您所在的位置:网络安全 > 安全观察 > 网络嗅探教程:使用Sniffer Pro监控ARP协议欺骗(1)

网络嗅探教程:使用Sniffer Pro监控ARP协议欺骗(1)

2007-10-24 11:01 banker 51CTO.com 字号:T | T
一键收藏,随时查看,分享好友!

本文banker将向51CTO网友介绍如何使用sniffer pro来监控ARP欺骗行为。文中会介绍一些更为简便和直接的snffer程序,它们都属于snffer程序的一种,只是在功能上更有针对性。

AD:

【51CTO.com 独家特稿】在51CTO安全频道策划的“网络嗅探教程”的上一篇文章《使用Sniffer Pro监控网络流量》中,banker向大家介绍了如何使用sniffer pro监控网络中网关流量。在这一节,banker将向51CTO网友介绍如何使用sniffer pro来监控ARP欺骗行为。文中会介绍一些更为简便和直接的snffer程序,它们都属于snffer程序的一种,只是在功能上更有针对性。本文不再过多叙述ARP欺骗原理等相关知识,有兴趣的网友可以参阅《ARP攻击防御与解决方案专题

一、使用sniffer pro监控ARP

实际上,使用sniffer pro程序的监控功能可以更方便、更为迅速的帮助我们定位问题。

步骤一:首先,我们在已经做了端口镜像的机器上启动snffer pro程序。选择菜单栏中Monitor→Define Filter 来定义我们需要的过滤器。在弹出的define Filter对话框中选择Profiles→New 来新建一个过滤器,我们这里取名为ARP。

图1(点击查看大图)


步骤二:点击Advanced高级标签,我们这里选中ARP协议。单击OK后完成过滤器的新建。

图2(点击查看大图)

步骤三:系统默认过滤器为Default,我们来选择刚才新建过滤器ARP。首先,选择Monitor→Select Filter。

图3(点击查看大图)

步骤四:在弹出的对话框中点击ARP。在这里要注意的是:一定要把Apply monitor勾选。点击确定后,过滤器定义和选择工作准备完毕。

图4(点击查看大图)
 
步骤五:鼠标点击工具栏中Host Table按钮(联网图标),在弹出的子窗口中选择Detail工具(放大镜图标)。注意观察本图同之前程序使用默认Default Filter过滤器的不同之处。现在,按照我们的定义,监视器内Protocol(协议类型)仅包括IP_ARP.这对于我们查找问题,层次上更加分明。这里需要注意的是:

①这里的Address(地址)以IP或者机器名的形式显示,如果显示MAC,请先使用Tools→Address book进行扫描,IP-MAC的显示转换后,将有利于我们快速定位节点。
②网内终端中所有ARP广播包的和,合计后等于Broadcast数据包(广播包)。

图5(点击查看大图)
 

步骤六:我们先来观察,在正常网络状况下,ARP协议的TOP流量分布图,这将方便我们的区分、判断。鼠标点击左边工具栏中的Bar(柱形图标),我们知道Bar会将目前数据包流量排行前10位,通过动态柱型图的方式显示出来。同上图的Detail(详细显示方式)一样,只不过Bar在界面上对于观察者来讲更为直观。需要注意的是:

①Broadcast(网内所有节点的广播)占TOP排行第一位。
②其它节点依次排开。但是,流量差距不大。

图6(点击查看大图)
 
步骤七:我们再来观察,网内存在ARP欺骗情况时流量排行图。请仔细对比上述两图。

我们会发现问题的所在:
①TOP1 节点219.238.*.111占据网内最大ARP流量。
②TOP2中的流量急速增大且与TOP3差距悬殊。
③我们知道,在网络常的情况下,不同节点的ARP流量会有差距,但应该相差不大。同时我们对比在网络正常情况下ARP流量TOP图,并以它做为基准,问题就显而易见了。
④这里需要解释的是,Broadcast在下图中排行第二,为什么呢?因为Broadcast是网内广播总计,但ARP分为请求(广播)、和回应(单播)两种,当219.238.*.111的回应(也就是单播数量)大于ARP请求(广播的数量)将可能出现ARP总流量大于Broadcast的情况,这也印证我们在开场所说的:当节点出现ARP欺骗时,它会向网内ARP reply。

图7(点击查看大图)

步骤八:再来看看节点219.238.*.111的traffic map (通信图),几乎与网内所有节点都有ARP通信。同时与节点wangguan(网关)通信数据量最大。至于它为什么最大?在文章开始介绍ARP时提过,这里不在赘述。

图8(点击查看大图)


内容导航



分享到:

  1. 各类密码如何设置才能避免黑客盗取,学习一下!
  2. 2018年网络安全行业发展七大趋势

热点职位

更多>>

热点专题

更多>>

读书

解密SEO:搜索引擎优化与网站成功战略
本书是作者根据十年网站营销经验,特别是搜索引擎优化(SEO)实现营销方面的技术和实践总结。本书帮助读者建立搜索营销的概念,

51CTO旗下网站

领先的IT技术网站 51CTO 领先的中文存储媒体 WatchStor 中国首个CIO网站 CIOage 中国首家数字医疗网站 HC3i 51CTO学院