sniffer功能和使用詳解

Sniffer功能和使用詳解Sniffer介紹Sniffer，中文翻譯為嗅探器，是一種基于被動偵聽原理的網絡分析方式。使用這種技術方式，可以監(jiān)視網絡的狀態(tài)、數(shù)據(jù)流動情況以及網絡上傳輸?shù)男畔?。當信息以明文的形式在網絡上傳輸時，便可以使用網絡監(jiān)聽的方式來進行攻擊。將網絡接口設置在監(jiān)聽模式，便可以將網上傳輸?shù)脑丛床粩嗟男畔⒔孬@。Sniffer技術常常被黑客們用來截獲用戶的口令，據(jù)說某個骨干網絡的路由器網段曾經被黑客攻入，并嗅探到大量的用戶口令。但實際上Sniffer技術被廣泛地應用于網絡故障診斷、協(xié)議分析、應用性能分析和網絡Sniffer的分類如果Sniffer運行在路由器上或有路由功能的主機上，就能對大量的數(shù)據(jù)進行監(jiān)控，因為所有進出網絡的數(shù)據(jù)包都要經過路由器。二snifferproSniffer軟件是NAI公司推出的功能強大的協(xié)議分析軟件。SnifferPro-功能捕獲網絡流量進行詳細分析利用專家分析系統(tǒng)診斷問題實時監(jiān)控網絡活動收集網絡利用率和錯誤等使用Sniffer捕獲數(shù)據(jù)時，由于網絡中傳輸?shù)臄?shù)據(jù)量特別大，如果安裝Sniffer的計算機內存太小，會導致系統(tǒng)交換到磁盤，從而使性能下降。如果系統(tǒng)沒有足夠的物理內存來執(zhí)行捕獲功能，就很容易造成Sniffer系統(tǒng)死機或者崩潰。因此，網絡中捕獲的流量越多，建議Sniffer系統(tǒng)應該有一個速度盡可能快的計算機。1.SnifferPro計算機的連接要使Sniffer能夠正常捕獲到網絡中的數(shù)據(jù)，安裝Sniffer的連接位置非常重要，必須將它安裝在網絡中合適的位置，才能捕獲到內、外部網絡之間數(shù)據(jù)的傳輸。如果隨意安裝在網絡中的任何一個地址段，Sniffer就不能正確抓取數(shù)據(jù)，而且有可能丟失重要的通信內容。一般來說，Sniffer應該安裝在內部網絡與外部網絡通信的中間位置，如代理服務器上，也可以安裝在筆記本電腦上。當哪個網段出現(xiàn)問題時，直接帶著該筆記本電腦連接到交換機或者路由器上，就可以檢測到網絡故障，非常方便。(1)監(jiān)控Internet連接共享如果網絡中使用代理服務器，局域網借助代理服務器實現(xiàn)Internet連接共享，并且交換機為傻瓜交換機時，可以直接將SnifferPro安裝在代理服務器上，這樣，SnifferPro就可以非常方便地捕獲局域網和Internet之間傳輸?shù)臄?shù)據(jù)。如果核心交換機為智能交換機，那么最好的方式是采用端口映射的方式，將局域網出口（連接代理服務器或者路由器的端口）映射為另外一個端口，并將SnifferPro計算機連接至該映射端口。例如，在交換機上，與外部網絡連接的端口設為A，連接筆記本電腦的端口設置為B，將筆記本電腦的網卡與B端口連接，然后將A和B做端口映射，使得A端口傳輸?shù)臄?shù)據(jù)可以從B端口監(jiān)測到，這樣，Sniffer就可以監(jiān)測整個局域網中的數(shù)據(jù)了。2.設置監(jiān)控網卡如果計算機上安裝了多個網卡，在首次運行SnifferPro時，需要選擇要監(jiān)控的網卡，應該選擇代理網卡或者連接交換機端口的網卡。當下次運行時，SnifferPro就會自動選擇同樣的代理。1啟動snifferpro在安裝snifferpro之前需要安裝Win_cap（監(jiān)聽包），然后選擇網絡適配器如圖1.1,如果沒有出現(xiàn)則點擊”新建”，如圖1.2:（描述）Description:為該網卡設置一個名稱，可以是關于該網卡的描述。（網絡適配器）Network:該下拉列表中列出了本地計算機上的所有網卡，可以選擇要使用的網卡。（netpod類型）NetpodConfiguration:在這里可以設置高速以太網Pod，為了使以太網可以以全雙工模式工作，在“Netpod”下拉列表中選擇“FullDuplexPod（全雙工Pod）”選項，在“NetpodIP”框中輸入SnifferPro系統(tǒng)的網絡適配器的IP地址再加1。例如，SnifferProIP地址為，NetpodIP地址就必須設置為。全雙工Pod要求有靜態(tài)IP地址，所以應該禁用DHCP。（拷貝設置從）Copysettings:在該下拉列表中顯示了本地計算機中以前定義過的網卡設置，可以選擇一種配置，將其復制到該新添加的網卡中。設置完成以后單擊“OK”按鈕，添加到“Settings”對話框中，然后就可以選擇監(jiān)控該網卡了。圖1.1選擇網絡適配器

