Sniffer、黑客和網絡管理

史蒂夫·利維在其著名的《黑客電腦史》中指出的“黑客道德準則”（theHackerEthic）包括：通往電腦的路不止一條；所有的信息都應當是免費的；打破電腦集權；在電腦上創造藝術和美；計算機將使生活更美好。

黑客文化包含了自由不羈的精神，也包含了反傳統、反權威、反集權的精神。

廣義的、公眾認為的“黑客”就是闖入計算機系統的人。這種觀念令有才能的、真正的“黑客”感到難過?！禡aximum Security》一書中對黑客和入侵者定義如下：

■ “黑客”指對于任何計算機操作系統的奧秘都有強烈興趣的人?！昂诳汀贝蠖际?STRONG>程序員，他們具有操作系統和編程語言方面的高級知識，知道系統中的漏洞及其原因所在；他們不斷追求更深的知識，并公開他們的發現，與其他人分享；并且從來沒有破壞數據的企圖。

■ “入侵者”是指懷著不良的企圖，闖入甚至破壞遠程機器系統完整性的人?！叭肭终摺崩毛@得的非法訪問權，破壞匾??藎?芫?戲ㄓ沒Х?袂肭螅?蛭?俗約旱哪康鬧圃炻櫸場！叭肭終摺焙莧菀資侗穡?蛭??塹男形?嵌褚獾摹?nbsp;

這里黑客的概念源于50、60年代麻省理工學院的實驗室里的計算機迷們。他們精力充沛，熱衷于解決難題、獨立思考并且奉公守法。

技術本身是沒有錯的，錯誤產生于人。網絡安全性的分析可以被真正的黑客用于加強安全性、加強網絡的自由度，也可以被入侵者用于窺探他人隱私、任意篡改數據、進行網上詐騙活動。

這里，我們討論網絡嗅探器（sniffer）在廣義黑客領域的應用和網絡管理中的應用。

一． 嗅探器（Sniffer）攻擊原理

Sniffer既可以是硬件，也可以是軟件，它用來接收在網絡上傳輸的信息。網絡可以是運行在各種協議之下的。包括Ethernet、TCP/IP、ZPX等等（也可以是其中幾種協議的聯合）。放置Sniffer的目的是使網絡接口（在這個例子中是以太網適配器）處于雜收模式（promiscuous mode），從而可從截獲網絡上的內容。

嗅探器與一般的鍵盤捕獲程序（Key Capture）不同。鍵盤捕獲程序捕獲在終端上輸入的鍵值，而嗅探器則捕獲真實的網絡報文。嗅探器通過將其置身于網絡接口來達到這個目的——將以太網卡設置成雜收模式。

⒈關于以太網（Ethernet）

Ethernet是由Xerox的Palo Aito研究中心（有時也稱為PARC）發明的。下面簡介一下信息在網絡（這里為以太網）上的傳輸形式。

數據在網絡上是以很小的稱為幀(Ftame)的單位傳輸的幀由好幾部分組成，不同的部分執行不同的功能。（例如，以太網的前12個字節存放的是源和目的的地址，這些位告訴網絡：數據的來源和去處。以太網幀的其他部分存放實際的用戶數據、TCP/IP的報文頭或IPX報文頭等等）。

幀通過特定的稱為網絡驅動程序的軟件進行成型，然后通過網卡發送到網線上。通過網線到達它們的目的機器，在目的機器的一端執行相反的過程。接收端機器的以太網卡捕獲到這些幀，并告訴操作系統幀的到達，然后對其進行存儲。就是在這個傳輸和接收的過程中，嗅探器會造成安全方面的問題。

每一個在LAN上的工作站都有其硬件地址。這些地址唯一地表示著網絡上的機器（這一點于Internet地址系統比較相似）。當用戶發送一個報文時，這些報文就會發送到LAN上所有可用的機器。

