今天早上
个朋友问我
说啥工具发现网络中被嗅探
比较好我说ISS
anti-Sn
fer不行吗他说太慢！后来记起来以前逛网路时候看到过这样
个
也是antisnfer类型所以又把其找了出来.Sentinel主要是设计思想是portable,arrcurate implementation,就是说
小巧点
精确实现几个熟知杂乱方式探测技术
其中Sentinel支持 3种思路方法远程杂乱探测模式:DNS测试
Etherping测试和ARP测试其中还有种ICMPping Latency(ICMP PING反应时间)正在开发中
此
需要Libnet和libpcap库来支持大家可以到下面地址去下载:LIbnet 1.0:http://www.packetfactory.net/Projects/libnet
libpcap 0.4:ftp://ftp.ee.lbl.gov/libpcap-0.4.tar.Z
首先说下它其中使用
3种模式:--ARP测试模式:
这种思路方法是采用发送
个ARP请求其中包含所有正确信息除了伪造
目标主机MAC硬件地址给我们目标主机这样如果目标主机没有处于杂乱模式
它将不会理睬这些信息包
这些信息包其认为不是指定给它们
所以不会进行响应和回复但如果此目标机器处于杂乱模式
ARP请求就会发生并进行内核处理通过机器回应信息我们就可以知道其处于杂乱模式
这种思路方法结合内核特性来查看机器运作状态请看下面Etherping 测试模式-- DNS测试模式:
DNS测试主要是针对网络数据收集工具能执行IP到名字
反转解析来提供DNS名字来代替IP地址(The DNS tests operate _disibledevent=>动网络工具
模式转变为主动网络工具
而那些没有监视网络书记工具就不会去解析信息包中
IP地址利用这种信息ANTI SNIFFER工具可以自身在本地主机中变为杂乱模式并在我们网络中发送无数个伪造
主机这样ANTI SNIFFER工具就可以嗅探DNS请求来查看目标是否在请求解析那些不存在主机
--Etherping 测试模式:
Etherping 测试模式依赖于目标主机
内核也就所谓内核测试在通常情况下
硬件网络接口卡过滤和丢弃那些MAC地址区别于自己机器上
MAC地址信息包或者不是广播Ethernet 地址地址就是说信息包是正确和实际
Ethernet地址或者是广播Ethernet地址接口就会把这些地址COPY和传递给内核进行进
步处理但某些系统假定包含在以太帧中
数据包含某个目标主机中正确IP地址或者广播地址
但具有区别于本地主机MAC地址当NIC设置为杂乱模式发送给目标主机
每个数据包它还是傻傻传递给操作系统进行分析这样通过发送包含正确IP地址和不正确MAC地址
ICMP ECHO包给要检测主机
如果目标主机回应了我们请求我们就知道其处于杂乱模式了多种LINUX内核存在这种问题
其中NETBSD也可以利用这个问题来检测杂乱模式
但需要使用广播地址信息包这种信息包使用带伪造ether帧
IP地址如66:66:66:66:66:66.有关WINDOWS95
98NT操作系统在杂乱模式中确实是检查信息包ETHER地址
如果信息包NIC ETHER地址符合本地主机就让堆栈来处理但WINDOWS对广播
ether信息包存在问题在普通环境下如机器不在杂乱模式下
NIC只把含有起本身MAC地址信息包或者ether地址是ff:ff:ff:ff:ff:ff传递给内核
但当在杂乱模式中驱动是检查ETHER地址
但它只检查ETHER地址第个 8未组是否为Oxff就来判断信息包是否为广播或者其他
因此如果我们建立个包含EHTER地址为ff:00:00:00:00:00
IP正确信息包并发送给目标机器如果其进行了响应
回应就表示起处于杂乱模式但对WINDOWS
这种思路方法是依赖于所用驱动默认微软驱动有此特性并且大多数供应商驱动也有此特性但某些NIC过滤广播只是依靠第
个 8为组所以这些卡不适合此思路方法--网络和机器
反应时间测试(也可以说ICMP PING反应时间):这种模式是比较有效
测试思路方法依据是靠对操作系统影响来测试但其中
坏处就是这些测试会在短期内产生些多数量
网络通信这些测试假定当网络卡不处于杂乱模式时提供硬件过滤
这样话信息包不是指定给本身机器
将被网络卡丢弃当在这中情况下在网络通信信息量将动态增长对操作系统
影响很小相反处于杂乱状态机器由于不对这层进行过滤
就把这些信息传递给系统或者用户模式进行过滤会对操作系统产生比较大
影响简单说我们先正常情况下PING机器再我们构建很多伪造
TCP连接来ping来ping目标并且注意RTT(round trip time)
这样处于杂乱模式机器由于会处理这些垃圾信息包并影响系统并导致网络反映时间增加
然后来比较各个RTT经过多次测试和人工判断就能决定目标机器上是否存在SNIFFER
Sentinel是根据这些思路方法来进行测试
是有源代码形式发放使用于OPENBSD 2.6 ；FREEBSD 3.X；NETBSD 1.4.1；LINUX2.2.X平台
编译后使用思路方法为:
#./sentinel -t 192.168.0.1 -a 是ARP测试
#./sentinel -t 192.168.0.1 -e 是etherping test;
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d 是DNS测试；
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d -a -e 是允许所有模式进行测试；
参考:1http://www.sentinel.net/projects/sentinel/
README；2http://www.l0pht.com/antisn
f/tech-paper.html水平太有限
希望大家多多扶持偶这个幼苗[email protected] 2000-06-27
篇文章: 免费snfer--snfit篇文章: 使用snfer捕获加密包和非加密包
最新评论