相關文章：
Sniffer－黑客們最常用的入侵手段一
Sniffer－黑客們最常用的入侵手段二
六、如何阻止sniffer
<1>交換
隨著交換機的成本和價格的大幅度降低，交換機已成為非常有效的使sniffer失效的設備。目前最常見的交換機在第三層（網絡層）根據數據包目標地址進行轉發(fā)，而不太采取集線器的廣播方式，從理論上講，通過交換設備對網絡進行分段后，sniffer將無法透過邊界而窺探另一邊的數據包。但是，請注意：這是在邊界設備不轉發(fā)廣播包的情況下（這也是通常的網絡情況）。一旦入侵者使用spoofer誘騙某個邊界設備而將自己的廣播包流入不該進入的網段后，原理上還是在一個共享設備端使用sniffer,而實際上將是聽到了邊界的另一邊).當然，這樣會牽涉到ip欺詐和Mac欺詐的問題，然而,你別忘了，sniffer和spoofer是很少分開來的。北大青鳥北京通州校區(qū)
<2>加密
目前有許多軟件包可用于加密連接，從而使入侵者即使捕獲到數據，但無法將數據解密而失去竊聽的意義。北大青鳥北京通州校區(qū)
<3>入侵檢測
使用諸如Tripwire之類的工具，生成文件系統(tǒng)的MD5"數據指紋"，及時發(fā)現被修改的系統(tǒng)文件；北大青鳥北京通州校區(qū)
<4)使用antisniffer軟件
一些流行的檢測SNIFFER的程序：
http://www.attrition.org/security/newbie/security/sniffer/promisc.c --是一個很小的C程序，當編譯好后，會查找本地機器上任何處于雜亂模式的NIC網絡適配卡。
http://www.attrition.org/security/newbie/security/sniffer/neped.c --是一個用來遠程檢查任何嗅探活動的程序，可惜它只在LINUX下編譯，當然你也可以簡單的使用'ifconfig-a'來檢查你的UNIX機器是否有PROMISC標志。北大青鳥北京通州校區(qū)
http://www.l0pht.com/antisniff/這是L0pht寫的很好的反SNIFFER程序，L0PHT還打算公開LINUX版本上的源碼版本。北京北大青鳥通州校區(qū)
下面介紹一下sentinel的用法
Sentinel主要是設計思想是portable,arrcurate implementation,就是說小巧點，精確實現幾個熟知的雜亂方式探測技術。其中Sentinel支持三種方法的遠程雜亂探測模式：DNS測試，Etherping測試，和ARP測試，其中還有一種ICMP ping Latency(ICMP PING反應時間）正在開發(fā)中。北大青鳥北京通州校區(qū)
此程序需要Libnet和libpcap庫來支持，大家可以到下面的地址去下載：
LIbnet 1.0: http://www.packetfactory.net/Projects/libnet
libpcap 0.4: ftp://ftp.ee.lbl.gov/libpcap-0.4.tar.Z
首先說下它其中使用的三種模式：
--ARP測試模式：北大青鳥北京通州校區(qū)
這種方法是采用發(fā)送一個ARP請求，其中包含所有正確信息除了偽造的目標主機MAC硬件地址給我們的目標主機，這樣如果目標主機沒有處于雜亂模式，它將不會理睬這些信息包，因為這些信息包其認為不是指定給它們的，所以不會進行響應和回復，但如果此目標機器處于雜亂模式，ARP請求就會發(fā)生并進行內核處理，通過機器的回應信息我們就可以知道其處于雜亂模式。這種方法結合內核的特性來查看機器的運作狀態(tài)，請看下面的Etherping 測試模式。
-- DNS測試模式：
DNS測試主要是針對網絡數據收集工具能執(zhí)行IP到名字反轉解析來提供DNS名字來代替IP地址（The DNS tests operate on the premise that many attacker network data gathering tools perform IP to name inverse resolution to provide DNS names in place of IP addresses）。在執(zhí)行反轉查詢中，工具會從被動網絡工具
