建站
咨詢
售后
建站咨詢
新聞中心
朋友，您聽說過嗅探一詞嗎?一般而言，它是指：秘密地調(diào)查某些內(nèi)容，以檢索出機密的信息。而從信息安全的角度來看，嗅探是指：竊聽流量，或?qū)⒘髁柯酚傻娇梢圆东@，分析和監(jiān)控的目標處。如果用在“正道”上，我們可以通過執(zhí)行嗅探，來分析網(wǎng)絡的使用情況，對網(wǎng)絡問題進行故障排查，以及通過監(jiān)控會話來進行各種開發(fā)與測試。不過，我們在此討論的是被“用歪了”的嗅探攻擊，及其如何從復雜數(shù)據(jù)集中提取有意義的信息。
我們提供的服務有：做網(wǎng)站、成都網(wǎng)站制作、微信公眾號開發(fā)、網(wǎng)站優(yōu)化、網(wǎng)站認證、梓潼ssl等。為1000多家企事業(yè)單位解決了網(wǎng)站和推廣的問題。提供周到的售前咨詢和貼心的售后服務，是有科學管理、有技術(shù)的梓潼網(wǎng)站制作公司
定義嗅探攻擊
在互聯(lián)網(wǎng)世界中，攻擊者可以使用應用程序、網(wǎng)絡、以及主機級別的硬件設備，通過執(zhí)行嗅探，以讀取或截獲任何網(wǎng)絡數(shù)據(jù)包中的文本信息。此類信息包括：用戶名、密碼、密鑰、銀行賬號、交易記錄等任何有價值的內(nèi)容。我們可以簡單地將此類攻擊在技術(shù)上等同于物理竊取。
嗅探動機：
- 獲取用戶名和密碼。
- 竊取銀行和交易的相關(guān)信息。
- 監(jiān)控電子郵件和聊天消息。
- 實施身份信息盜竊。
嗅探的類型
嗅探可分為主動和被動兩種。顧名思義，主動是指：攻擊者為了獲取信息而進行的一系列活動或交互。而在被動狀態(tài)下，攻擊者只是隱蔽且被動地獲取信息。下面，讓我們看看兩者的特點：
(1) 被動嗅探：
此類嗅探往往發(fā)生在集線器(hub)上。由于集線器設備可以在某個端口上接收流量，然后在所有其他端口上重新轉(zhuǎn)發(fā)該流量，因此，如果攻擊者將嗅探器放置在集線器上，則可以直接捕獲所有流經(jīng)集線器的網(wǎng)絡流量。而且，嗅探器可以長時間“安靜”地在那里監(jiān)控網(wǎng)絡中的一舉一動。不過，如今隨著集線器使用的減少，以及被交換機所取代，這種攻擊方式已顯得比較老套了。
(2) 主動嗅探：
交換機能夠?qū)W習帶有目標MAC地址的CAM(二層交換機地址)表。根據(jù)該表，交換機可以決定將哪個網(wǎng)絡數(shù)據(jù)包發(fā)送到何處。在主動嗅探時，嗅探器將使用大量虛假的請求發(fā)往交換機，以填滿CAM表。CAM滿后，交換機將不得不把網(wǎng)絡流量，以“合法”的形式發(fā)往所有端口，進而方便攻擊者進行嗅探。
網(wǎng)絡攻擊的種類
- MAC泛洪：如上文所述，大量的MAC地址涌入交換機，以使CAM表溢出，并方便嗅探的執(zhí)行。
- DNS緩存中毒：攻擊者通過更改DNS的緩存記錄，以便將請求重定向到惡意網(wǎng)站，進而捕獲這些流量。由于這些惡意網(wǎng)站在外觀上酷似真實的合法網(wǎng)站，因此極具欺騙性。用戶一旦輸入與賬戶相關(guān)的登錄信息，就會立即被嗅探到。
- 邪惡雙胞胎攻擊(Evil Twin Attack)：攻擊者通過惡意軟件來更改受害者的DNS，并通過設置一對DNS，來響應各種請求。據(jù)此，攻擊者可以輕松地嗅探流量，并將其重新路由到自己設定的目標網(wǎng)站。
- MAC欺騙：為了收集到所有連接著交換機的MAC地址，攻擊者將嗅探設備的MAC地址，設置為與目標主機相同，以嗅探并截獲發(fā)往目標主機的消息。
如何識別嗅探器?