ar建賽描述.①)向緡適配器：心TF~1.T1TKL1bXg'1*1'ival.asejX.dA.pi.at-—Usat-Madfi□^.p-Luira拷貝設宣從：舊］取泊圖1.2添加網絡適配器圖1.3Snifferpro協(xié)議分析器主界面2.認識snifferpro界面2.1儀表盤&文件?監(jiān)視器峻捐荻。顯示?工具(!)數(shù)據(jù)庫團：窗口?幫助⑩國13|割憧售|撕布國剖制您|聞章@||儀表盤，點擊后顯示如圖1.1首先我們能看到的是三個類似汽車儀表的圖象，從左到右依次為“Utilization%網絡使用率”，“Packets/s數(shù)據(jù)包傳輸率”，“Error/s錯誤數(shù)據(jù)情況”。其中紅色區(qū)域是警戒區(qū)域，如果發(fā)現(xiàn)有指針到了紅色區(qū)域我們就該引起一定的重視了，說明網絡線路不好或者網絡使用壓力負荷太大。一般我們?yōu)g覽網頁的情況，使用率不高，傳輸情況也是9到30個數(shù)據(jù)包每秒，錯誤數(shù)基本沒有。在Sniffer主窗口中，默認會顯示Dashboard（儀表盤）窗口，共顯示了三個儀表盤，即“Utilization%”“Packets/s”“Errors/s”，分別用來顯示網絡利用率、傳輸?shù)臄?shù)據(jù)和錯誤統(tǒng)計。（1）Utilization%（利用率百分比）用傳輸量與端口能處理的最大帶寬值的比值來表示線路使用帶寬的百分比。表盤的紅色區(qū)域表示警戒值，表盤下方有兩個數(shù)字，第一個數(shù)字代表當前利用率百分比，第二個是最大的利用率百分比數(shù)值。監(jiān)控網絡利用率是網絡分析中很重要的部分。但是，網絡數(shù)據(jù)流通常都是突發(fā)型的，一個幾秒鐘內爆發(fā)的數(shù)據(jù)流和能在長時間保持活性數(shù)據(jù)流的重要性是不同的。表示網絡利用率的理想方法要因網絡不同而改變，而且很大程度上要取決于網絡的拓撲結構。在以太網端口，利用率到40%，效率可能已經很高了，但是在全雙工可轉換端口，80%的利用率才是高效的。（2）Packets/s（每秒傳輸?shù)臄?shù)據(jù)包）顯示當前數(shù)據(jù)包的傳輸速度。同樣，紅色區(qū)域表示警戒值，下方的數(shù)字顯示當前的數(shù)據(jù)包傳輸速度及其峰值。根據(jù)數(shù)據(jù)包速率可以得出網絡上流量類型的一些重要信息。例如，如果網絡利用率很高，而數(shù)據(jù)包傳輸速度相對較低，則說明網絡上的幀比較大;而如果網絡利用率很高，數(shù)據(jù)包傳輸速率也很高，說明幀比較小。通過查看規(guī)模分布的統(tǒng)計結果，可以更詳細的了解幀的大小。（3）Errors/s（每秒產生的錯誤）該表盤可顯示當前出錯率和最大出錯率。不過，并非所有的錯誤都產生故障。例如，以太網中經常會發(fā)生沖突，并不一定會對網絡造成影響，但過多的沖突就會帶來問題。如果要重新設定儀表盤的值，可以單擊儀表盤窗口上方的Reset（重置）按鈕。2.2主機表。對單個主機進行分析

