檢測(cè)網(wǎng)絡(luò)嗅探的方法 檢測(cè)單獨(dú)一臺(tái)主機(jī)中是否正在被嗅探，相對(duì)來(lái)說(shuō)是比較簡(jiǎn)單的。可以通過(guò)查看系統(tǒng)進(jìn)程，或者通過(guò)檢查網(wǎng)絡(luò)接口卡的工作模式是否為混雜模式來(lái)決定是否已經(jīng)被嗅探。而對(duì)于整個(gè)網(wǎng)絡(luò)來(lái)說(shuō)，檢測(cè)就要復(fù)雜得多。下面，給出了在以太網(wǎng)和無(wú)線局域網(wǎng)中檢測(cè)單臺(tái)主機(jī)或網(wǎng)絡(luò)中是否已經(jīng)存在嗅探器的一些方法。德格網(wǎng)站設(shè)計(jì)公司。
（１）、檢查網(wǎng)絡(luò)接口卡是否為混雜模式（PROMISC） 。要想嗅探整個(gè)網(wǎng)絡(luò)中的網(wǎng)絡(luò)報(bào)文，就得將網(wǎng)卡的工作方式設(shè)混雜模式。檢查網(wǎng)卡是否工作在這種模式下，在Linux系統(tǒng)中是很容易做到的。以根用戶權(quán)限進(jìn)入字符終端，在提示符下輸入“ifconfig –a”就可以將系統(tǒng)中所有接口卡的詳細(xì)信息都顯示出來(lái)。你可以檢查每一個(gè)接口所顯示的信息，當(dāng)發(fā)現(xiàn)某一個(gè)接口信息中出現(xiàn)了“PROMISC”標(biāo)志，就說(shuō)明這個(gè)接口卡已經(jīng)工作在混雜模式下了，也就說(shuō)明，如果不是你自己設(shè)置的，那么就可能是網(wǎng)絡(luò)嗅探軟件設(shè)置的。在Linux系統(tǒng)下，你還可以通過(guò)輸入“ip link”命令來(lái)得到接口的詳細(xì)信息。德格網(wǎng)站設(shè)計(jì)公司。
如果要在Windows系統(tǒng)下檢查網(wǎng)絡(luò)接口卡的工作模式，就不會(huì)這么簡(jiǎn)單。因?yàn)闆](méi)有一個(gè)具體的標(biāo)準(zhǔn)命令來(lái)輸出這些信息。我們不得不通過(guò)使用第三方軟件來(lái)檢測(cè)網(wǎng)絡(luò)接口卡的工作模式。PromiScan軟件，就是一個(gè)可以在Windows NT/2000/XP系統(tǒng)下檢測(cè)出網(wǎng)絡(luò)接口卡是否工作在混雜模式下的工具。使用PromiScan之前，你需要從www.securityfriday.com網(wǎng)站下載PromiScan的壓縮包，還需要從www.winpcap.org網(wǎng)站下載Winpcap的安裝包。安裝好Winpcap，然后解壓PromiScan壓縮包后，直接運(yùn)行解壓目錄中的PromiScan就可以進(jìn)行檢測(cè)工作。圖1就是這個(gè)軟件的主界面。德格網(wǎng)站設(shè)計(jì)公司。
另外，在Linux、BSD系統(tǒng)下，也有一些可以檢測(cè)網(wǎng)絡(luò)接口卡工作模式的軟件。例如Sentinel，它是一個(gè)免費(fèi)的檢測(cè)軟件，也需要Libpcap庫(kù)才能工作，你可以從www.packetfactory.net下載它。
但是，有些嗅探器會(huì)將表示網(wǎng)絡(luò)接口卡混雜模式的字符“PROMISC”隱藏，來(lái)躲避上述這種檢測(cè)方式。這樣，你就不得不使用其它方法來(lái)檢測(cè)網(wǎng)絡(luò)中是否有網(wǎng)絡(luò)嗅探器在運(yùn)行了。德格網(wǎng)站設(shè)計(jì)公司。
（２）、監(jiān)視DNS Reverse Lookups。一些嗅探器在收到一個(gè)網(wǎng)絡(luò)請(qǐng)求時(shí)，就會(huì)執(zhí)行DNS反向查詢，試著將IP地址解釋為主機(jī)名。因此，如果你在網(wǎng)絡(luò)中執(zhí)行一個(gè)Ping掃描或者Pinging一個(gè)不存在的IP地址，就會(huì)觸發(fā)這種活動(dòng)。如果得到了回應(yīng)，就說(shuō)明網(wǎng)絡(luò)中安裝有網(wǎng)絡(luò)嗅探器，如果沒(méi)有收到任何回應(yīng)，表明沒(méi)有嗅探器在運(yùn)行。德格網(wǎng)站設(shè)計(jì)公司。
