|
Internet:
Destination Gateway Flags Refs Use Interface
default iss.net UG 1 24949 le0
localhost localhost UH 2 83 lo0
然后通过如下命令检查每个网络接口：
#ifconfig le0
le0: flags=8863
inet 127.0.0.1 netmask 0xffffff00 broadcast 255.0.0.1
入侵者经常会替换ifconfig等命令来避开检查，因此一定要检查命令程序的校验值。
在ftp.cert.org:/pub/tools/的cpm程序（SunOS平台）可以检查接口是否有混杂模式标记。
这些命令只在sniffer与内核存在链接时有效。而在缺省情况，sniffer是没有与内核链接的。大多数的Unix系统，例如Irix、Solaris、SCO等，都没有任何标记来指示是否处于混杂模式，因此入侵者能够窃听整个网络而却无法监测到它。
如果机器上使用两块网卡，把一块设置为杂乱模式，并把IP地址设置为0.0.0.0，另一块卡处于正常的模式并是正确的地址，这样将很难发现SNIFFER的存在。
注意：要监测只采集数据而不对任何信息进行响应的窃听设备，需要逐个仔细检查以太网上所有物理连接,不可能仅通过远程发送数据包或ping就可以检查计算机是否正在窃听.
六、如何阻止sniffer
<1>交换
随着交换机的成本和价格的大幅度降低，交换机已成为非常有效的使sniffer失效的设备。目前最常见的交换机在第三层（网络层）根据数据包目标地址进行转发，而不太采取集线器的广播方式，从理论上讲，通过交换设备对网络进行分段后，sniffer将无法透过边界而窥探另一边的数据包。但是，请注意：这是在边界设备不转发广播包的情况下（这也是通常的网络情况）。一旦入侵者使用spoofer诱骗某个边界设备而将自己的广播包流入不该进入的网段后，原理上还是在一个共享设备端使用sniffer,而实际上将是听到了边界的另一边).当然，这样会牵涉到ip欺诈和Mac欺诈的问题，然而,你别忘了，sniffer和spoofer是很少分开来的。
<2>加密
目前有许多软件包可用于加密连接，从而使入侵者即使捕获到数据，但无法将数据解密而失去窃听的意义。
<3>入侵检测
使用诸如Tripwire之类的工具，生成文件系统的MD5"数据指纹"，及时发现被修改的系统文件；
<4)使用antisniffer软件
一些流行的检测SNIFFER的程序：
http://www.attrition.org/security/newbie/security/sniffer/promisc.c --是一个很小的C程序，当编译好后，会查找本地机器上任何处于杂乱模式的NIC网络适配卡。
http://www.attrition.org/security/newbie/security/sniffer/neped.c --是一个用来远程检查任何嗅探活动的程序，可惜它只在LINUX下编译，当然你也可以简单的使用’ifconfig-a’来检查你的UNIX机器是否有PROMISC标志。
http://www.l0pht.com/antisniff/这是L0pht写的很好的反SNIFFER程序，L0PHT还打算公开LINUX版本上的源码版本。
下面我介绍一下sentinel的用法
Sentinel主要是设计思想是portable,arrcurate implementation,就是说小巧点，精确实现几个熟知的杂乱方式探测技术。其中Sentinel支持三种方法的远程杂乱探测模式：DNS测试，Etherping测试，和ARP测试，其中还有一种ICMP ping Latency(ICMP PING反应时间）正在开发中。
此程序需要Libnet和libpcap库来支持，大家可以到下面的地址去下载：
LIbnet 1.0: http://www.packetfactory.net/Projects/libnet
libpcap 0.4: ftp://ftp.ee.lbl.gov/libpcap-0.4.tar.Z
首先说下它其中使用的三种模式：
--ARP测试模式：
这种方法是采用发送一个ARP请求，其中包含所有正确信息除了伪造的目标主机MAC硬件地址给我们的目标主机，这样如果目标主机没有处于杂乱模式，它将不会理睬这些信息包，因为这些信息包其认为不是指定给它们的，所以不会进行响应和回复，但如果此目标机器处于杂乱模式，ARP请求就会发生并进行内核处理，通过机器的回应信息我们就可以知道其处于杂乱模式。这种方法结合内核的特性来查看机器的运作状态，请看下面的Etherping 测试模式。
