPSP2(87%),MicrosoftWindowsXPEmbeddedSP2(87%),SipuraSPA-3000VoIPadapter(86%),MicrosoftWindows2023SP4(86%)NoexactOSmatchesforhost(testconditionsnon-ideal).网络信息收集技术之网络扫描探查网络效劳nmap-sV/端口扫描alex@alex-ThinkPad-X121e:~$nmapStartingNmap5.21(://)at2023-10-0621:38CSTNmapscanreportfor(7)Hostisup(0.014slatency).Notshown:990filteredportsPORTSTATESERVICEVERSION21/tcpopenftpFileZillaftpd0.9.41beta80/tcpopenMicrosoftIISwebserver7.5135/tcpopenmsrpcMicrosoftWindowsRPC139/tcpopennetbios-ssn445/tcpopennetbios-ssn3389/tcpopenmicrosoft-rdpMicrosoftTerminalService49153/tcpopenmsrpcMicrosoftWindowsRPC49154/tcpopenmsrpcMicrosoftWindowsRPC49157/tcpopenmsrpcMicrosoftWindowsRPC49158/tcpopenmsrpcMicrosoftWindowsRPCServiceInfo:OS:WindowsServicedetectionperformed.Pleasereportanyincorrectresultsat:///submit/.Nmapdone:1IPaddress(1hostup)scannedin52.77seconds网络信息收集技术之网络扫描探查系统/效劳的防范措施/端口扫描并没有太多好方法检测端口扫描监测工具对被动式静默监听并辨识系统类型行为则根本无能为力挫败系统类型探查活动的防范机制也很难“不出声就不会被觉察”这一古老格言并不适用于网络攻防领域应立足于即使攻击者探查出了操作系统和网络效劳类型，也不能轻易的攻破这道“牢固的防线”网络信息收集技术之网络扫描nmap扫描命令常见用法/端口扫描SOSO百科nmap你还记得吗？-sP-PN-sS-sT-sU-sV-O-p网络信息收集技术之网络扫描/漏洞扫描漏洞SecurityVulnerability，安全脆弱性一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的状况下访问、掌握系统漏洞扫描检查系统是否存在已公布安全漏洞，从而易于患病网络攻击的技术网络信息收集技术之网络扫描/漏洞扫描系统设计缺陷Internet从设计时就缺乏安全的总体架构和设计TCP/IP中的三阶段握手软件源代码的急剧膨胀Windows951500万行,Windows981800万行WindowsXP3500万行,WindowsVista5000万行Linux内核200万行软件实现的缺陷微软开发人员的单体测试缺陷从超过25个缺陷/千行代码显著降低到7个缺陷/千行代码网络信息收集技术之网络扫描/漏洞扫描漏洞扫描技术检查系统是否存在已公布安全漏洞，从而易于患病网络攻击的技术。双刃剑网络治理员用来检查系统安全性，渗透测试团队(RedTeam)用于安全评估。攻击者用来列出最可能成功的攻击方法，提高攻击效率。已公布安全漏洞数据库业界标准漏洞命名库微软安全漏洞公告ISS(InternetSecurityScanner)1993年:第一个漏洞扫描软件，商业2023年被IBM以16亿美元收购SATAN/SAINT1995年:DanFarmer第一个公开公布的漏洞扫描软件，引发媒体负面报导Nessus*目前最优秀的共享漏洞扫描软件1998-:RenaudDeraison,Nessusv2.x开源2023-:TenableNetworkSecurity,Nessusv3.x,v4.x,freeware,pluginlicense网络信息收集技术之网络扫描/漏洞扫描开源软件Xscan*:“冰河”黄鑫2023年开头开发2023年v3.3之后无更新兼容Nessus的NASL语言开发插件国内厂商绿盟:“极光”启明星辰:“天镜”方正、中软、东软…网络信息收集技术之网络扫描/漏洞扫描网络扫描器的功能扫描目标主机识别其工作状态〔开/关机〕识别目标主机端口的状态〔监听/关闭〕识别目标主机操作系统的类型和版本识别目标主机效劳程序的类型和版本分析目标主机、目标网络的漏洞〔脆弱点〕生成扫描结果报告网络信息收集技术之网络扫描/漏洞扫描网络信息收集技术之网络扫描最简洁对策：假设黑客会使用漏洞扫描来觉察目标网络弱点，那你必需在黑客之前扫描漏洞补丁自动更新和分发:修补漏洞联邦桌面核心配置打算(FDCC)确保桌面计算机的安全漏洞及补丁自动治理中国2023年才开头政务终端安全配置(CGDCC)标准的进展检测和防范漏洞扫描行为网络入侵检测系统:Snort认真审查防火墙配置规章/漏洞扫描网络信息收集技术之网络扫描/漏洞扫描网络信息收集技术之网络扫描/漏洞扫描网络信息收集技术之网络扫描/漏洞扫描网络信息收集技术之网络扫描/漏洞扫描网络信息收集技术之网络扫描/扫描防范反扫描技术端口扫描监测工具防火墙技术审计技术其它防范技术设防火墙，削减开放端口记录日志，应用审计技术分析监测扫描，作出预警方法监听一个不常用端口抓包分析常用工具：ProtectX/Winetd/DTK/PortSentry端口伪装，修改“欢送”信息，信息哄骗蜜罐系统网络信息收集技术之网络扫描/扫描防范1．网络监听的概念网络监听技术又叫做网络嗅探技术(NetworkSniffing)，顾名思义，这是一种在他方未觉察的状况下捕获其通信报文或通信内容的技术。