信息收集与漏洞扫描

1、4 信息收集与漏洞扫描 攻击的前奏1内容踩点社会工程学搜索引擎网络嗅探安全扫描21、踩点孙子兵法里指出：“知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼不知己，每战必败。” 对于黑客们来说，在开始真正肆虐之前，必须完成三个基本步骤。本章讨论第一个步骤踩点（footprinting），这是收集目标信息的奇技淫巧。举例来说，当盗贼决定抢劫一家银行时，他们不会大摇大摆地走进去直接要钱（至少明智的贼不会）。相反，他们会狠下一番苦功夫收集关于这家银行的相关信息，包括武装押运车的路线和运送时间、摄像头位置和摄像范围、出纳员人数、逃跑出口以及其他任何有助于行事的信息。3踩点攻击者可以通过对某个组织进行有

2、计划、有步骤的踩点，收集整理出一份关于该组织信息安防现状的完整剖析图。结合使用各种工具和技巧，攻击者完全可以从对某个组织（比如XYZ公司）毫无所知变成知之甚详，他们可以从公开渠道查出该组织具体使用的域名、网络地址块、与因特网直接相联的各有关系统的IP地址以及与信息安防现状有关的其他细节。有很多种技术可以用来进行踩点，但它们的主要目的不外乎发现和收集与以下几种与网络环境相关的信息：因特网、内联网（intranet）、远程访问和外联网（extranet）。4网络环境需要确认的信息因特网域名网络地址块可以直接从因特网进行访问的各个系统的具体IP地址已被发现的各个系统上运行的TCP和UDP服务系统体系

3、结构（例如SPARC或X86）访问控制机制和相关的访问控制表（access control list，ACL）入侵检测系统（intrusion detection system，IDS）各有关系统的细节信息（用户名和用户组名、系统旗标、路由表、SNMP信息等等）DNS主机名外联网连接的源地址和目标地址连接的类型访问控制机制5网络环境需要确认的信息内联网组网协议（比如说，IP、IPX、DecNET等等）内部域名网络地址块可以直接从内联网进行访问的各个系统的具体IP地址已被发现的各系统上运行的TCP和UDP服务已被发现的各系统的体系结构（例如，SPARC还是X86）访问控制机制和相关的访问控制表（

4、access control list，ACL）入侵检测系统（intrusion detection system，IDS）各有关系统的细节信息（用户名和用户组名、系统旗标、路由表、SNMP信息等等）远程访问模拟/数字电话号码远程系统的类型身份验证机制VPN和相关的协议（IPSec和PPTP）6步骤1：确定踩点活动范围首先要解决的问题是确定踩点活动的范围。换句话说，是打算对目标组织做全面的踩点，还是把自己的踩点活动范围控制在它的某个子公司或某个特定的地理位置？在许多场合，单是把与某个组织有关的的所有实体全都找出来就已经是一项令人生畏的繁杂任务，若再想把它们都保护得面面俱到就更不容易了.7步骤2

5、：获得必要的授权从纯粹的技术角度讲，OSI网络模型只有7个层次，但在讨论信息安防问题的时候，都认为应该把政治因素和资金因素看做是OSI模型的第8层和第9层。这两个层次对黑客来说无足轻重，但你们却必须特别加以注意。这些层次对信息安防工作有着种种影响，其中又以授权方面的问题最不好解决。你的踩点或其他活动是否得到了授权？你获得的授权都允许你从事哪些具体的活动？授权是否来自有权做出这种授权的人？授权是不是以书面形式下达的？目标IP地址是否正确无误？8步骤3：可以从公开渠道获得的信息可以从公开渠道获得的信息 流行度：9简单度：9影响力：2风险率：7如果把收集情报比作大海捞针的话，那么踩点活动要捞的“针”