（３）、發(fā)送一個(gè)帶有網(wǎng)絡(luò)中不存在的MAC地址的廣播包到網(wǎng)絡(luò)中的所有主機(jī)。正常情況下，網(wǎng)絡(luò)中的主機(jī)接口卡在收到帶有不存在的MAC地址的數(shù)據(jù)包時(shí)，會(huì)將它丟棄，而當(dāng)某臺(tái)主機(jī)中的網(wǎng)絡(luò)接口卡處于混雜模式時(shí)，它就會(huì)回應(yīng)一個(gè)帶有RST標(biāo)志的包。這樣，就可以認(rèn)為網(wǎng)絡(luò)中已經(jīng)有嗅探器在運(yùn)行。但是，在交換網(wǎng)絡(luò)環(huán)境當(dāng)中，由于交換機(jī)在轉(zhuǎn)發(fā)廣播包時(shí)不需要MAC地址，所以也有可能做出與上相同響應(yīng)的，你得根據(jù)實(shí)際情況來(lái)決定。德格網(wǎng)站設(shè)計(jì)公司。
在Linux系統(tǒng)下，這種方法是很容易實(shí)現(xiàn)的。你首先以根用戶權(quán)限進(jìn)入字符終端，在此終端下輸入如下命令就可以完成： # ifconfig eth0 down \\關(guān)閉eth0接口 # ifconfig eth0 hw ether 00:03:C2:00:00:AA \\用不存在的MAC地址指定到eth0接口# ifconfig eht0 up \\重新啟用eth0# ping –c 1 –b 192.168.0.255 \\發(fā)布含不存在MAC地址的廣播德格網(wǎng)站設(shè)計(jì)公司。
（４）、小心監(jiān)控網(wǎng)絡(luò)中各種交換機(jī)和路由器的運(yùn)行情況，來(lái)及時(shí)發(fā)現(xiàn)這些網(wǎng)絡(luò)設(shè)備出現(xiàn)的某種不正常的現(xiàn)象。比如當(dāng)你發(fā)現(xiàn)有些本來(lái)關(guān)閉了的端口又被啟用，而某些端口連接的主機(jī)在運(yùn)行卻沒(méi)有流量時(shí)，你就得重新登錄交換機(jī)或路由器中，仔細(xì)查看它現(xiàn)在的系統(tǒng)設(shè)置和端口設(shè)置情況，并和你的記錄對(duì)比，以此來(lái)發(fā)現(xiàn)交換機(jī)或路由器是否已經(jīng)被入侵。德格網(wǎng)站設(shè)計(jì)公司。
（５）、使用Honeypot（蜜罐）技術(shù)來(lái)設(shè)計(jì)一個(gè)陷阱，以此來(lái)誘騙攻擊者對(duì)它進(jìn)行嗅探，并通過(guò)它來(lái)找到嗅探的源頭。
轉(zhuǎn)自：奈微建站網(wǎng)（www.nev.cn）
（６）、小心監(jiān)視你網(wǎng)絡(luò)中的主機(jī)，經(jīng)常查看主機(jī)中的硬盤空間是否增長(zhǎng)過(guò)快，CPU資源是否消耗過(guò)多，系統(tǒng)響應(yīng)速度是否變慢，以及系統(tǒng)是否經(jīng)常莫名其妙地?cái)嗑W(wǎng)等等。德格網(wǎng)站設(shè)計(jì)公司。
（7）、在Linux發(fā)行版本中運(yùn)行ARPWatch來(lái)監(jiān)控網(wǎng)絡(luò)中是否有新的MAC地址加入。德格網(wǎng)站設(shè)計(jì)公司。
（8）、無(wú)線局域網(wǎng)是以廣播的方式來(lái)轉(zhuǎn)發(fā)數(shù)據(jù)包的。從理論上來(lái)說(shuō)，處于同一個(gè)無(wú)線局域網(wǎng)中的所有無(wú)線客戶都可以“聽(tīng)”到所有在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包。就如同共享式以太網(wǎng)一樣，只要將無(wú)線嗅探器中所使用的無(wú)線適配器置為監(jiān)控模式，它就再也不會(huì)與無(wú)線局域網(wǎng)中的訪問(wèn)點(diǎn)或其它無(wú)線客戶進(jìn)行會(huì)話，只會(huì)被動(dòng)接收來(lái)自網(wǎng)絡(luò)中的所有數(shù)據(jù)，就更不會(huì)對(duì)收到的數(shù)據(jù)包進(jìn)行修改了。無(wú)線嗅探器這種被動(dòng)嗅探的方式，使得要想檢測(cè)出它們，變得非常困難。德格網(wǎng)站設(shè)計(jì)公司。