在一般情況下，網絡上所有的機器都可以“聽”到通過的流量，但對不屬于自己的報文則不予響應（換句話說，工作站A不會捕獲屬于工作站B的數據，而是簡單的忽略這些數據）。如果某在工作站的網絡接口處于雜收模式，那么它就可以捕獲網絡上所有的報文和幀。

Sniffer就是這樣的硬件或軟件，能夠“聽”到（而不是忽略）在網上傳輸的所有的信息。在這種意義上，每一個機器，每一個路由器都是一個Sniffer（或者至少可以說它們可以成為一個Sniffer）。這些信息就被儲存在介質上，以備日后檢查時用。

Sniffer可以是（而且通常是）軟件和硬件的聯合體，軟件可以是普通的網絡分析器帶有比較強的debug功能，或者就是一個真正的Sniffer。

Sniffer必須是位于準備進行Sniffer工作的網絡上的，它可以放在網絡段中的任何地方。

Sniffer成為一種很大的危險，因為：

■ 它們可以捕獲口令；

■ 它們可以截獲機密的或專有的信息；

■ 它們可以被用來攻擊相鄰的網絡或者用來獲取更高級別的訪問權限。

二． 用Sniffer獲取信息

下面是利用Windows平臺上的sniffer工具EtherPeek進行的信報監聽結果。讓我們分析一下這些數據（為避免不必要的麻煩，其中數據經修改完成）。

1． 匿名Ftp信報分析

Flags: 0x00

Status: 0x00

Packet Length:74

Timestamp: 19:11:21.743000 01/18/2000

Raw Packet Data（原始信報數據）


.惈纇.RT*.洲..E. 00 90 ab c0 68 00 52 54 ab 15 d6 de 08 00 45 00 [0-15]

.8..@. .)R?(1.. 00 38 10 09 40 00 20 06 29 52 a2 69 28 31 ca c8 [16-31]

*..*...f錨..*?P. 8c 02 04 b3 00 15 00 66 c3 aa 00 04 f0 3f 50 18 [32-47]

".+T..USER anony 22 0a 2b 54 00 00 55 53 45 52 20 61 6e 6f 6e 79 [48-63]

mous...... 6d 6f 75 73 0d 0a 00 00 00 00

也許這還不夠清清楚楚明明白白，下面是該程序作的解碼：


Flags: 0x00


Status: 0x00


Packet Length:74


Timestamp: 19:11:21.743000 01/18/2000


Ethernet Header


Destination: 00:90:ab:c0:68:00 [0-5]

Source: 52:54:ab:15:d6:de [6-11]

Protocol Type:08-00 IP [12-13]

IP Header - Internet Protocol Datagram

Version: 4 [14 Mask 0xf0]

Header Length: 5 [14 Mask 0xf]

Precedence: 0 [15 Mask 0xe0]

Type of Service: %000 [15 Mask 0x1c]

Unused: %00 [15 Mask 0x3]

Total Length: 56 [16-17]

Identifier: 4105 [18-19]

Fragmentation Flags: %010 Do Not Fragment [20 Mask 0xe0]

Fragment Offset: 0 [20-22 Mask 0x1fffff]

Time To Live: 32

IP Type: 0x06 TCP [23]

Header Checksum: 0x2952 [24-25]

Source IP Address: 162.105.40.49 [26-29]

Dest. IP Address: 202.200.140.2 [30-33]

No Internet Datagram Options

TCP - Transport Control Protocol

Source Port: 1203 [34-35]

Destination Port: 21 FTP Control - File Transfer Protocol [36-37]

Sequence Number: 6734762 [38-41]

Ack Number: 323647 [42-45]

Offset: 5 [46 Mask 0xf0]

Reserved: %000000 [46 Mask 0xfc0]

Code: %011000 [47 Mask 0x3f]

Ack is valid

Push Request

Window: 8714 [48-49]

Checksum: 0x2b54 [50-51]

Urgent Pointer: 0 [52-53]

