抓包的方法
抓包的方法
抓包是將網絡傳輸發(fā)送與接收的數(shù)據(jù)包進行截獲、重發(fā)、編輯、轉存等操作,也用來檢查網絡安全。以下是由學習啦小編整理關于什么是抓包的內容,希望大家喜歡!
抓包的方法
安裝工具
目的就是用它分析網絡數(shù)據(jù)包的內容。找一個免費的或者試用版的抓包工具并不難。我使用了一種叫做SpyNet3.12 的抓包工具,非常小巧, 運行的速度也很快。安裝完畢后我們就有了一臺抓包主機。你可以通過SpyNet設置抓包的類型,比如是要捕獲IP包還是ARP包,還可以根據(jù)目的地址的不同,設置更詳細的過濾參數(shù)。
配置網絡路由
你的路由器有缺省網關嗎?如果有,指向了哪里?在病毒爆發(fā)的時候把缺省網關指向另外一臺路由器是很危險的(除非你想搞癱這臺路由器)。在一些企業(yè)網里往往僅指出網內地址段的路由,而不加缺省路由,那么就把缺省路由指到抓包主機上吧(它不下地獄誰下地獄?當然這臺主機的性能最好是高一點的,否則很容易被病毒沖擊而亡)。這樣可以讓那些病毒主機發(fā)出的絕大部分掃描都自動送上門來?;蛘甙丫W絡的出口映像到抓包主機上,所有對外訪問的網絡包都會被分析到。
開始
抓包主機已經設置好了,網絡里的數(shù)據(jù)包也已經送過來了,那么我們看看網絡里傳輸?shù)牡降资切┦裁?。打開SpyNet 點擊Capture 你會看到好多的數(shù)據(jù)顯示出來,這些就是被捕獲的數(shù)據(jù)包。
圖中的主體窗口里顯示了抓包的情況。列出了抓到數(shù)據(jù)包的序號、時間、源目的MAC地址、源目的IP地址、協(xié)議類型、源目的端口號等內容。很容易看出IP地址為10.32.20.71的主機在極短的時間內向大量的不同主機發(fā)出了訪問請求,并且目的端口都是445。
找出染毒主機
從抓包的情況看,主機10.32.20.71值得懷疑。首先我們看一下目的IP地址,這些地址我們網絡里存在嗎?很可能網絡里根本就沒有這些網段。其次,正常情況下訪問主機有可能在這么短的時間里發(fā)起這么多的訪問請求嗎?在毫秒級的時間內發(fā)出幾十甚至幾百個連接請求,正常嗎?顯然這臺10.32.20.71的主機肯定有問題。再了解一下Microsoft-DS協(xié)議,該協(xié)議存在拒絕服務攻擊的漏洞,連接端口是445,從而進一步證實了我們的判斷。這樣我們就很容易地找到了染毒主機的IP地址。剩下的工作就是給該主機操作系統(tǒng)打補丁殺病毒了。
既然抓到了病毒包,我們看一下這個數(shù)據(jù)包二進制的解碼內容:
這些數(shù)據(jù)包的長度都是62個字節(jié)。數(shù)據(jù)包前12個字節(jié)包括了目的MAC和源MAC的地址信息,緊跟著的2字節(jié)指出了數(shù)據(jù)包的類型,0800代表的是IP包格式,0806代表ARP包格式。接著的20個字節(jié)是封裝的IP包頭,包括了源、目的IP地址、IP版本號等信息。剩下的28個字節(jié)封裝的是TCP包頭,包括了源、目的端口,TCP鏈接的狀態(tài)信息等。這就構成了一個62字節(jié)的包??梢钥闯龀诉@些包頭數(shù)據(jù)之外,這個包沒有攜帶其他任何的有效數(shù)據(jù)負荷,所以這是一個TCP要求445端口同步的空包,也就是病毒主機在掃描445端口。一旦染毒主機同步上沒有采取防護措施的主機445端口,便會利用系統(tǒng)漏洞傳播感染。
抓包的原理
Sniffer 原理
網絡技術與設備簡介
在講述Sniffer的概念之前,首先需要講述局域網設備的一些基本概念。
數(shù)據(jù)在網絡上是以很小的稱為幀(Frame)的單位傳輸?shù)?,幀由幾部分組成,不同的部分執(zhí)行不同的功能。幀通過特定的稱為網絡驅動程序的軟件進行成型,然后通過網卡發(fā)送到網線上,通過網線到達它們的目的機器,在目的機器的一端執(zhí)行相反的過程。接收端機器的以太網卡捕獲到這些幀,并告訴操作系統(tǒng)幀已到達,然后對其進行存儲。就是在這個傳輸和接收的過程中,嗅探器會帶來安全方面的問題。
每一個在局域網(LAN)上的工作站都有其硬件地址,這些地址惟一地表示了網絡上的機器(這一點與Internet地址系統(tǒng)比較相似)。當用戶發(fā)送一個數(shù)據(jù)包時,如果為廣播包,則可達到局域網中的所有機器,如果為單播包,則只能到達處于同一碰撞域中的機器。