但也并不是說(shuō)完全不能被檢測(cè)到。我們可以使用以其人之道還施彼身的方式，使用與攻擊都一樣的網(wǎng)絡(luò)嗅探軟件，就可以來(lái)發(fā)現(xiàn)非法的嗅探點(diǎn)。使用NetStumbler和Kismet都可以達(dá)到檢測(cè)非法嗅探點(diǎn)的目的。但是，使用Kismet的效果要優(yōu)于NetStumbler。這是因?yàn)椋琄ismet不僅能夠找出被隱藏了SSID的無(wú)線網(wǎng)絡(luò)嗅探器，而且，它還可以找出無(wú)線局域網(wǎng)中是否有安裝NetStumbler軟件的主機(jī)。更絕的是，你可以通過(guò)Kismet來(lái)找到你所在的無(wú)線局域網(wǎng)中所有的訪問(wèn)點(diǎn)和無(wú)線客戶，并且利用GPS定位功能，Kismet就可以在地圖上用圓點(diǎn)標(biāo)出這些訪問(wèn)點(diǎn)和無(wú)線客戶的位置。將這位置地圖狀態(tài)保存，以便給下次掃描結(jié)果提供對(duì)比標(biāo)準(zhǔn)。這樣一來(lái)，你就可以使用Kismet在某個(gè)時(shí)間重新對(duì)整個(gè)無(wú)線局域網(wǎng)進(jìn)行掃描，然后將掃描的結(jié)果和上次保存的結(jié)果進(jìn)行比對(duì)，看看是否有不同之處。通過(guò)這種方法，就可以很容易地找到非法無(wú)線嗅探器。德格網(wǎng)站設(shè)計(jì)公司。
有些攻擊者會(huì)在安裝網(wǎng)絡(luò)嗅探器的主機(jī)之中，再安裝上一些rootkits類的工具，用它來(lái)掩蓋他（她）在這臺(tái)主機(jī)當(dāng)中的行動(dòng)蹤跡，例如清除系統(tǒng)日志，來(lái)躲避你的檢測(cè)。有些攻擊者還會(huì)在這臺(tái)主機(jī)當(dāng)中安裝一些后門程序或木馬程序，以方便控制。這就要求，在你經(jīng)常進(jìn)行檢測(cè)的同時(shí)，你還應(yīng)用使用一些方法來(lái)實(shí)時(shí)監(jiān)控你的網(wǎng)絡(luò)，以察覺(jué)這些隱秘行為。德格網(wǎng)站設(shè)計(jì)公司。
二、防御網(wǎng)絡(luò)嗅探的方法 應(yīng)對(duì)網(wǎng)絡(luò)嗅探，只進(jìn)行被動(dòng)的檢查是不行。有些攻擊者會(huì)想法躲避你的檢測(cè)。因此，你還應(yīng)當(dāng)采取一些積極的方法來(lái)防御網(wǎng)絡(luò)嗅探。下面分別說(shuō)明在以太網(wǎng)和無(wú)線局域網(wǎng)中防御網(wǎng)絡(luò)嗅探的方法。
轉(zhuǎn)自：奈微建站網(wǎng)（www.nev.cn）
1、在以太網(wǎng)中防御網(wǎng)絡(luò)嗅探的方法 在以太網(wǎng)中，你可以使用下列的方法來(lái)防御網(wǎng)絡(luò)嗅探：德格網(wǎng)站設(shè)計(jì)公司。
（１）、盡量在網(wǎng)絡(luò)中使用交換機(jī)和路由器。雖然這種方法不能夠完全杜絕被嗅探，但是，攻擊者要想達(dá)到目的，也不是一件很容易的事。況且，你還可以在交換機(jī)中使用靜態(tài)MAC地址與端口綁定功能，來(lái)防止MAC地址欺騙。德格網(wǎng)站設(shè)計(jì)公司。
（２）、對(duì)在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)進(jìn)行加密。不管是局域網(wǎng)內(nèi)部還是互聯(lián)網(wǎng)傳輸都應(yīng)該對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密?，F(xiàn)在，已經(jīng)有許多提供加密功能的網(wǎng)絡(luò)傳輸協(xié)議，例如SSL、SSH、IPSEC、OPENVPN等等。這樣，一些網(wǎng)絡(luò)嗅探器對(duì)這些加密了的數(shù)據(jù)就無(wú)法進(jìn)行正確的解碼了。德格網(wǎng)站設(shè)計(jì)公司。