嗅探器既可能是安裝在某個系統(tǒng)上的軟件，又可能是嵌入式的硬件設備，還可能是DNS級別的嗅探器或其他網(wǎng)絡節(jié)點。如您所知，網(wǎng)絡在邏輯上被分為7層，每一層都有著各自的專屬任務。那么嗅探攻擊到底發(fā)生在哪一層上呢?總的說來，嗅探器可以從各個層次上捕獲PDU(協(xié)議數(shù)據(jù)單元)，其中最常見的是第3層(網(wǎng)絡)和第7層(應用)。而針對每一層的協(xié)議，目前都存在著非安全版本，以及對應的安全版本。下面我們來討論那些容易受到嗅探攻擊的協(xié)議：
(1) HTTP：
超文本傳輸協(xié)議位于OSI模型的第7層。作為一個應用層協(xié)議，它以純文本形式傳輸信息，這一般適用于靜態(tài)的、或不需要用戶輸入任何信息的網(wǎng)站。其顯著缺點是：任何人都可以在通信雙方之間設置一個中間人攻擊(Man-in-the-Middle Attack，MITM)的代理，用來接受所有流量，甚至修改某些數(shù)據(jù)流。隨著Web 2.O時代的到來，為了用戶之間交互的安全性，我們需要使用HTTP的安全版本(即HTTPS)，來保證數(shù)據(jù)流在離開第7層時就已經(jīng)被加密了。
(2) TELNET：
Telnet是一種客戶端-服務器協(xié)議，它可以通過虛擬終端來提供通信功能。由于Telnet在默認情況下并不加密通信內(nèi)容，因此那些有權(quán)訪問到客戶端和服務器所連接的交換機或集線器的攻擊者，都可以嗅探到Telnet的通信內(nèi)容，進而獲取用戶名和密碼等信息。用作不安全Telnet的替代協(xié)議，SSH能夠?qū)α髁窟M行加密，進而保證數(shù)據(jù)的機密性和完整性。
(3) FTP：
FTP常被用于在客戶端和服務器之間傳輸文件。為了進行身份驗證，F(xiàn)TP使用了純文本的用戶名和密碼機制。不過，和Telnet類似，攻擊者完全可以通過嗅探流量，以獲取身份憑據(jù)，進而訪問到服務器上的所有文件。FTP既可以通過SSL/TLS來進行加固，也可以被更安全的SFTP(SSH的文件傳輸協(xié)議)所代替。
(4) POP：
電子郵件客戶端可以使用POP協(xié)議，從郵件服務器上下載郵件。由于同樣使用純文本機制進行通信，因此該協(xié)議也容易受到嗅探攻擊。其后續(xù)的版本--POP2和POP3，都比原始版本要安全得多。
(5) SNMP：
簡單網(wǎng)絡管理協(xié)議(SNMP)可被用于與網(wǎng)絡上的受管理設備進行通信。對于通信過程中的各種往來消息，SNMP使用社區(qū)字符串(community string)來執(zhí)行客戶端的身份驗證。由于community string傳輸?shù)氖敲魑男问降拿艽a，因此SNMP早已被SNMP V2和V3所取代，其中V3被認為是最新且最安全的。
優(yōu)秀嗅探工具
(1) Wireshark：
作為一款開源的數(shù)據(jù)包捕獲器和分析器，Wireshark支持Windows和Linux等操作系統(tǒng)。而作為Tcpdump的替代品，該工具是基于GUI的。Wireshark使用pcap去監(jiān)控和捕獲那些來自網(wǎng)絡接口的數(shù)據(jù)包，并根據(jù)IP地址、協(xié)議和許多其他參數(shù)，對數(shù)據(jù)包進行過濾。不同的數(shù)據(jù)包可以基于相關(guān)性被分組或標記。據(jù)此，我們可以按需進行選擇和分解。