售文件妙監(jiān)視器⑩捎獲?顯示?工具。數(shù)據(jù)庫也窗口也）幫助也）昭gg國畫席癡國前醯回卻置畫|主機表：顯示主機表如圖2.2SnifferPurtable-Laical^Ethernet(Line盅r典dnt售文件妙監(jiān)視器⑩捎獲?顯示?工具。數(shù)據(jù)庫也窗口也）幫助也）昭gg國畫席癡國前醯回卻置畫|主機表：顯示主機表如圖2.2SnifferPurtable-Laical^Ethernet(Line盅r典dnt100Kbps】-IJfcu—,M||,|蒞］何耕心"V］商：J登:：.」劍到療仲|電匍＜3悒|刻§IlnPkk|lr島曷IOul^4B?dtlUpdateTi?ICreate14W28.252.212611若弛97125.4665.T919Z.16S.1J78192.1S8.1.lg4182.1EatZ230.163.1*i9Z163.1.iS5302.10G4S1512CZ1095.?2fl?J6111272C?68178239昨m心罰191160.1,101016W3*20103.33.492011t?.3310!>vv>qpviinml，BG1OQ2Z7QQQ111172126第。。00.205En-ft-o1H21-F-u0o4flMlI1iB75_■

17.13Tu-9JtfF口口口陌謎岳曲演?口口UO96SJ*?J&0J&7921re24-37瀏口膜965|場詼Gu^TJe593ln5136*l75766Erx.roi--*l事_4J上7-.*221/1rxjt33_<*?1Mir2.rJL□OOOQQO^OOOOQ-QOOOOOQ^0300M&-ie15.2507.970.2d0?-l002007-lD-2613tZ34E.^.ZCOMD0a?7-i55402a)0M00瀕7102E13:234U1K2007-1002007-1l>2619:2320.21i.2M7100200740-2615:2513.630.aJQMC02M7-1B-2€15244C.￡222007-10Cl3OO7i[?-2€Tft^^.07i.^07100*通1$的皿啊.ZflOMDLi卻財珅IK&仆充OSFU2U0MD02M7-ia-2€142507.725.2007-100河7如?跚1集23蕊.柏?.2007^100aM74t2C19.2454.39fi.2007-1002007-1U-26ra2447E4t.20Q7-1Q020074^2612007^1003W7ltbSG1J343§.136.20071003M74DbZ61?.244&.33.2ZWMD02007-1W26i?24:S0.321.20OMD0額7-T>I€l“45C”3.200MO020071D-2S112453.92S.2007100胡皿102?攝網55.鏟-.5-jnmmr■n>■n，i~dll■,一s—___J*rHtlp,f?-tssF]通過這個表我們可以對網絡內的單個工作站進行數(shù)據(jù)捕獲，排序可以按照MAC地址、IP地址和IPX協(xié)議。實際上在大部分的情況下一旦網絡出現(xiàn)異常，可以在第一時間直觀的通過HostTable功能找到問題的根源，在這個表種顯示了每臺計算機的上行速率和下行速率，用來分析各主機的通信量。在捕獲過程中可以通過查看下面面板查看捕獲報文的數(shù)量和緩沖區(qū)的利用率。

圖2.3查看捕獲面板圖2.4顯示面板統(tǒng)計信息捕獲面板能夠顯示捕獲保溫的大小，以及顯示緩沖器的使用率，2.L矩陣一—e文件⑥監(jiān)視器始措萩慎顯示?工具①數(shù)據(jù)庫皿窗口他）幫助?弟到豳割習4網國御禽卸宓I倒配辱陣［如圖2.3“

