簡介
你是網絡管理員嗎？你是不是有過這樣的經曆：在某一天的早上你突然發現網絡性能急劇下降，網絡服務不能正常提供，服務器訪問速度極慢甚至不能訪問。
網絡交換機端口指示燈瘋狂地閃爍、網絡出口處的路由器已經處于滿負荷的工作狀态、路由器CPU已經到了百分之百的負荷。重啟動後沒有幾分鐘現象又重新出現了。
這是什麼問題？設備壞了嗎？不可能幾台設備同時出問題。
一定是有什麼大流量的數據文件，耗盡了網絡設備的資源，它們是什麼？怎麼看到它們？這時有經驗的網管人員會想到用局域網抓包工具來分析一下。
你一定聽說過紅色代碼、Nimda、沖擊波以及震蕩波這些臭名昭着的網絡殺手。
就是它們制造了上述種種惡行。它們來勢洶洶，阻塞網絡、感染主機，讓網絡管理員苦不堪言。當網絡病毒出現時，如何才能及時發現染毒主機？用抓包工具尋找病毒源。
方法
安裝工具
目的就是用它分析網絡數據包的内容。找一個免費的或者試用版的抓包工具并不難。
我使用了一種叫做SpyNet3.12的抓包工具，非常小巧,運行的速度也很快。
安裝完畢後我們就有了一台抓包主機。
你可以通過SpyNet設置抓包的類型，比如是要捕獲IP包還是ARP包，還可以根據目的地址的不同，設置更詳細的過濾參數。
配置網絡路由
你的路由器有缺省網關嗎？如果有，指向了哪裡？
在病毒爆發的時候把缺省網關指向另外一台路由器是很危險的（除非你想搞癱這台路由器）。
在一些企業網裡往往僅指出網内地址段的路由，而不加缺省路由，那麼就把缺省路由指到抓包主機上吧（它不下地獄誰下地獄？當然這台主機的性能最好是高一點的，否則很容易被病毒沖擊而亡）。
這樣可以讓那些病毒主機發出的絕大部分掃描都自動送上門來。
或者把網絡的出口映像到抓包主機上，所有對外訪問的網絡包都會被分析到。
開始
抓包主機已經設置好了，網絡裡的數據包也已經送過來了，那麼我們看看網絡裡傳輸的到底是些什麼。
打開SpyNet點擊Capture你會看到好多的數據顯示出來，這些就是被捕獲的數據包。
圖中的主體窗口裡顯示了抓包的情況。
列出了抓到數據包的序号、時間、源目的MAC地址、源目的IP地址、協議類型、源目的端口号等内容。
很容易看出IP地址為10.32.20.71的主機在極短的時間内向大量的不同主機發出了訪問請求，并且目的端口都是445。
找出染毒主機
從抓包的情況看，主機10.32.20.71值得懷疑。首先我們看一下目的IP地址，這些地址我們網絡裡存在嗎？
很可能網絡裡根本就沒有這些網段。其次，正常情況下訪問主機有可能在這麼短的時間裡發起這麼多的訪問請求嗎？在毫秒級的時間内發出幾十甚至幾百個連接請求，正常嗎？
顯然這台10.32.20.71的主機肯定有問題。
再了解一下Microsoft-DS協議，該協議存在拒絕服務攻擊的漏洞，連接端口是445，從而進一步證實了我們的判斷。這樣我們就很容易地找到了染毒主機的IP地址。
剩下的工作就是給該主機操作系統打補丁殺病毒了。
既然抓到了病毒包，我們看一下這個數據包二進制的解碼内容：
這些數據包的長度都是62個字節。
數據包前12個字節包括了目的MAC和源MAC的地址信息，緊跟着的2字節指出了數據包的類型，0800代表的是IP包格式，0806代表ARP包格式。
接着的20個字節是封裝的IP包頭，包括了源、目的IP地址、IP版本号等信息。剩下的28個字節封裝的是TCP包頭，包括了源、目的端口，TCP鍊接的狀态信息等。這就構成了一個62字節的包。
可以看出除了這些包頭數據之外，這個包沒有攜帶其他任何的有效數據負荷，所以這是一個TCP要求445端口同步的空包，也就是病毒主機在掃描445端口。
一旦染毒主機同步上沒有采取防護措施的主機445端口，便會利用系統漏洞傳播感染。
抓包工具
抓包工具是攔截查看網絡數據包内容的軟件。通過對抓獲的數據包進行分析，可以得到有用的信息。流行的抓包工具有很多，比較出名的有wireshark、sniffer、httpwatch、iptool等。這些抓包工具功能各異，但基本原理相同。我們的計算機通過向網絡上傳和從網絡下載一些數據包來實現數據在網絡中的傳播。通常這些數據包會由發出或者接受的軟件自行處理，普通用戶并不過問，這些數據包一般也不會一直保存在用戶的計算機上。抓包工具可以幫助我們将這些數據包保存下來，如果這些數據包是以明文形式進行傳送或者我們能夠知道其加密方法，那麼我們就可以分析出這些數據包的内容以及它們的用途。
抓包工具更多的用于網絡安全，比如查找感染病毒的計算機。有時也用于獲取網頁的源代碼，以及了解攻擊者所用方法、追查攻擊者的ip地址等。
主要分類
Sniffer
1．網絡技術與設備簡介