在网络安全领域，网络监听技术对于网络攻击与防范双方都有着重要的意义，是一把双刃剑。对网络治理员来说，它是了解网络运行状况的有力助手，对黑客而言，它是有效收集信息的手段。网络监听技术的力量范围目前只限于局域网。网络信息收集技术之网络监听/概述 Sniffer这个名称最早是一种网络监听工具的名称，后来其也就成为网络监听的代名词。在最初的时候，它是作为网络治理员检测网络通信的一种工具。网络监听器分软、硬两种。网络信息收集技术之网络监听/概述1．网络监听的概念软件嗅探器廉价易于使用，缺点是功能往往有限，可能无法抓取网络上全部的传输数据(比方碎片)，或效率简洁受限；硬件嗅探器通常称为协议，它的优点恰恰是软件嗅探器所欠缺的，处理速度很高，但是价格昂贵。目前主要使用的嗅探器是软件的。网络信息收集技术之网络监听/概述2．Sniffer软件的主要工作机制驱动程序支持：需要一个直接与网卡驱动程序接口的驱动模块，作为网卡驱动与上层应用的“中间人”，它将网卡设置成混杂模式，捕获数据包，并从上层接收各种抓包恳求。分组捕获过滤机制：对来自网卡驱动程序的数据帧进展过滤，最终将符合要求的数据交给上层。链路层的网卡驱动程序上传的数据帧就有了两个去处：一个是正常的协议栈，另一个就是分组捕获过滤模块，对于非本地的数据包，前者会丢弃〔通过比较目的IP地址〕，而后者则会依据上层应用的要求来打算上传还是丢弃。网络信息收集技术之网络监听/概述2．Sniffer软件的主要工作机制很多操作系统都供给这样的“中间人”机制，即分组捕获机制。在UNIX类型的操作系统中，主要有3种：BSD系统中的BPF(BerkeleyPacketFilter)、SVR4中的DLPI(DateLinkInterface)和Linux中的SOCK_PACKET类型套接字。在Windows平台上主要有NPF过滤机制。目前大局部Sniffer软件都是基于上述机制建立起来的。如Tcpdump、Wireshark等。网络信息收集技术之网络监听/概述网络信息收集技术之网络监听/抓包网络信息收集技术之网络监听/ARP包3 5.003986 GemtekTe_43:45:7c Tp-LinkT_33:52:4a000040169f33524a20107a43457c08060001@..3RJ.zCE|....001008000604000120107a43457cc0a8010e.......zCE|....0020000000000000c0a80101..........4 5.008654 Tp-LinkT_33:52:4a GemtekTe_43:45:7c ARP 42 isat40:16:9f:33:52:4a000020107a43457c40169f33524a08060001.zCE|@..3RJ....001008000604000240169f33524ac0a80101......@..3RJ....002020107a43457cc0a8010e.zCE|....网络信息收集技术之网络监听/ICMP包14 13.759845 ICMP 98 Echo(ping)requestid=0x3791,seq=8/2048,ttl=6400000800769437910008b475525249070f00..v.7....uRRI...001008090a0b0c0d0e0f1011121314151617................002018191a1b1c1d1e1f2021222324252627........!“#$%&”003028292a2b2c2d2e2f3031323334353637*+,-./0123456715 13.761742 4 ICMP 98 Echo(ping)replyid=0x3791,seq=8/2048,ttl=64网络信息收集技术之网络监听/FTP包220----------WelcometoPure-FTPd[privsep][TLS]----------...220Youwillbedisconnectedafter15minutesofinactivity.USERalex331UseralexOK.PasswordrequiredPASS#######;230OK.Currentrestricteddirectoryis/SYST215UNIXType:L8FEAT211-Extensionssupported:EPRTIDLE...211End.PWD257“/“isyourcurrentlocationEPSV229ExtendedPassivemodeOK(|||6081|)LIST150Accepteddataconnection226-Options:-l22616matchestotalQUIT221-Goodbye.Youuploaded0anddownl...221Logout.网络信息收集技术之网络监听/HTTP包GET/HTTP/1.1Connection:keep-aliveAccept:text/html,application/xhtml+...User-Agent:Mozilla/5.0(X11;Linux...Accept-Encoding:gzip,deflate,sdchAccept-Language:zh-CN,zh;q=0.8,en;q...Cookie:BAIDUID=CCB294813FB26659C707...HTTP/1.1200OKDate:Mon,07Oct202309:10:37GMTServer:BWS/1.0Content-Length:15758Content-Type:text/html;charset=utf-8Cache-Control:privateBDTYPE:2BDUSERID:794182826网络信息收集技术之网络监听/HTTP包BDQID:0xee48c77608f507c1Set-Cookie