SnifftiPoEtablp-Jl?C31,Etlietft&t<L±ne"k曰ntiflBTbps)-g…因匹I區(qū)圖2.3局域網正常數(shù)據(jù)傳輸SnifftiPoEtablp-Jl?C31,Etlietft&t<L±ne"k曰ntiflBTbps)-g…因匹I區(qū)圖2.3局域網正常數(shù)據(jù)傳輸矩陣用于直觀的顯示整個網絡的數(shù)據(jù)傳輸情況。上圖位局域網正常的數(shù)據(jù)傳輸，當出現(xiàn)異常情況時出現(xiàn)下圖2.3.1，一臺主機跟多臺計算機在通信，如果發(fā)生在服務器上，是正常的，但是這種情況發(fā)生在其它非服務器的計算機上就有可能是攻擊行為了。圖2.3.1局域網內主機異常通信點擊查看“餅圖”可以查看那臺計算機的流量最大（如下圖）。1笑1陶理跛雄'輯-EI.1^1.241x92II?1：B83iisaiK211SUHIBBtiis.itn.i3i□珥41g"MBS圖5.2餅圖顯示各主機通信量3ART監(jiān)控請求響應時間取邊?？陲w視器⑶廠措獲酒顯示?TM（I）數(shù)據(jù)庫魚）窗口地）幫助史）目務器傾.目港P地址|守畢|90舶華|心.-斗|Tatf袖jD.i辱目務器傾.目港P地址|守畢|90舶華|心.-斗|Tatf袖jD.i辱4寥國闌圓國卻圈畫|迪受雇|劍SWI￡：I曲逸明■叩睥婦呈禾回工具⑴煎據(jù)庠?窗口匹】mfjqi）■U|垂15泡匡|o＞圖Ml酸包|卻囹劍|tWflilr高曜焉管毋規(guī)化】-粗去腿圖3.1請求響應時間如圖：3.14歷史取樣閔文件但）監(jiān)視器?措獲睇顯示叱im（t）數(shù)據(jù)庫呢：窗口迪幫助也gg?i?i劍撕席倒國國科園劌邕凰|/歷史取樣，查看以'前某個時間段的數(shù)據(jù)信息，如圖4.1圖4.1歷史取樣圖5.協(xié)議分布娶文件口監(jiān)視器⑩措荻如顯示?工具①數(shù)據(jù)庫回窗口地）幫助⑩細受1國1朝畫席翅國通闡飽IA1劍劍I一__3I協(xié)議分布，列出局域網內計算機使用協(xié)議的分布圖，如圖5.1</LSnifCut一LocalsEthtfrciet(Li^cespeedMLOOIbpif>一[Pi^--[t||^|圖5.1協(xié)議分布圖此試圖能夠檢測網絡當中各計算機使用的網絡協(xié)議，包括FTP、HTTP、ICMP、DNS等,并監(jiān)測其數(shù)據(jù)流量。6定義過濾器，設置緩沖大小選擇捕獲一定義過濾器

圖6.1選擇定義過濾器圖6.2設置緩沖器大小圖6.1選擇定義過濾器圖6.2設置緩沖器大小Sniffer軟件提供了強大的分析能力和解碼功能。如下圖所示，對于捕獲的報文提供了一個Expert專家分析系統(tǒng)進行分析，還有解碼選項及圖形和表格的統(tǒng)計信息。

n國倒圈凰Sait2：JTs^ert^3803Et±'、-V吊I京統(tǒng)Hitn國倒圈凰Sait2：JTs^ert^3803Et±'、-V吊I京統(tǒng)Hit51i<■nLU902T[[LO.13.105)敬ifflrr-迎超0SBEDHI.[10.LI.10G.BY]jlC2721i：<[10i1.105S3])ri724i[LO1i.10559j孑￥27247[:[in1i!(]□鈕])gHiuriA』燦如頂輸匕??Pr血bIDisl.j\SM非:I；出-'Jl圖屈抻i?雅泉我女的其他

&H■敬I專家分分析系統(tǒng)提供了一個只能的分析平臺，對網絡上的流量進行了一些分析對于分析出的診斷結果可以查看在線幫助獲得。在下圖中顯示出在網絡中WINS查詢失敗的次數(shù)及TCP重傳的次數(shù)統(tǒng)計等內容，可以方便了解網絡中高層協(xié)議出現(xiàn)故障的可能點。對于某項統(tǒng)計分析可以通過用鼠標雙擊此條記錄可以查看詳細統(tǒng)計信息且對于每一項都可以通過查看幫助來了解起產生的原因。解碼分析下圖是對捕獲報文進行解碼的顯示，通常分為三部分，目前大部分此類軟件結構都采用這種結構顯示。對于解碼主要要求分析人員對協(xié)議比較熟悉，這樣才能看懂解析出來的報文。使用該軟件是很簡單的事情，要能夠利用軟件解碼分析來解決問題關鍵是要對各種層次的協(xié)議了解的比較透徹。工具軟件只是提供一個輔助的手段。因涉及的內容太