6、都有哪些呢？公司的Web网页相关组织地理位置细节电话号码、联系人名单、电子邮件地址、详细的个人资料近期重大事件（合并、收购、裁员、快速增长等等）可以表明现有信息安防机制的隐私/安防策略和技术细节已归档的信息心怀不满的员工搜索引擎、Usenet和个人简历让人感兴趣的其他信息9公司的Web网页说到踩点，仔细研究目标组织的Web网页通常是一个很好的出发点。在很多时候，目标组织的Web站点会向攻击者提供大量有用的信息。我们曾亲眼见过很多缺乏安防意识的组织就那么毫不掩饰地把它们的网络或系统安防配置细节列在它们的因特网Web服务器上。此外，HTML源代码里的注释语句也是一个收集情报的好去处。在诸如“”、“

7、!”和“”之类的HTML注释标记里往往会隐藏着一些你们在Web浏览器的窗口画面里看不到的秘密。以脱机方式阅读源代码通常要比以在线方式查阅来得更快，所以把整个站点镜像下来进行脱机浏览的好处很多。在你们自己的机器里保留一份目标站点的本地拷贝可以让你们通过各种编程手段去查找你们感兴趣的注释或其他内容，而这将使你们的踩点活动更有效率。至于镜像整个Web站点的工具，UNIX操作系统下的Wget（）和Windows操作系统下的Teleport Pro（）都是非常不错的选择。10地理位置细节对目的明确的攻击者来说，一个具体的地理地址往往非常有用。有了这个地址，攻击者就可以去“翻垃圾”（从垃圾箱里寻找废弃的敏

8、感文件）、盯梢、进行社交工程或者展开其他非技术性的攻击。利用泄露的地理地址还可能非法侵入对方的办公大楼、有线或无线网络、计算机等。利用因特网上的各种资源，攻击者甚至可以获得目标建筑物的一份相当详尽的卫星图像。就拿笔者最喜欢的站点来说吧，该站点的拥有者是Google公司的一家子公司，它可以让你把全世界（至少是全世界的各主要都市）尽收眼底，并通过一个设计得非常优秀的客户端软件以令人惊讶的清晰度和细节把某给定地址的周边地理环境展示在你的面前（如图1-1所示）。站点也是一个查看地理环境的流行资源。11电话号码、联系人名单、电子邮件地址和详细的个人资料在得到你的电话号码之后，攻击者就可以通过、或之类的网

9、站查出你的地理地址。他们还可以根据你的电话号码为他们的“密集拨号”攻击设定一个攻击范围或是开展“社交工程”攻击以获得更多的信息和/或访问权限。12已归档的信息在因特网上有一些专门归档保存过期信息的站点，你们可以从这类站点上轻而易举地检索出很多从其原始来源都无法查到的信息。由于这类站点的存在，很多因为安全原因而被特意删除的信息还是可以被那些知道这一诀窍的人检索出来。这类站点的例子有地址处的WayBack Machine网站（如图1-3所示）、和通过Google搜索引擎的cached results（缓存结果）链接查看到的缓存结果（如图1-4所示）。13在网站上检索到的多年前的网页 14搜索引擎的

10、特性使得任何人都可以轻而易举地查看到它们曾标引过的缓存内容。图中是通过Google搜索引擎的cached results（缓存结果）链接检索出来的主页的缓存版本 15Google与黑客1、 index of /admin2、index of /passwd /passwd目录3、index of /password 4、index of /mail /电子邮件目录5、“index of /config”/查询config 目录利用index of可以浏览一些隐藏在互联网背后的开放了目录浏览的网站服务器的目录，并能够下载本无法看到的密码等有用文件16Google与黑客inurl: inurl:

11、是骇客重要的搜寻方法，可搜到网址包括的关键字， 例如填上 allinurl:login password 作搜寻，便会很易找到有 login 和 password 的网页。 17搜索引擎、Usenet和个人简历现如今的搜索引擎已经发展到了一种不可思议的地步。只需几秒钟的时间，你就可以查到想知道的任何问题的答案。现在，许多流行的搜索引擎都提供了这样或那样的高级搜索功能，这些功能可以帮助你把最细枝末节的信息轻而易举地查找出来。搜索引擎:、和（它会把你的搜索请求同时发送给多个搜索引擎）。18步骤4：WHOIS和DNS查点whois 流行度：9简单度：9影响力：5风险率：8为了确保因特网上的各类系统可

