sniffer原理（二）

（转自http://ciw.chinaitlab.com/tutorial/6256.html）

 

      现在人们谈到黑客攻击，一般所指的都是以主动方式进行的，例如利用漏洞或者猜测系统密码的方式对系统进行攻击。但是其实还有一类危害非常大的被动攻击方式往往为大家所忽视，那就是利用Sniffer进行嗅探攻击。
　　Sniffer，中文可以翻译为嗅探器，是一种威胁性极大的被动攻击工具。使用这种工具，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。黑客们常常用它来截获用户的口令。据说某个骨干网络的路由器曾经被黑客攻人，并嗅探到大量的用户口令。本文将详细介绍Sniffer的原理和应用。
　　一、Sniffer 原理
　　1．网络技术与设备简介
　　 在讲述Sni计er的概念之前，首先需要讲述局域网设备的一些基本概念。
　　 数据在网络上是以很小的称为帧（Frame）的单位传输的，帧由几部分组成，不同的部分执行不同的功能。帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上，通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧已到达，然后对其进行存储。就是在这个传输和接收的过程中，嗅探器会带来安全方面的问题。
　　 每一个在局域网（LAN）上的工作站都有其硬件地址，这些地址惟一地表示了网络上的机器（这一点与Internet地址系统比较相似）。当用户发送一个数据包时，这些数据包就会发送到LAN上所有可用的机器。
　　 在一般情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的数据包则不予响应（换句话说，工作站A不会捕获属于工作站B的数据，而是简单地忽略这些数据）。如果某个工作站的网络接口处于混杂模式（关于混杂模式的概念会在后面解释），那么它就可以捕获网络上所有的数据包和帧。
　　2．网络监听原理
　　 Sniffor程序是一种利用以太网的特性把网络适配卡（NIC，一般为以太同卡）置为杂乱（promiscuous）模式状态的工具，一旦同卡设置为这种模式，它就能接收传输在网络上的每一个信息包。
　　 普通的情况下，阿卡只接收和自己的地址有关的信息包，即传输到本地主机的信息包。要使Sniffer能接收并处理这种方式的信息，系统需要支持BPF，Linux下需要支持SOCKET一PACKET。但一般情况下，网络硬件和TCP／IP堆栈不支持接收或者发送与本地计算机无关的数据包，所以，为了绕过标准的TCP／IP堆栈，网卡就必须设置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内核必须支持这种伪设备Bpfilter，而且需要root权限来运行这种程序，所以sniffer需要root身份安装，如果只是以本地用户的身份进人了系统，那么不可能唤探到root的密码，因为不能运行Sniffer。
　　 基于Sniffer这样的模式，可以分析各种信息包并描述出网络的结构和使用的机器，由于它接收任何一个在同一网段上传输的数据包，所以也就存在着捕获密码、各种信息、秘密文档等一些没有加密的信息的可能性。这成为黑客们常用的扩大战果的方法，用来夺取其他主机的控制权
　　3 Snifffer的分类
　　 Sniffer分为软件和硬件两种，软件的Sniffer有 NetXray、Packetboy、Net monitor等，其优点是物美价廉，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，一般都是商业性的，价格也比较贵。
　　 实际上本文中所讲的Sniffer指的是软件。它把包抓取下来，然后打开并查看其中的内容，可以得到密码等。Sniffer只能抓取一个物理网段内的包，就是说，你和监听的目标中间不能有路由或其他屏蔽广播包的设备，这一点很重要。所以，对一般拨号上网的用户来说，是不可能利用Sniffer来窃听到其他人的通信内容的。
　　4．网络监听的目的
　　 当一个黑客成功地攻陷了一台主机，并拿到了root权限，而且还想利用这台主机去攻击同一网段上的其他主机时，他就会在这台主机上安装Sniffer软件，对以太网设备上传送的数据包进行侦听，从而发现感兴趣的包。如果发现符合条件的包，就把它存到一个LOg文件中去。通常设置的这些条件是包含字“username”或“password”的包，这样的包里面通常有黑客感兴趣的密码之类的东西。一旦黑客截获得了某台主机的密码，他就会立刻进人这台主机。
　　 如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。
　　 Sniffer属于第M层次的攻击。就是说，只有在攻击者已经进入了目标系统的情况下，才能使用Sniffer这种攻击手段，以便得到更多的信息。
　　 Sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个重要的信息、在网上传送的金融信息等等。Sniffer几乎能得到任何在以大网上传送的数据包。
　　 Sniffer是一种比较复杂的攻击手段，一般只有黑客老手才有能力使用它，而对于一个网络新手来说，即使在一台主机上成功地编译并运行了Sniffer，一般也不会得到什么有用的信息，因为通常网络上的信息流量是相当大的，如果不加选择地接收所有的包，然后从中找到所需要的信息非常困难；而且，如果长时间进行监听，还有可能把放置Snifkr的机器的硬盘撑爆。
　　5．一个简单的Sniffer程序