多，這里不對協(xié)議進行過多講解，請參閱其他相關資料。?de,1/明融3EUkernr-iISill(2.tn'iaW61001135捕曲的Mltc?7EEEI3IU3JIT-VB3P9582DHW27247[in11i^gl§7]11o?de,1/明融3EUkernr-iISill(2.tn'iaW61001135捕曲的Mltc?7EEEI3IU3JIT-VB3P9582DHW27247[in11i^gl§7]11onnIni；u：V衛(wèi)m*P："WI-Z"?：Y'：常*E.TARP:fz-amerpeprpjttAAAAA一一一一-D廖tMgsP3：uawai0011?CAI3：[5UI：[1U.11.12E157JLI.T?77d.?l-ir:：o\ZBFEUtype■=i(ISJMJbGtJieKifitE'rotjilcLtype=0800.IP)"1Leng-th口:fhcirdxari^address匚6hyt己％T.riTi-zrh'hrrf「ivrTLmLiI~irlrlT>mn一?1Tityf.inniTOC\o"1-5"\h\zOOaDDDOO:WMm吐是"血i￡匚叩11.舊口^UOUiiUy：II:JUULUL>U4U00：OUell土匚『1115dJq:O0QODD2O:DOOD00DO000()OaObt93b00QOoJp"00000030:DODOUUDO'0U00,OU0O3cdeAlIf11Dst.listiesDst.功能是按照過濾器設置的過濾規(guī)則進行數(shù)據(jù)的捕獲或顯示。在菜單上的位置分別為Capture->DefineFilter和Display->DefineFilter。過濾器可以根據(jù)物理地址或IP地址和協(xié)議選擇進行組合篩選。在最上面的窗口中顯示了捕獲的幀和捕獲的順序、“SourceAddress（源地址）”、“DestAddress^的地址）”、“Summary（摘要信息）”以及時間等信息。此時可以選中需要的幀左側的復選框，然后就可以保存為新的捕獲文件。選擇“Display”菜單中的“SaveSelect”選項，即將選擇的幀保存為新的捕獲文件;選擇“SelectRange（選擇范圍）”選項可以選擇全部幀、取消對全部范圍的選擇，或者選擇和取消任何一個范圍的選擇。單擊減號E可陽少麝W!服

示空間-單擊加號《書可展—摘耍fil格逐行顯示了捕長瞄包的麟SHEEar-Ljfd；Ht同她昵弁?】(][)HbjG-J5E目.恫舊用償BJ伺物■際TOH￡.■制!IMNt#?里云m，工具叫費簫伴他flH-iiHSuhjJ^ljdIII.蘑凹I”?營域通國筮匝頃喧鷲國倒血垂）魚?。輡鋼|岫翻毗…T*的fctotI拍尊在F孝遂|_|口口口：I.i.^E拓&口.Ll?55255IFTThtflr.Keswe?尹：nt4-drFrrvrjrniDcMgT】直natLIk3<ZICTE-rcoidE-ihii.1KT.CFA=^J32.I￡■GP【2巳珞W.O.lIJkEf.sirk^ssajsH：l\^LiJhw>55JHC?few]?.><-s-mcM3[FIE1:IFUcisioai-日b&sdcrle-ocfLli°toffliTiSJk樣細信思倒格林活7Jk樣細信思倒格林活7'■摘牌”明格中當嗣所誠甄捍赫的岸細向客f，IFOOCI-ro?.itin?s-□0I1I1UOO0h11±7H11NfiflellC-l.5a2Lce!1D00EuaflftUUlD:013?GbJODOO00Li09相cd110ULttf±*i..二□0050020EfECon43OD44DI14"M02i)J0600de-'■..C.T-例.c00Cfooouooao..48onQU叮]qSB)63cB_o8BDE3v*林=*率碑好I是j,王乳*(\蜘山可劇h睥憤■博/~十六爆鞘脂梅以十關連晚ASCEE,:戒EBCDtCj情式顯示所逝眈據(jù)可UDP文件頭信息以太報文結構EthernetlI以太網幀結構Ethernet_ll以太網幀類型報文結構為：目的1^入。地址（6bytes）+源MAC地址+（6bytes）上層協(xié)議類型（2bytes）+數(shù)據(jù)字段（46-1500bytes）+校驗（4bytes）EthernetII