12、以互联互通、防止IP地址发生冲突、确保地理边界和政治因素不会给名字解析带来干扰，因特网的几种基础性功能必须由某个中央机构统一管理起来。这意味着有人在管理着数量十分庞大的信息。如果你们了解这一点是如何做到的，就可以有效地利用好这个信息宝库！因特网的这些核心功能是由一家名为Internet Corporation for Assigned Names and Numbers（ICANN；）的非赢利组织负责管理的。19ICANN有很多下属分支机构，我们此时最感兴趣的是以下三个：Address Supporting Organization（ASO，地址支持组织）Generic Name Suppor

13、ting Organization（GNSO，基本名称支持组织）Country Code Domain Name Supporting Organization（CNNSO，国家代码域名支持组织） 20ASO负责听取、审查与IP地址分配政策有关的意见并就这些问题向ICANN董事会提出建议。ASO负责把IP地址块统一分配给几个在各自的辖区内负责公共因特网号码资源的管理、分配和注册事务的洲际因特网注册局（Regional Internet Registry，RIR；如下图所示）。这些RIR再把IP地址分配给企事业单位、因特网接入服务提供商（Internet service provider，ISP

14、）或者根据当地政府（主要是一些共产主义国家和集权统治国家）的有关规定国家因特网注册局（National Internet Registry，NIR）或地区因特网注册局（Local Internet Registry，LIR）：APNIC（） 亚太地区ARIN（） 南美洲、北美洲和非洲下撒哈拉地区LACNIC（） 拉丁美洲和加勒比海地区RIPE（） 欧洲、亚洲部分地区、赤道以北的非洲地区和中东地区AfriNIC（；目前仍是“观察员身份”） 南非和北非地区目前分别由ARIN和RIPE负责，但最终将会交给AfriNIC来管辖21GNSO负责听取、审查与通用顶级域域名分配政策有关的各种意见，并就这些问

15、题向ICANN董事会提出建议（如右图所示）。请注意，GNSO不负责具体的域名注册事务，它只负责顶级域（比如.com、.net、.edu、.org和.info等），通用顶级域的完整清单可以在主页上查到。22CCNSO负责听取、审查与国家代码顶级域域名分配政策有关的各种意见，并就这些问题向ICANN董事会提出建议。请注意，CCNSO也不负责具体的域名注册事务。国家代码顶级域的完整清单可以在主页上查到（如右图所示）。23虽然上述信息的管理工作相当集中化，但实际数据却因为技术和政治方面的原因分别存储在全球各地的许多WHOIS服务器上。使事情变得更加复杂的是，WHOIS查询的语法、允许的查询类型、可供查

16、询的数据和查询结果的格式在不同的服务器间往往有着很大的差异。此外，出于防范垃圾邮件制造者、黑客和资源过载问题的考虑，许多注册服务商都会限制人们进行某些查询；出于国家安全方面的考虑，.mil和.gov域的信息完全不允许普通大众进行查询。只要有合适的工具、再加上一些技巧和足够的耐心，就应该可以把这个星球上几乎所有曾经注册过的单位和个人的域注册信息和IP注册信息查询出来！24域注册信息的查询域注册信息（比如）和IP注册信息（比如IP地址块、BGP自主系统号码、等等）需要分别向两个机构注册，这意味着我们需要沿着两条不同的路径去查找这些细节。先来看一个查找域注册信息的例子，例子中的目标组织是。首先，我们

17、需要确定想要查找的信息到底存储在哪个WHOIS服务器上。这一查询的基本思路是这样的：先通过某个给定TLD（top-level domain，顶级域）的官方注册局查出目标组织是向哪家注册商进行注册，再从那家注册商那里查出查找的目标组织的域名注册细节。因为官方注册局（Registry）、注册商（Registrar）和注册人（Registrant，也就是目标组织）的英文名称都以字母“R”打头，所以我们把它们统称为WHOIS查询的三个“R”。25首先，我们需要从站点查出所有.com域的最终注册机构。这个搜索（如下图所示）告诉我们，.com域的官方注册机构是Verisign Global Registr

