网络监听技术研究

《网络监听技术研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、网络监听技术研究(2011-05-0922:34:05)转载标签：捕获snifferlift听mac地址交换机数据包数据报杂谈分类：网络及硬件1引言计算机局域网和Internet的发展给个人、企事业单位带来了革命性的改革和发展。同时乂要面对网络开放带來的数据安全的新挑战和新危险；网络的安全访问、黑客的攻击等。基于对网络安全的考虑，需耍一•种能够实吋的对网络上的数据进行监视的技术，网络监听技术应运而生了。网络监听也叫嗅探，其英文名是Sniffing,即将网络上传输的数据捕获井进行分析的行为。网络临听器也叫嗅探器，其英文名

2、是sniffcroISS为sniffer这样定义：Sniffer是利用计算机的网络接口捕获F1的地为其它计算机的数据报文(数据包)的一种工具。实际上，Sniffer就是网络上的“窃听器”。网络监听器是一种网络监测设备既可以是锁件，也町以是软件，硬件形式的sniffer称为网络分析仪，一般都是商业性的，价格电比较贵。软件形式的sniffe：在Windows和Unix平台上都很多，其优点是价格便宜，易于学习使用；缺点是无法抓取网络上所冇的传输，某些情况下也就无法真正了解网络的运行情况。2网络监听原理Internet是由众多

3、的局域网所组成，这些局域网一般是以太网、令牌网结构。数据在这此网络上是以很小的称为帧(Frame)的单位传输的，帧通过特定的网络驱动程序进行成型，然后通过网卡发送到网线上。由于以太网等很多网络(常见共享HUB连接的内部网)是基于总线方式，物理上是广播的，同一•物现网段的所有主机的网卡都能接收到这此以太网帧。当网络接日处于止常状态时，网R收到传输来的数据帧，网R内的芯片程序先接收数据头的冃的MAC地址，根据汁算机上的网卡驱动程序设置的接收模式判断该不该接收，如果认为是目的地址为本机地址的数据帧或是广播帧，则接收并在接收后

4、产全小断信号通知CPU,否则就丢弃不管，CPU得到中断信号产生中断，操作系统就根据网卡驱动程序中设置的网卡中断程序地址调川驱动程序接收数据，驱动程序接收数据后放人堆伐让操作系统处理。通过修改网卡让其处于一种特殊的工作模式，在这种工作模式卜网卡不对目的地址进行判断，而岂接将它收到的所有报文祁传递给操作系统进行处理。这种特殊的工作模式称Z为混杂模式(PromiscuousMode)。Sniffer就是通过将网卡设置为混杂模式，它对遇到的侮一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。Sniff

5、er工作在网络坏境屮的底层，它会捕获所有的正在网络上传送的数据，并11通过相应的软件处理，可以实时分析这些数据的内容.进而分析所处的网络状态和整体布局。3网络监听系统组成部分如图1展示了一个监听系统人体框架。网络硕件设备：如网卡、集线器、路由器等。捕获驱动程序：控制网络硬件从信道上抓取数据，并将数据存人缓冲器。过滤驭动程序：捕获数据流，进行过滤并把数据存人缓冲区。缓冲器：用来存放捕获到的数据的容器。由于缓冲器容量有限，监听器使用缓冲器时,通常有两种方式：一是如果缓冲器满，马上停止捕获；二是缓冲器满了还继续捕获，但是新的

6、数据会筱盖

7、口的数据。实时分析程序：实时对•数据包分析统计，目的是发现网络性能问题和故障，侧重于网络性能和故障方面的问题。解码程序:将接收到的加密数据进行解密;构造口己的加密数据包并把它发送到网络屮。数据包分析器：对截取到的数据包进行模式匹配和分析.将需要的信息从原始数据包中剥离出来。4网络监听的实施环境监听的实施是有条件的，不可能在互联网上的某台主机上装上监PJ软件，就可以看到整个网络的网络状况网络监听可以在两种环境F实现，一•种是利川以太网络的广播特性实现，另一种是通过设置路由器的监听端口实现，两种方式适用于不同的

8、工作情况。木文屮的网络监听实施环境主要讲解在以太网下实现监听，这也是口前比较流向的监听方式。针对集线器的监听：首先从TCP/IP模型的角度來看数据包在局域网内发送的过程：当数据由应用层口上而下地传递时，在网络层形成IP数据报，再向卜•到达数据链路层，由数据链路层将IP数据报分割为数据帧，增加以太网包头，再向下一层发送。需要说明的是•以太网的包头中包含着木机和冃标设备的MAC地址，也就是说，数据链路层的数据帧发送时,是依靠4Rbits的以太网地址而非IP地址来确认的，以太网的网卡设备驱动程序不会关心IP数据报中的目的IP

9、地址，它所需要的仅仅是MAC地址。当局域网内的主机通过HUB连接时，HUB的作川就是局域网上面的一个共亨的广播媒体，所有通过局域网发送的数据首先被送到HUB,然示HUB将接收到的所有数据向它的每个端口转发。只要将某台主机的网卡设置为棍杂模式，就可以接收到局域网内所冇主机间的数据传输。针对交换机的监听：不同于下作在物理层的HUB,交