DMACSMACTypeDATA/PADFCSShffar;kJ;枷如酈-----.-----；1-…-r:Fh:l?-la-DLC-?JD1CFrasus4arrivedat15-0120.9dO7;-fraii^Er己(D0h7hex)byte?Shffar;kJ;枷如酈-----.-----；1-…-r:Fh:l?-la-A3LCEthertyi_e□DLCIP：D-[10.11.104TCP口=18%A3LCEthertyi_e□DLCIP：D-[10.11.104TCP口=18%字我FTT.WPOST-LG35220-3eru-UFirSsrtreiv3二fuiUin3u-jk_eaily05OS'JO4500.茂.體，.，E,一HI犯IJSi7.T.0I清PmTDpj.220-Gsrv^UFTPSurert301_rUiASockdv....L0LIcaOa.Uz靜ab3050IBG727tM打2076332c30b/2072f.51-I-1223一―lani_o?&0c7JJ5fo/d2rb6cUno-L3■J—l,￡LTr—Lj-|D&CL22ee□83?6Qce25m-a4nu_M._u37d

6Li4o55oeu6oooF_io-u222h-t5_.bo2_M_731D5724dn-3.4i_e￡-creru62oyeo66OJ15M—i7467—-uu8Aoo4o1s12?-&0COOODOOLOonoooozo0000003000000040GOOCOOSOUOOOOObOSniffer會在捕獲報文的時候自動記錄捕獲的時間，在解碼顯示時顯示出來，在分析問題時提供了很好的時間記錄。源目的1^入。地址在解碼框中可以將前3字節(jié)代表廠商的字段翻譯出來，方便定位問題，例如網絡上2臺設備IP地址設置沖突，可以通過解碼翻譯出廠商信息方便的將故障設備找到，如00e0fc為華為，010042為Cisco等等。如果需要查看詳細的MAC地址用鼠標在解碼框中點擊此MAC地址，在下面的表格中會突出顯示該地址的16進制編碼。IP網絡來說Ethertype字段承載的時上層協(xié)議的類型主要包括0乂800為IP協(xié)議，0x806為ARP協(xié)議。IP協(xié)議IP報文結構為IP協(xié)議頭+載荷，其中對IP協(xié)議頭部的分析，時分析IP報文的主要內容之一，關于IP報文詳細信息請參考相關資料。這里給出了舊協(xié)議頭部的一個結構。版本：4IPv4首部長度：單位為4字節(jié)，最大60字節(jié)TOS：IP優(yōu)先級字段總長度：單位字節(jié)，最大65535字節(jié)標識：IP報文標識字段標志：占3比特，只用到低位的兩個比特MF(MoreFragment)MF=1，后面還有分片的數(shù)據(jù)包MF=0，分片數(shù)據(jù)包的最后一個DF(Don'tFragment)DF=1，不允許分片DF=0，允許分片段偏移：分片后的分組在原分組中的相對位置，總共13比特，單位為8字節(jié)壽命：TTL(TimeToLive)丟棄TTL=0的報文協(xié)議：攜帶的是何種協(xié)議報文1:ICMP6:TCP

17：UDP89：OSPF頭部檢驗和：對IP協(xié)議首部的校驗和源IP地址：IP報文的源地址目的舊地址：IP報文的目的地址曰，"菖IP:IPHeader17：UDP89：OSPF頭部檢驗和：對IP協(xié)議首部的校驗和源IP地址：IP報文的源地址目的舊地址：IP報文的目的地址|i-QIP:IP■V1ersicn=4,headerlength=20bytesL-tQIP：T?peofservxcs=00:j--QIP.tlOO....=routinejIF....0....=ncriiia.ldelay:-IP...0.=ncrmaltliroughput:=--[3IPCl.一=noj?i?ialreliability；j--rQIP■....0.=ECTbit—transportprotocol:■0=CEhit-nocongestionh-tQIP:Totallength=1&6bytes:IP