18、y Services（ ）26在Verisign Global Registry Services的站点上（见下图），我们用“”作为关键字查出该域名是通过为的域名注册商进行的注册。27如果我们再去那个站点（如下图所示），就可以通过它们的Web界面查询这家注册商的WHOIS服务器查找到域名的注册细节信息大功告成！28注册人细节信息可以告诉我们目标组织的地理地址、电话号码、联系人名字、电子邮件地址、DNS服务器名字、IP地址等很多有用的信息。此外，下面这些网站可以自动完成这种WHOIS查询：最后，还有其他一些GUI界面的工具可以帮助你们进行这类查询：SamSpade：SuperScan：NetSc

19、an Tools Pro：29IP注册信息的查询现在，你们已经知道如何查询域注册信息了，可是IP注册信息又该如何查询呢？我们前面讲过，IP注册事务是由属于ICANN的ASO的几家RIR具体负责的。下面，我们就一起去看看如何查询这些信息吧。与TLD的情况不同，ICANN（IANA）的WHOIS服务器目前并不是所有RIR的最终注册机构，但每家RIR都知道自己都管辖着哪些个IP地址范围。我们只须从它们当中随便挑选一个作为IP注册信息查询的出发点，它就会告诉我们应该去往哪一个RIR才能找到需要的信息。30我们不妨假设你希望了解源IP地址是的记录项，你想知道这个IP地址到底来自哪里。从ARIN（http

20、:/）开始这次追踪，于是把这个IP地址作为关键字输入到了ARIN网站的WHOIS查询提示框里（如下图所示），但它却告诉你说这个IP地址范围的实际管理者是APNIC。31在APNIC的站点继续进行这次搜索（如下图所示）。在那里，就可发现这个IP地址是由印度的National Internet Backbone公司负责管理的。32机制资源适用平台Web界面安装有Web客户程序的任何一种平台Whois客户程序大多数UNIX版本自带的whois查询工具UNIXChris Cappuccio（）编写的Fwhois程序WS_Ping ProPackWindows 95/NT/2000/XPSam Spad

21、eWindows 95/NT/2000/XPSam Spade工具的Web界面安装有Web客户端程序的任何一种平台Netscan工具Windows 95/NT/2000/XPXwhoisnr/xwhois/安装有X和GTK+GUI开发工具包的UNIX系统JwhoisUNIXWHOIS查询工具/数据源的下载地址和适用平台 33步骤5：DNS查询确认了所有关联的域名后，就可以开始查询DNS了。DNS是一个把主机名映射为IP地址或者把IP地址映射为主机名的分布式数据库系统。如果DNS配置得不够安全，就有可能泄露有关组织的敏感信息。34区域传送流行度：9简单度：9影响力：3风险率：7对一名系统管理员来

22、说，允许不受信任的因特网用户执行DNS区域传送（zone transfer）操作是后果最为严重的错误配置之一。区域传送操作指的是一台后备服务器使用来自主服务器的数据刷新自己的zone数据库。这为运行中的DNS服务提供了一定的冗余度，其目的是为了防止主域名服务器因意外故障变得不可用时影响到全局。一般来说，DNS区域传送操作只在网络里真的有后备域名DNS服务器时才有必要执行，但许多DNS服务器却被错误地配置成只要有人发出请求，就会向对方提供一个zone数据库的拷贝。如果所提供的信息只是与连到因特网上且具备有效主机名的系统相关，那么这种错误配置不一定是坏事，尽管这使得攻击者发现潜在目标要容易得多。真

23、正的问题发生在一个单位没有使用公用/私用DNS机制来分割外部公用DNS信息和内部私用DNS信息的时候，此时内部主机名和IP地址都暴露给了攻击者。把内部IP地址信息提供给因特网上不受信任的用户，就像是把一个单位的内部网络完整蓝图或导航图奉送给了别人。35使用大多数UNIX和Windows上通常提供的nslookup客户程序是执行区域传送的一个简单办法。我们可以以交互模式使用nslookup：bash$ nslookupDefault Server: Address: Server: Address: Name: Address: set type=any ls -d T. /tmp/zone_o