模式轉變?yōu)橹鲃泳W絡工具，而那些沒有監(jiān)視網絡書記的工具就不會去解析信息包中的IP地址。利用這種信息，ANTI SNIFFER工具可以自身在本地主機中變?yōu)殡s亂模式并在我們網絡中發(fā)送無數個偽造的主機，這樣，ANTI SNIFFER工具就可以嗅探DNS請求來查看目標是否在請求解析那些不存在主機。
--Etherping 測試模式：
Etherping 測試模式依賴于目標主機的內核，也就所謂的內核測試。在通常情況下，硬件網絡接口卡過濾和丟棄那些MAC地址不同于自己機器上的MAC地址的信息包或者不是廣播Ethernet 地址的地址。就是說信息包是正確和實際的Ethernet地址或者是廣播Ethernet地址，接口就會把這些地址COPY和傳遞給內核進行進一步處理。
但某些系統(tǒng)假定包含在以太幀中的數據包含某個目標主機中正確的IP地址或者廣播地址，但具有不同于本地主機的MAC地址，當NIC設置為雜亂模式，發(fā)送給目標主機的每個數據包它還是傻傻的傳遞給操作系統(tǒng)進行分析。這樣通過發(fā)送包含正確IP地址和不正確MAC地址的ICMP ECHO包給要檢測的主機，如果目標主機回應了我們的請求，我們就知道其處于雜亂模式了。
多種LINUX內核存在這種問題，其中NETBSD也可以利用這個問題來檢測雜亂模式，但需要使用廣播地址的信息包，這種信息包使用帶偽造ether幀的IP地址，如66:66:66:66:66:66. 北大青鳥北京通州校區(qū)
關于WINDOWS95，98，NT的操作系統(tǒng)在雜亂模式中確實是檢查信息包ETHER地址的，如果信息包的NIC ETHER地址符合本地主機就讓堆棧來處理。但WINDOWS對廣播的ether信息包存在問題，在普通環(huán)境下，如機器不在雜亂模式下，NIC只把含有起本身MAC地址的信息包或者ether地址是ff:ff:ff:ff:ff:ff傳遞給內核。但當在雜亂模式中驅動程序是檢查ETHER地址，但它只檢查ETHER地址的第一個八未組是否為Oxff就來判斷信息包是否為廣播或者其他，因此如果我們建立一個包含EHTER地址為ff:00:00:00:00:00的IP正確的信息包并發(fā)送給目標機器，如果其進行了響應的回應，就表示起處于雜亂模式。
但對WINDOWS的這種方法是依賴于所用的驅動程序的，默認的微軟驅動程序有此特性并且大多數供應商的驅動程序也有此特性，但某些NIC過濾廣播只是依靠第一個八為組，所以這些卡不適合此方法。北大青鳥北京通州校區(qū)
--網絡和機器的反應時間測試（也可以說ICMP PING反應時間）：
這種模式是比較有效的測試方法，依據是靠對操作系統(tǒng)的影響來測試。但其中的壞處就是這些測試會在短期內產生一些多數量的網絡通信。
這些測試假定當網絡卡不處于雜亂模式時提供硬件過濾，這樣的話，信息包不是指定給本身機器的將被網絡卡丟棄。當在這中情況下，在網絡通信信息量將動態(tài)增長對操作系統(tǒng)的影響很小，相反的處于雜亂狀態(tài)的機器由于不對這層進行過濾，就把這些信息傳遞給系統(tǒng)或者用戶模式進行過濾，會對操作系統(tǒng)產生比較大的影響。簡單的說，我們先正常情況下PING一機器，再我們構建很多偽造的TCP連接來ping程序來ping目標，并且注意RTT(round
trip time)，這樣處于雜亂模式的機器由于會處理這些垃圾信息包，并影響系統(tǒng)并導致網絡反映時間增加，然后來比較各個RTT，經過多次測試和人工判斷就能決定目標機器上是否存在SNIFFER。北大青鳥北京通州校區(qū)
Sentinel是根據這些方法來進行測試的程序，是有源代碼形式發(fā)放的。使用于OPENBSD 2.6 ；FREEBSD 3.X；NETBSD 1.4.1；LINUX2.2.X平臺。
編譯后使用方法為：
#./sentinel -t 192.168.0.1 -a 是ARP測試。
#./sentinel -t 192.168.0.1 -e 是etherping test;
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d 是DNS測試；
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d -a -e 是允許所有模式進行測試。
北大青鳥北京通州校區(qū)