(2) dSniff：
dSniff可以被用于對各種網(wǎng)絡協(xié)議進行分析和密碼嗅探。它可以從FTP、Telnet、POP、rLogin、Microsoft SMB、SNMP、以及IMAP等協(xié)議中獲取信息。
(3) Microsoft network monitor：
顧名思義，它可以被用于針對網(wǎng)絡數(shù)據(jù)包進行捕獲、分析、以及故障排查。在功能上，該軟件支持大量(300多種)協(xié)議、無線監(jiān)控模式、以及碎片消息的重組等。
(4) Debookee：
它是一款付費工具，可用于監(jiān)控和分析網(wǎng)絡。不論目標設備是筆記本電腦、網(wǎng)絡設備、甚至是電視，它都可以攔截和分析來自其所在子網(wǎng)中數(shù)據(jù)流量。通常，Debookee能夠提供如下三種模塊：
- 網(wǎng)絡分析模塊：掃描已連接的設備，攔截子網(wǎng)中的流量，掃描TCP端口，對HTTP、DNS、TCP、以及DHCP協(xié)議在網(wǎng)絡層面上進行分析和監(jiān)控，分析VoIP呼叫等。
- WiFi監(jiān)控模塊：提供覆蓋范圍內(nèi)的各種AP、無線客戶端、WiFi統(tǒng)計等詳細信息。
- SSL/TLS解密模塊：支持監(jiān)控和分析各種安全協(xié)議。
防范嗅探攻擊的措施
(1) 連接到受信任的網(wǎng)絡中：請不要為了“蹭網(wǎng)”，連接隔壁咖啡店提供的不受信任的免費Wi-Fi。攻擊者往往會利用用戶缺乏網(wǎng)絡安全意識的特點，在公共網(wǎng)絡中實施流量嗅探，或者自行創(chuàng)建與既有網(wǎng)絡ID相似的新網(wǎng)絡，以誘騙受害者“入局”。特別是在機場，您會發(fā)現(xiàn)有許多名稱類似“免費機場Wi-Fi”的無線網(wǎng)絡。說不定其中就暗藏著攻擊者的嗅探器節(jié)點。因此，請您只連接到家庭或辦公室之類受信任的網(wǎng)絡中。
(2) 加密!加密!加密!重要的事情說三遍：請對離開本系統(tǒng)的所有流量進行加密，以確保即使流量被嗅探到，攻擊者也將無法理解其“字面意思”。例如：使用了HTTPS協(xié)議加密流量的網(wǎng)站，顯然比只使用HTTP的網(wǎng)站更加安全。當然，值得注意的是：單純的加密也并非萬無一失，攻擊者很可能會通過捕獲大量的數(shù)據(jù)，運用解密工具來尋找特征，進而破解。因此，請您根據(jù)深度防御原則(defense in depth principle)，做好多層次的安全加固。
(3) 網(wǎng)絡掃描和監(jiān)控：您必須定期對目標網(wǎng)絡進行掃描，以查找可能以span模式捕獲流量的入侵嘗試，或是任何類型的惡意設備。此外，我們還需要實時監(jiān)控目標網(wǎng)絡，以盡早發(fā)現(xiàn)那些處于混雜模式的設備，以及網(wǎng)絡中被安置的嗅探器。
本文名稱：咱們來把嗅探攻擊說個清楚
標題來源：http://www.5511xx.com/article/dpssdgc.html