24、ut36运行nslookup程序。将回显它当前使用的名字服务器，它通常是本单位的本地DNS服务器或者某ISP提供的DNS服务器。以手动方式告诉nslookup去查询哪一个DNS服务器。具体到上面的例子，我们使用Tellurian Networks的主DNS服务器。接下来，我们把记录类型设置为“any”，这允许你取得任何可能的DNS记录（使用man nslookup命令查看），从而构成一个完整的清单。最后，我们使用“ls”选项列出所有与目标域名有关的记录，其中“-d”开关用于列出该域名的所有记录。我们在域名后面添了一个点号“.”以强调这是一个完全限定域名。另外，我们把输出内容重定向到文件 /tm

25、p/zone_out里去，以便稍后对它操作。完成区域传送后，查看输出文件，找一找是否存在有助于确认特定系统的让人感兴趣的信息。因为Tellurian Network网站不允许进行区域传送操作，我们这里只能给出一个示例性的输出结果：37bash$ more zone_outacct18 1D IN A 1D IN HINFO Gateway2000 WinWKGRPS1D IN MX 0 tellurianadmin-smtp1D IN RP bsmith.rci bsmith.who1D IN TXT Location:Telephone Roomau 1D IN A 1D IN HINFO

26、Aspect MS-DOS1D IN MX 0 andromeda1D IN RP jcoy.erebus jcoy.who1D IN TXT Location: Library在上面的输出清单里，列在右边的每个主机系统名栏都对应一个“A”类型记录，它指出了该系统的IP地址。另外，每台主机都对应一个HINFO记录，标识其平台或所运行的操作系统类型。38步骤6：网络侦察找到可以作为潜在攻击目标的网络之后，攻击者就可以去尝试确定那些网络的网络拓扑结构和可能存在的网络访问路径了。路由追踪：流行度：9简单度：9影响力：2风险率：7为了完成这一任务，我们可以使用大多数UNIX版本和Windows NT都

27、提供的traceroute程序（下载地址：）。在Windows操作系统里，因为需要与早期的8.3文件命名规则保持兼容，所以这个工具的程序名是“tracert”。39例如：bash$ traceroute traceroute to (), 30 hops max, 38 byte packets1 (3) 4.264 ms 4.245 ms 4.226 ms2 () 9.155 ms 9.181 ms 9.180 ms3 (0) 9.224 ms 9.183 ms 9.145 ms4 (3) 9.660 ms 9.771 ms 9.737 ms5 (17) 12.654 ms 10.145 m

28、s 9.945 ms6 (73) 10.235 ms 9.968 ms 10.024 ms7 (7) 133.128 ms 77.520 ms 218.464 ms8 (8) 65.065 ms 65.189 ms 65.168 ms9 (52) 64.998 ms 65.021 ms 65.301 ms10 (30) 82.511 ms 66.022 ms 66.17011 () 82.355 ms 81.644 ms 84.238 ms4010/1/2022412、Sniffer(嗅探器)简介嗅探器是能够捕获网络报文的设备（软件或硬件），嗅探器这个术语源于通用网络公司(Network Ge

29、neral)开发的捕获网络数据包软件Sniffer。以后的协议分析软件都被称为Sniffer。4110/1/202242Sniffer的用途Sniffer的正当用处是分析网络流量，确定网络故障原因。比如：网络的某一段出现问题，报文传输非常慢，而管理员又不知道那里出了问题。这时，就可以利用sniffer来确定网络故障原因。另外，利用sniffer还可以统计网络流量。而黑客利用sniffer软件来捕获网络流量，从中发现用户的各种服务的帐号和口令或是信用卡账号。42网卡接收模式( 1) 广播模式: 该模式下的网卡能够接收网络中的广播信息。( 2) 组播模式: 该模式下的网卡能够接收组播数据。( 3)