　　 下面是一个非常简单的C程序，它可以完成一般的监听功能，／* *／中的内容是本文的注解。
　　/*下面是包含进行调用系统和网络函数的头文件*/
　　#include〈stdio.h〉
　　#include〈sys/socket.h〉
　　#include〈netinet/in.h〉
　　#include〈arpa/inet.h〉
　　/*下面是IP和TCP包头结构*/
　　struct IP{
　　 unsigned int ip_length:4;
　　 /*定义IP头的长度*/
　　 unsigned int ip_version:4；
　　 /*IP版本，Ipv4 */
　　 unsigned char ip_tos；
　　 /*服务类型*/
　　 unsigned short
　　ip_total_length; /*IP数据包的总长度*/
　　 unsigned short ip_id;
　　 /*鉴定城*/
　　 unsigned short ip_flags;
　　 /*IP 标志 */
　　 unsigned char ip_ttl;
　　 /*IP 包的存活期*/
　　 unsigned char ip_protocol;
　　 /*IP 上层的协议*/
　　 unsigned short ip_cksum;
　　 /*IP头校验和*/
　　unsigned int ip_source ；
　　/*源IP地址*/
　　unsigned int ip_source;
　　/*目的IP地址*/
　　 }；
　　struct tcp{
　　unsigned short tcp_source_port;
　　/*定义TCP源端口*/
　　 unsigned short tcp_dest_port;
　　 /*TCP目的端口*/
　　 unsigned short tcp_seqno；
　　 /*TC P序列号*/
　　unsigned int tcp_ackno;
　　/*发送者期望的下一个序列号*/
　　unsigned int tcp_res1:4;
　　/*下面几个是TCP标志*/
　　tcp_hlen:4
　　tcp_fin:1,
　　tcp_syn:1,
　　tcp_rst:1,
　　tcp_psh:1,
　　tcp_ack:1,
　　tcp_urg:1,
　　tcp_res2:2;
　　unsignd short tcp_winsize; /*能接收的最大字节数*/
　　 unsigned short tcp_cksum;
　　 /* TCP校验和*/
　　 unsigned short tcp_urgent;
　　 /* 紧急事件标志*/
　　};
　　/*主函数*/
　　int main()
　　{
　　int sock,bytes_recieved,fromlen;
　　char buffer[65535];
　　struct sockaddr_in from;
　　 /*定义socket结构*/
　　struct ip ip;
　　 /*定义IP和TCP*/
　　struct tcp *tcp;
　　 sock=socket(AF_INET,SOCK_RAW,IPPROTO_TCP);
　　/* 上面是建立socket连接，第一个参数是地址族类型，用INTERNET类型*/
　　/* 第二个参数是socket类型，这里用了SOCK_RAW，它可以绕过传输层*/
　　/* 直接访问IP层的包，为了调用SOCK_RAW,需要有root权限*/
　　/* 第三个参数是协议，选IPPROTO_TCP指定了接收TCP层的内容*/
　　while(1)
　　/*建立一个死循环，不停的接收网络信息*/
　　{
　　fromlen=sizeof from;
　　bytes_recieved=recvfrom(sock,buffer,sizeofbuffer,0,(struct sockaddr *)&from,&fromlen);
　　/*上面这个函数是从建立的socket连接中接收数据*/
　　/*因为recvfrom()需要一个sockaddr数据类型，所以我们用了一个强制类型转换*/
　　print("/nBytes received ::: %5d/n",bytes_recieved);
　　/*显示出接收的数据字节数*/
　　printf("source address ::: %s/n",inet_ntoa(from.sin_addr));
　　/*显示出源地址*/
　　ip=(struct ip *)buffer;
　　/*把接收的数据转化为我们预先定义的结构，便于查看*/
　　printf("IP header length ::: %d/n",ip->ip_length);
　　/*显示IP头的长度*/
　　print("Protocol ::: %d/n",ip->ip_protocol);
　　/*显示协议类型，6是TCP，17是UDP*/
　　tcp=(struct tcp *)(buffer + (4*ip->ip_iplength));
　　/*上面这名需要详细解释一下，因为接收的包头数据中，IP头的大小是固定的4字节*/
　　/*所以我用IP长度乘以4,指向TCP头部分*/
　　printf("Source port ::: %d/n",ntohs(tcp->tcp_source_port); /*显示出端口*/
　　printf("Dest prot ::: %d/n",ntohs(tcp->tcp_dest_port));/*显示出目标端口*/
　　 以上这个C程序是为了说明Sniffer的接收原理而列举的一个。