（３）、對(duì)于E-mail，你也應(yīng)該對(duì)它的內(nèi)容進(jìn)行加密后再傳輸。應(yīng)用于E-Mail加密的方法主要有數(shù)字認(rèn)證與數(shù)字簽名。德格網(wǎng)站設(shè)計(jì)公司。
（4）、劃分VLAN（虛擬局域網(wǎng)） 應(yīng)用VLAN技術(shù)，將連接到交換機(jī)上的所有主機(jī)邏輯分開(kāi)。將它們之間的通信變?yōu)辄c(diǎn)到點(diǎn)通信方式，可以防止大部分網(wǎng)絡(luò)嗅探器的嗅探。德格網(wǎng)站設(shè)計(jì)公司。
（５）、在你的網(wǎng)絡(luò)中布置入侵檢測(cè)系統(tǒng)（IDS）或入侵防御系統(tǒng)(IPS)，以網(wǎng)絡(luò)防火墻等安全設(shè)備。它們對(duì)于許多針對(duì)交換機(jī)和路由器的攻擊方法，很容易就識(shí)別出來(lái)。德格網(wǎng)站設(shè)計(jì)公司。
（6）、你應(yīng)當(dāng)強(qiáng)化你的安全策略，加強(qiáng)員工安全培訓(xùn)和管理工作。德格網(wǎng)站設(shè)計(jì)公司。
（7）、在內(nèi)部關(guān)鍵位置布置防火墻和IDS，防止來(lái)自內(nèi)部的嗅探。德格網(wǎng)站設(shè)計(jì)公司。
（8）、如果要在你的網(wǎng)絡(luò)中布置網(wǎng)絡(luò)分析器，應(yīng)當(dāng)保證你的網(wǎng)絡(luò)分析器本身的安全，最好事先制定一個(gè)網(wǎng)絡(luò)分析策略來(lái)規(guī)范使用。德格網(wǎng)站設(shè)計(jì)公司。
2、在無(wú)線局域網(wǎng)中防御無(wú)線網(wǎng)絡(luò)嗅探的方法盡管檢測(cè)無(wú)線網(wǎng)絡(luò)嗅探器有一定的難度，但是，還是可以使用一些方法來(lái)防御無(wú)線網(wǎng)絡(luò)嗅探的。德格網(wǎng)站設(shè)計(jì)公司。
這些方法有：德格網(wǎng)站設(shè)計(jì)公司。
（1）、禁止SSID廣播；德格網(wǎng)站設(shè)計(jì)公司。
（2）、對(duì)數(shù)據(jù)進(jìn)行加密。你可以在無(wú)線訪問(wèn)點(diǎn)（AP）后再連接一個(gè)VPN網(wǎng)關(guān)，通過(guò)VPN強(qiáng)大的數(shù)據(jù)加密功能來(lái)保護(hù)無(wú)線數(shù)據(jù)傳輸；德格網(wǎng)站設(shè)計(jì)公司。
（3）、使用MAC地址過(guò)濾，強(qiáng)制訪問(wèn)控制；德格網(wǎng)站設(shè)計(jì)公司。
（4）、使用定向天線；德格網(wǎng)站設(shè)計(jì)公司。
（5）、采取屏蔽無(wú)線信號(hào)方法，將超出使用范圍的無(wú)線信號(hào)屏蔽得；德格網(wǎng)站設(shè)計(jì)公司。
（6）、使用無(wú)線嗅探軟件實(shí)時(shí)監(jiān)控?zé)o線局域網(wǎng)中無(wú)線訪問(wèn)點(diǎn)（AP）和無(wú)線客戶連入情況。德格網(wǎng)站設(shè)計(jì)公司。
德格網(wǎng)站設(shè)計(jì)哪家好？甘孜藏族德格網(wǎng)站設(shè)計(jì)公司找“奈薇建站網(wǎng)”
甘孜藏族德格縣及周邊網(wǎng)站設(shè)計(jì)服務(wù)提供商：德格更慶鄉(xiāng)、德格汪布頂鄉(xiāng)、德格錯(cuò)阿鄉(xiāng)、德格馬尼干戈鄉(xiāng)、德格上然姑鄉(xiāng)、德格窩公鄉(xiāng)、德格玉隆鄉(xiāng)、德格中扎柯鄉(xiāng)、德格俄南鄉(xiāng)、德格俄支鄉(xiāng)、德格浪多鄉(xiāng)、德格竹慶鄉(xiāng)、德格八幫鄉(xiāng)、德格白埡鄉(xiāng)、德格龔埡鄉(xiāng)、德格卡松渡鄉(xiāng)、德格柯洛洞鄉(xiāng)、德格達(dá)馬鄉(xiāng)、德格普馬鄉(xiāng)、德格岳巴鄉(xiāng)、德格年古鄉(xiāng)、德格溫拖鄉(xiāng)、德格阿須鄉(xiāng)、德格打滾鄉(xiāng)、德格所巴鄉(xiāng)、德格亞丁鄉(xiāng)，讓您體驗(yàn)甘孜藏族德格網(wǎng)站設(shè)計(jì)公司哪家好！