30、 直接模式: 在这种模式下, 只有匹配目的MAC 地址的网卡才能接收该数据帧。( 4) 混杂模式: 在这种模式下, 网卡能够接收一切监听到的数据帧, 而无论其目的MAC 地址是什么。10/1/2022434310/1/202244Sniffer工作原理正常模式：网卡只接收目的地址为本机的网络数据。混杂模式(promiscuous)：是指网卡接收网络上传输的所有网络数据，而不仅仅只接收它们自己的数据。 Sniffer就是将主机的网络接口(网卡)设置成混杂模式(promiscuous)，那么它就能够接收到网络中所有的报文和数据帧。Linux下设置网卡混杂模式需要root权限：ifconfig et

31、h0 promisc4410/1/202245Sniffer工作的必要条件sniffer工作在共享式以太网，也就是说使用Hub来组成局域网。本机的网卡需要设置成混杂模式。本机上安装处理数据包的嗅探软件需要系统管理员权限来运行sniffer软件。4510/1/202246交换机工作原理交换机(switch)比集线器(HUB)更聪明，它知道每台计算机的MAC地址信息和与之相连的特定端口，发给某个主机的数据包会被SWITCH从特定的端口送出，而不是象HUB那样，广播给网络上所有的机器。 4610/1/202247被动嗅探 vs 主动嗅探共享式以太网的嗅探：由集线器（HUB）组建的以太网叫做共享式以太

32、网，采取数据广播方式。Sniffer可以正常工作。交换式以太网的嗅探：由交换机（switch）组建的以太网，采取点对点数据传输方式。 sniffer在交换网络环境中只能捕获本机网络流量。4710/1/202248交换网络中的嗅探攻击Arpspoof攻击交换环境下的sniffer需要进行arp欺骗攻击（arpspoof），实际上是中间人攻击。通过欺骗网关和被攻击主机，感染它们的arp缓存来实现网络数据包的嗅探。MAC FLOOD（MAC地址泛滥） 向LAN中发送大量的随机MAC地址，由于交换机把每个链路上使用的MAC地址都保存在它的内存中，当交换机的内存被耗尽时，交换机就会将数据包发送到所有的链

33、路上，这时交换机变成了集线器。而sniffer在共享式网络中可以嗅探到网络中的所有数据包。48ARP协议及ARP欺骗ARP协议实现IP地址解析为MAC地址；RARP协议实现MAC地址解析为IP地址.Windows操作系统在接受到ARP REPLY的信息时，立刻更新缓存的ARP信息。因此，当接收到假冒的ARP信息时， ARP缓存就被污染了。ARP协议不进行验证和确认。因此，ARP欺骗是很难防御的。49ARP欺骗(ARP spoof)向被欺骗主机发送包含欺骗内容的ARP响应包，来改变被欺骗主机的ARP缓冲。ARP欺骗攻击是属于局域网内部的欺骗攻击，即攻击主机与被欺骗主机都必须在同一个网段内。下面的

34、ARP欺骗攻击实验所使用的攻击工具是Dug Song的工具集Dsniff中的arpspoof。Arpsoof的限制是只能使用本机的MAC地址，而不能任意指定MAC地址。50在交换式网络上监听数据包ARP重定向技术，一种中间人攻击,可使用dsniff中的arpspoof实现。ABGW1 B打开IP转发功能2 B发送假冒的arp包给A,声称自己是GW的IP地址3 A给外部发送数据，首先发给B4 B再转发给GW51ARP欺骗GATE网关，被冒名的主机 00-00-00-00-00-00 C目标机，被攻击对象 00-00-e2-52-c3-38 13 B跳板机，被控制，用于伪造包的直接发送00-50-

35、56-40-5b-93 32 A发动欺骗的主机 00-0d-87-61-a9-81 34 主机代号主机用途主机MAC地址主机IP52被欺骗主机的arp缓冲1step1:使用arp a 命令显示C的arp缓存内容为: Interface: 13 on Interface 0 x1000003 Internet Address Physical Address Type 00-00-00-00-00-00 dynamicstep2: A远程登陆B后，从B ping向C，这时C的arp缓存中加入了B的信息：Interface: 13 on Interface 0 x1000003Internet A