No TCP Options

FTP Control - File Transfer Protocol

FTP Command: 0x55534552 (USER) User Name [54-57]

User Name:

20 [58]

Extra bytes (Padding):

anonymous.. 61 6e 6f 6e 79 6d 6f 75 73 0d 0a [59-69]

Frame Check Sequence: 0x00000000

哦，這是在傳輸用戶名。用戶名Name為anonymous。

下面還有源地址、目的地址相同的信報。


Flags: 0x00


Status: 0x00


Packet Length:71


Timestamp: 19:11:32.149000 01/18/2000


Raw Packet Data


.惈纇.RT*.洲..E. 00 90 ab c0 68 00 52 54 ab 15 d6 de 08 00 45 00 [0-15]

.5..@. . U?(1.. 00 35 12 09 40 00 20 06 27 55 a2 69 28 31 ca c8 [16-31]

*..*...f煤..*.P. 8c 02 04 b3 00 15 00 66 c3 ba 00 04 f0 87 50 18 [32-47]

!漏?..pass guest 21 c2 7c 00 00 00 70 61 73 73 20 67 75 65 73 74 [48-63]

@...... 40 0d 0a 00 00 00 00

這是作什么呢？


Flags: 0x00


Status: 0x00


Packet Length:71


Timestamp: 19:11:32.149000 01/18/2000


Ethernet Header


Destination: 00:90:ab:c0:68:00 [0-5]

Source: 52:54:ab:15:d6:de [6-11]

Protocol Type:08-00 IP [12-13]

IP Header - Internet Protocol Datagram

Version: 4 [14 Mask 0xf0]

Header Length: 5 [14 Mask 0xf]

Precedence: 0 [15 Mask 0xe0]

Type of Service: %000 [15 Mask 0x1c]

Unused: %00 [15 Mask 0x3]

Total Length: 53 [16-17]

Identifier: 4617 [18-19]

Fragmentation Flags: %010 Do Not Fragment [20 Mask 0xe0]

Fragment Offset: 0 [20-22 Mask 0x1fffff]

Time To Live: 32

IP Type: 0x06 TCP [23]

Header Checksum: 0x2755 [24-25]

Source IP Address: 162.105.40.49 [26-29]

Dest. IP Address: 202.200.140.2 [30-33]

No Internet Datagram Options

TCP - Transport Control Protocol

Source Port: 1203 [34-35]

Destination Port: 21 FTP Control - File Transfer Protocol [36-37]

Sequence Number: 6734778 [38-41]

Ack Number: 323719 [42-45]

Offset: 5 [46 Mask 0xf0]

Reserved: %000000 [46 Mask 0xfc0]

Code: %011000 [47 Mask 0x3f]

Ack is valid

Push Request

Window: 8642 [48-49]

Checksum: 0x7c00 [50-51]

Urgent Pointer: 0 [52-53]

No TCP Options

FTP Control - File Transfer Protocol

FTP Command: 0x70617373 (pass) Password [54-57]

Password:

20 [58]

Extra bytes (Padding):

guest@.. 67 75 65 73 74 40 0d 0a [59-66]

Frame Check Sequence: 0x00000000

哦，這里傳輸的就是密碼??！

試想，如果這里不是匿名登錄，而是telnet、rlogin或pop3等的用戶名與密碼，那么……

2． Http信報分析

下面是捕獲的一個HTTP信報。


Flags: 0x00


Status: 0x00


Packet Length:844


Timestamp: 19:28:09.400000 01/18/2000


Raw Packet Data


.惈纇.RT*.洲..E. 00 90 ab c0 68 00 52 54 ab 15 d6 de 08 00 45 00 [0-15]

.:..@. ._堍i(1.. 03 3a f1 0a 40 00 20 06 5f dc a2 69 28 31 a7 d8 [16-31]

.d.*.P.v

原文轉自：http://www.kjueaiud.com