-- DNS测试模式：
DNS测试主要是针对网络数据收集工具能执行IP到名字反转解析来提供DNS名字来代替IP地址（The DNS tests operate on the premise that many attacker network data gathering tools perform IP to name inverse resolution to provide DNS names in place of IP addresses）。在执行反转查询中，工具会从被动网络工具
模式转变为主动网络工具，而那些没有监视网络书记的工具就不会去解析信息包中的IP地址。利用这种信息，ANTI SNIFFER工具可以自身在本地主机中变为杂乱模式并在我们网络中发送无数个伪造的主机，这样，ANTI SNIFFER
工具就可以嗅探DNS请求来查看目标是否在请求解析那些不存在主机。
--Etherping 测试模式：
Etherping 测试模式依赖于目标主机的内核，也就所谓的内核测试。在通常情况下，硬件网络接口卡过滤和丢弃那些MAC地址不同于自己机器上的MAC地址的信息包或者不是广播Ethernet 地址的地址。就是说信息包是正确和实际的Ethernet地址或者是广播Ethernet地址，接口就会把这些地址COPY和传递给内核进行进一步处理。
但某些系统假定包含在以太帧中的数据包含某个目标主机中正确的IP地址或者广播地址，但具有不同于本地主机的MAC地址，当NIC设置为杂乱模式，发送给目标主机的每个数据包它还是傻傻的传递给操作系统进行分析。这样通过发送包含正确IP地址和不正确MAC地址的ICMP ECHO包给要检测的主机，如果目标主机回应了我们的请求，我们就知道其处于杂乱模式了。
多种LINUX内核存在这种问题，其中NETBSD也可以利用这个问题来检测杂乱模式，但需要使用广播地址的信息包，这种信息包使用带伪造ether帧的IP地址，如66:66:66:66:66:66.
关于WINDOWS95，98，NT的操作系统在杂乱模式中确实是检查信息包ETHER地址的，如果信息包的NIC ETHER地址符合本地主机就让堆栈来处理。但WINDOWS对广播的ether信息包存在问题，在普通环境下，如机器不在杂乱模式下，NIC只把含有起本身MAC地址的信息包或者ether地址是ff:ff:ff:ff:ff:ff传递给内核。但当在杂乱模式中驱动程序是检查ETHER地址，但它只检查ETHER地址的第一个八未组是否为Oxff就来判断信息包是否为广播或者其他，因此如果我们建立一个包含EHTER地址为ff:00:00:00:00:00的IP正确的信息包并发送给目标机器，如果其进行了响应的回应，就表示起处于杂乱模式。
但对WINDOWS的这种方法是依赖于所用的驱动程序的，默认的微软驱动程序有此特性并且大多数供应商的驱动程序也有此特性，但某些NIC过滤广播只是依靠第一个八为组，所以这些卡不适合此方法。
--网络和机器的反应时间测试（也可以说ICMP PING反应时间）：
这种模式是比较有效的测试方法，依据是靠对操作系统的影响来测试。但其中的坏处就是这些测试会在短期内产生一些多数量的网络通信。
这些测试假定当网络卡不处于杂乱模式时提供硬件过滤，这样的话，信息包不是指定给本身机器的将被网络卡丢弃。当在这中情况下，在网络通信信息量将动态增长对操作系统的影响很小，相反的处于杂乱状态的机器由于不
对这层进行过滤，就把这些信息传递给系统或者用户模式进行过滤，会对操作系统产生比较大的影响。简单的说，我们先正常情况下PING一机器，再我们构建很多伪造的TCP连接来ping程序来ping目标，并且注意RTT(round
trip time)，这样处于杂乱模式的机器由于会处理这些垃圾信息包，并影响系统并导致网络反映时间增加，然后来比较各个RTT，经过多次测试和人工判断就能决定目标机器上是否存在SNIFFER。
Sentinel是根据这些方法来进行测试的程序，是有源代码形式发放的。使用于OPENBSD 2.6 ；FREEBSD 3.X；NETBSD 1.4.1；LINUX2.2.X平台。
编译后使用方法为：
#./sentinel -t 192.168.0.1 -a 是ARP测试。
#./sentinel -t 192.168.0.1 -e 是etherping test;
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d 是DNS测试；
#./sentinel -t 192.168.0.1 -f 1.1.1.1 -d -a -e 是允许所有模式进行测试。
上一页 [1] [2] [3] [4] |