36、ddress Physical Address Type 00-00-00-00-00-00 dynamic 32 00-50-56-40-5b-93 dynamic53被欺骗主机的arp缓冲2step3：A控制B，以B的mac，网关的名义（ip），向C发arp响应数据包，那么C中原来正确的网关mac信息将被替换成B的mac，这时C所有发向网关的包都会被送到B上，这样B就可以捕获所有C的网络流量。Interface: 13 on Interface 0 x1000003 Internet Address Physical Address Type 32 00-50-56-40-5b-93 dy

37、namic 00-50-56-40-5b-93 dynamic5410/1/202255Sniffer工具介绍SnifferPro Tcpdump，WindumpDsniffSnifferProEthereal5510/1/202256tcpdump & windumptcpdump是由berkeley大学洛仑兹伯克利国家实验室开发的一个非常著名的sniffer软件，同时也是一个网络报文分析程序。它的报文过滤能力非常强大，它由很多个选项来设置过滤条件，并且通过布尔表达式来生成报文过滤器。windump是tcpdump的windows版本。安装windump之前需要安装winpcap库。5610

38、/1/202257SnifferProNAI公司开发的功能强大的图形界面的嗅探器SnifferPro，它是目前最好，功能最强大的Sniffer软件，通用协议分析工具,占到网络分析市场的76% 。. 作者（美）西蒙斯基（Shimonski，R.J.） 等著，陈逸 等译. 电子工业出版社,ISBN 7121000075.5710/1/202258Dsniffdsniff是由Dug Song开发的，可以从 处下载。dsniff安装需要其他几个软件包：OpenSSLlibpcapBerkeley DBlinnids5810/1/202259Ethereal最优秀的跨平台开源嗅探工具，有图形化界面和命令

39、行两种版本。目前支持windows和linux等多种操作系统。下载地址: 图形化的报文过滤器： ethereal通过display filter对话框来创建报文过滤器，用户可以通过指定不同协议的不同字段值来生成报文过滤规则，并且可以使用布尔表达式AND和OR来组合这些过滤规则。TCP会话流重组： ethereal通过follow TCP Stream来重组同一TCP会话的所有数据包。59选此开始设置捕获包的参数选择网络接口选择混杂模式设置过滤器点此开始捕获60捕获到的包列表数据包头解析选此开始捕获包原始数据包字节选此进行分析设置显示过滤条件选此进行统计6110/1/202262display

40、filter62捕获HTTP数据包3. 输入网址1. 设置捕获过滤器仅捕获TCP包，端口802. 开始捕获6310/1/202264Follow TCP Stream64Wireshark 65Sniffer ProSniffer应用性能管理深入的协议分析报表实时故障诊断66SnifferPortable Wireless PDA Option67 Sniffer的产品组成 广域网硬件(SnifferBook)两种Portable平台:Dolch NotebookPOS硬件(SnifferBook Ultra)Gigabit SplitterATM硬件(ATMBook)分布式Sniffer A

41、gent(DSS/RMON)68Sniffer Pro69黑客工具Cain & AbelGoogle Hack V2.070Cain & AbelCain & Abel是一个可以破 解屏保、PWL密码、共享密码、缓存口令、远程共享口令、SMB口令、支持VNC口令解码、Cisco Type-7口令解码、Base64口令解码、SQL Server 7.0/2000口令解码、Remote Desktop口令解码、Access Database口令解码、Cisco PIX Firewall口令解码、Cisco MD5解码、NTLM Session Security口令解码、IKE Aggressive

42、 Mode Pre-Shared Keys口令解码、Dialup口令解码、远程桌面口令解码等综合工具，还可以远程破 解，可以挂字典以及暴力破解，其sniffer功能极其强大，几乎可以明文捕获一切帐号口令，包括、IMAP、POP3、SMB、TELNET、VNC、TDS、 SMTP、MSKERB5-PREAUTH、MSN、RADIUS-KEYS、RADIUS-USERS、ICQ、IKE Aggressive Mode Pre-Shared Keys authentications等。71Cain & Abel 7273Google-Hack V2.074757610/1/202277Sniffer攻击的预防和检测利用交换机、路由器、网桥等设备对网络合理分段。尽量避免使用Hub来连接网络。配置地址绑定来防止ARP欺骗。采用加密会话，比如：SSH