在一般情況下,網絡上所有的機器都可以“聽”到通過的流量,但對不屬于自己的數(shù)據(jù)包則不予響應(換句話說,工作站A不會捕獲屬于工作站B的數(shù)據(jù),而是簡單地忽略這些數(shù)據(jù))。如果某個工作站的網絡接口處于混雜模式,那么它就可以捕獲網絡上所有的數(shù)據(jù)包和幀。
網絡監(jiān)聽原理
Sniffer程序是一種利用以太網的特性把網絡適配卡(NIC,一般為以太網卡)置為雜亂(promiscuous)模式狀態(tài)的工具,一旦網卡設置為這種模式,它就能接收傳輸在網絡上的每一個信息包。
普通的情況下,網卡只接收和自己的地址有關的信息包,即傳輸?shù)奖镜刂鳈C的信息包。要使Sniffer能接收并處理這種方式的信息,系統(tǒng)需要支持BPF,Linux下需要支持SOCKET一PACKET。但一般情況下,網絡硬件和TCP/IP堆棧不支持接收或者發(fā)送與本地計算機無關的數(shù)據(jù)包,所以,為了繞過標準的TCP/IP堆棧,網卡就必須設置為我們剛開始講的混雜模式。一般情況下,要激活這種方式,內核必須支持這種偽設備Bpfilter,而且需要root權限來運行這種程序,所以sniffer需要root身份安裝,如果只是以本地用戶的身份進入了系統(tǒng),那么不可能喚探到root的密碼,因為不能運行Sniffer。
基于Sniffer這樣的模式,可以分析各種信息包并描述出網絡的結構和使用的機器,由于它接收任何一個在同一網段上傳輸?shù)臄?shù)據(jù)包,所以也就存在著捕獲密碼、各種信息、秘密文檔等一些沒有加密的信息的可能性。這成為黑客們常用的擴大戰(zhàn)果的方法,用來奪取其他主機的控制權
Sniffer的分類
Sniffer分為軟件和硬件兩種,軟件的Sniffer有 NetXray、Packetboy、Net monitor等,其優(yōu)點是物美價廉,易于學習使用,同時也易于交流;缺點是無法抓取網絡上所有的傳輸,某些情況下也就無法真正了解網絡的故障和運行情況。硬件的Sniffer通常稱為協(xié)議分析儀,一般都是商業(yè)性的,價格也比較貴。
實際上本文中所講的Sniffer指的是軟件。它把包抓取下來,然后打開并查看其中的內容,可以得到密碼等。Sniffer只能抓取一個物理網段內的包,就是說,你和監(jiān)聽的目標中間不能有路由或其他屏蔽廣播包的設備,這一點很重要。所以,對一般撥號上網的用戶來說,是不可能利用Sniffer來竊聽到其他人的通信內容的。
網絡監(jiān)聽的目的
當一個黑客成功地攻陷了一臺主機,并拿到了root權限,而且還想利用這臺主機去攻擊同一網段上的其他主機時,他就會在這臺主機上安裝Sniffer軟件,對以太網設備上傳送的數(shù)據(jù)包進行偵聽,從而發(fā)現(xiàn)感興趣的包。如果發(fā)現(xiàn)符合條件的包,就把它存到一個LOg文件中去。通常設置的這些條件是包含字“username”或“password”的包,這樣的包里面通常有黑客感興趣的密碼之類的東西。一旦黑客截獲得了某臺主機的密碼,他就會立刻進入這臺主機。
如果Sniffer運行在路由器上或有路由功能的主機上,就能對大量的數(shù)據(jù)進行監(jiān)控,因為所有進出網絡的數(shù)據(jù)包都要經過路由器。
Sniffer屬于第M層次的攻擊。就是說,只有在攻擊者已經進入了目標系統(tǒng)的情況下,才能使用Sniffer這種攻擊手段,以便得到更多的信息。
Sniffer除了能得到口令或用戶名外,還能得到更多的其他信息,比如一個重要的信息、在網上傳送的金融信息等等。Sniffer幾乎能得到任何在以太網上傳送的數(shù)據(jù)包。
Sniffer是一種比較復雜的攻擊手段,一般只有黑客老手才有能力使用它,而對于一個網絡新手來說,即使在一臺主機上成功地編譯并運行了Sniffer,一般也不會得到什么有用的信息,因為通常網絡上的信息流量是相當大的,如果不加選擇地接收所有的包,然后從中找到所需要的信息非常困難;而且,如果長時間進行監(jiān)聽,還有可能把放置Sniffer的機器的硬盤撐爆。
看過“抓包的方法”的人還看了: