網(wǎng)絡嗅探使用SnifferPro監(jiān)控ARP協(xié)議

1、14/14banker將向網(wǎng)友介紹如何使用sniffer pro來監(jiān)控ARP欺騙行為。文中會介紹一些更為簡便和直接的snffer程序，它們都屬于snffer程序的一種，只是在功能上更有針對性。一、使用sniffer pro監(jiān)控ARP實際上，使用sniffer pro程序的監(jiān)控功能能夠更方便、更為迅速的關心我們定位問題。步驟一：首先，我們在差不多做了端口鏡像的機器上啟動snffer pro程序。選擇菜單欄中MonitorDefine Filter 來定義我們需要的過濾器。在彈出的define Filter對話框中選擇ProfilesNew 來新建一個過濾器，我們那個地點取名為ARP。 圖1 步驟

2、二：點擊Advanced高級標簽，我們那個地點選中ARP協(xié)議。單擊OK后完成過濾器的新建。 圖2步驟三：系統(tǒng)默認過濾器為Default，我們來選擇剛才新建過濾器ARP。首先，選擇MonitorSelect Filter。 圖3 步驟四：在彈出的對話框中點擊ARP。在那個地點要注意的是：一定要把Apply monitor勾選。點擊確定后，過濾器定義和選擇工作預備完畢。 圖4步驟五：鼠標點擊工具欄中Host Table按鈕(聯(lián)網(wǎng)圖標)，在彈出的子窗口中選擇Detail工具(放大鏡圖標)。注意觀看本圖同之前程序使用默認Default Filter過濾器的不同之處?，F(xiàn)在，按照我們的定義，監(jiān)視器內(nèi)Pro

3、tocol(協(xié)議類型)僅包括IP_ARP.這關于我們查找問題，層次上更加分明。那個地點需要注意的是：那個地點的Address(地址)以IP或者機器名的形式顯示，假如顯示MAC，請先使用ToolsAddress book進行掃描，IP-MAC的顯示轉(zhuǎn)換后，將有利于我們快速定位節(jié)點。網(wǎng)內(nèi)終端中所有ARP廣播包的和，合計后等于Broadcast數(shù)據(jù)包(廣播包)。 圖5 步驟六：我們先來觀看，在正常網(wǎng)絡狀況下，ARP協(xié)議的TOP流量分布圖，這將方便我們的區(qū)分、推斷。鼠標點擊左邊工具欄中的Bar(柱形圖標)，我們明白Bar會將目前數(shù)據(jù)包流量排行前10位，通過動態(tài)柱型圖的方式顯示出來。同上圖的Detail

4、(詳細顯示方式)一樣，只只是Bar在界面上關于觀看者來講更為直觀。需要注意的是：Broadcast(網(wǎng)內(nèi)所有節(jié)點的廣播)占TOP排行第一位。其它節(jié)點依次排開。然而，流量差距不大。 圖6步驟七：我們再來觀看，網(wǎng)內(nèi)存在ARP欺騙情況時流量排行圖。請認真對比上述兩圖。我們會發(fā)覺問題的所在：TOP1 節(jié)點219.238.*.111占據(jù)網(wǎng)內(nèi)最大ARP流量。TOP2中的流量急速增大且與TOP3差距懸殊。我們明白，在網(wǎng)絡常的情況下，不同節(jié)點的ARP流量會有差距，但應該相差不大。同時我們對比在網(wǎng)絡正常情況下ARP流量TOP圖，并以它做為基準，問題就顯而易見了。那個地點需要解釋的是，Broadcast在下圖中排

5、行第二，什么緣故呢?因為Broadcast是網(wǎng)內(nèi)廣播總計，但ARP分為請求(廣播)、和回應(單播)兩種，當219.238.*.111的回應(也確實是單播數(shù)量)大于ARP請求(廣播的數(shù)量)將可能出現(xiàn)ARP總流量大于Broadcast的情況，這也印證我們在開場所講的：當節(jié)點出現(xiàn)ARP欺騙時，它會向網(wǎng)內(nèi)ARP reply。 圖7 步驟八：再來看看節(jié)點219.238.*.111的traffic map (通信圖)，幾乎與網(wǎng)內(nèi)所有節(jié)點都有ARP通信。同時與節(jié)點wangguan(網(wǎng)關)通信數(shù)據(jù)量最大。至于它什么緣故最大?在文章開始介紹ARP時提過，那個地點不在贅述。圖8通過專用sniffer程序監(jiān)視異常A

6、RP除了NAI Sniffer pro 以外，網(wǎng)絡上還提供有專門多專用的ARP監(jiān)視工具，這些工具也是sniffer的一種，只是在功能上更有針對性，大多數(shù)界面也專門簡單、友好。那個地點我們簡單介紹由國內(nèi)欣全向公司開發(fā)，頗為流行的免費ARP檢測工具：“欣向巡路之ARP工具1.1Beta” ,大伙兒能夠從/downcenter.asp直接下載。和專門多數(shù)據(jù)包捕獲工具一樣，在程序安裝運行前，需要提早安裝WinPcap驅(qū)動。使用方法：步驟一：使用方法專門簡單。首先選擇網(wǎng)卡，程序會依照網(wǎng)卡掃描出相應網(wǎng)段IP-MAC清單。但需要注意，IP-MAC清單的掃描務必在網(wǎng)絡內(nèi)正常的情況下。步驟二：添加ARP檢測范圍

7、，一般將網(wǎng)關或者路由的IP填入即可。步驟三：啟動 ARP檢測。那個時候，假如網(wǎng)絡內(nèi)出現(xiàn)ARP欺騙，程序則會報警，并用紅色字體在“ARP欺騙紀錄”上標注。如下圖所示： 圖9 步驟四：假如發(fā)覺ARP欺騙紀錄后，應該如何處理，防止斷線呢?那個時候能夠使用軟件中“主動維護”功能來修復網(wǎng)絡。那個功能的含義是：定義好網(wǎng)關正確IP-MAC，在網(wǎng)內(nèi)以一定頻率廣播，來修復網(wǎng)絡。注意：使用了本功能后，網(wǎng)內(nèi)被欺騙的機器，受正確ARP廣播的阻礙，ARP緩存表臨時恢復正常，請盡快處理出現(xiàn)故障機器。 圖10 總結：在網(wǎng)絡出現(xiàn)故障時，有經(jīng)驗的網(wǎng)絡治理員通常都能夠迅速發(fā)覺故障并加以排除，這是基于網(wǎng)絡治理員自身技能素養(yǎng)、對環(huán)境的了解、和經(jīng)驗。然而在網(wǎng)絡日益進展的今天，網(wǎng)絡應用、規(guī)模、手段都在急速膨