在講述Sniffer的概念之前，首先需要講述局域網設備的一些基本概念。
數據在網絡上是以很小的稱為幀（Frame）的單位傳輸的，幀由幾部分組成，不同的部分執行不同的功能。
幀通過特定的稱為網絡驅動程序的軟件進行成型，然後通過網卡發送到網線上，通過網線到達它們的目的機器，在目的機器的一端執行相反的過程。
接收端機器的以太網卡捕獲到這些幀，并告訴操作系統幀已到達，然後對其進行存儲。就是在這個傳輸和接收的過程中，嗅探器會帶來安全方面的問題。
每一個在局域網（LAN）上的工作站都有其硬件地址，這些地址惟一地表示了網絡上的機器（這一點與Internet地址系統比較相似）。
當用戶發送一個數據包時，如果為廣播包，則可達到局域網中的所有機器，如果為單播包，則隻能到達處于同一碰撞域中的機器。
在一般情況下，網絡上所有的機器都可以“聽”到通過的流量，但對不屬于自己的數據包則不予響應（換句話說，工作站A不會捕獲屬于工作站B的數據，而是簡單地忽略這些數據）。
如果某個工作站的網絡接口處于混雜模式（關于混雜模式的概念會在後面解釋），那麼它就可以捕獲網絡上所有的數據包和幀。
網絡監聽原理
Sniffer程序是一種利用以太網的特性把網絡适配卡（NIC，一般為以太網卡）置為雜亂（promiscuous）模式狀态的工具，一旦網卡設置為這種模式，它就能接收傳輸在網絡上的每一個信息包。
普通的情況下，網卡隻接收和自己的地址有關的信息包，即傳輸到本地主機的信息包。要使Sniffer能接收并處理這種方式的信息，系統需要支持BPF，Linux下需要支持SOCKET一PACKET。
但一般情況下，網絡硬件和TCP/IP堆棧不支持接收或者發送與本地計算機無關的數據包，所以，為了繞過标準的TCP/IP堆棧，網卡就必須設置為我們剛開始講的混雜模式。
一般情況下，要激活這種方式，内核必須支持這種僞設備Bpfilter，而且需要root權限來運行這種程序，所以sniffer需要root身份安裝，如果隻是以本地用戶的身份進入了系統，那麼不可能喚探到root的密碼，因為不能運行Sniffer。
基于Sniffer這樣的模式，可以分析各種信息包并描述出網絡的結構和使用的機器，由于它接收任何一個在同一網段上傳輸的數據包。
所以也就存在着捕獲密碼、各種信息、秘密文檔等一些沒有加密的信息的可能性。這成為黑客們常用的擴大戰果的方法，用來奪取其他主機的控制權
Sniffer的分類
Sniffer分為軟件和硬件兩種，軟件的Sniffer有NetXray、Packetboy、Net monitor等，其優點是物美價廉，易于學習使用，同時也易于交流。
缺點是無法抓取網絡上所有的傳輸，某些情況下也就無法真正了解網絡的故障和運行情況。硬件的Sniffer通常稱為協議分析儀，一般都是商業性的，價格也比較貴。
實際上本文中所講的Sniffer指的是軟件。
它把包抓取下來，然後打開并查看其中的内容，可以得到密碼等。
Sniffer隻能抓取一個物理網段内的包，就是說，你和監聽的目标中間不能有路由或其他屏蔽廣播包的設備，這一點很重要。
所以，對一般撥号上網的用戶來說，是不可能利用Sniffer來竊聽到其他人的通信内容的。
網絡監聽的目的
當一個黑客成功地攻陷了一台主機，并拿到了root權限，而且還想利用這台主機去攻擊同一網段上的其他主機時，他就會在這台主機上安裝Sniffer軟件，對以太網設備上傳送的數據包進行偵聽，從而發現感興趣的包。
如果發現符合條件的包，就把它存到一個LOg文件中去。
通常設置的這些條件是包含字“username”或“password”的包，這樣的包裡面通常有黑客感興趣的密碼之類的東西。一旦黑客截獲得了某台主機的密碼，他就會立刻進入這台主機。
如果Sniffer運行在路由器上或有路由功能的主機上，就能對大量的數據進行監控，因為所有進出網絡的數據包都要經過路由器
Sniffer屬于第M層次的攻擊。就是說，隻有在攻擊者已經進入了目标系統的情況下，才能使用Sniffer這種攻擊手段，以便得到更多的信息。
Sniffer除了能得到口令或用戶名外，還能得到更多的其他信息，比如一個重要的信息、在網上傳送的金融信息等等。Sniffer幾乎能得到任何在以太網上傳送的數據包。
Sniffer是一種比較複雜的攻擊手段，一般隻有黑客老手才有能力使用它，而對于一個網絡新手來說，即使在一台主機上成功地編譯并運行了Sniffer，一般也不會得到什麼有用的信息。
因為通常網絡上的信息流量是相當大的，如果不加選擇地接收所有的包，然後從中找到所需要的信息非常困難；而且，如果長時間進行監聽，還有可能把放置Sniffer的機器的硬盤撐爆。
