二、监听网络线路

进行高效的数据包分析的一个关键决策是在哪里放置数据包嗅探器，以恰当的捕捉网络数据。

安置嗅探器的挑战是要考虑到种类繁多的用来连接网络的硬件设备（集线器、交换机、路由器等）。

1. 混杂模式

你需要一个支持混杂模式驱动的网卡，才可能在网络上嗅探数据包。

他是一种允许网卡能够查看到所有流经网络线路数据包的驱动模式。

2. 在集线器连接的网络中进行嗅探

流经集线器的所有网络数据包都会被发送到每一个集线器连接的端口，因此，要想分析一台连接到集线器上的电脑的网络通信，只需将数据包嗅探器连接到集线器的任意一个空闲端口上。

令人遗憾的是，集线器网络已经非常罕见了。

3. 在交换机网络中

当你将嗅探器连接到交换机的一个端口时，你将只能看到广播数据包，及由你自己电脑传输与接收的数据包。

在一个交换式网络中从一个目标设备捕获网络流量的基本方法有如下四种：

• 端口镜像
• 集线器接出
• 使用网络分流器
• ARP欺骗攻击

3.1 端口镜像

强制交换机将一个端口的所有通信都镜像到另一个端口。

3.2 集线器输出

将目标设备和分析系统分段到统一网络段中，然后把它们直接出入到一个集线器上。

** 操作步骤： **

1. 找到目标设备所连接的交换机，并将目标设备连接网线从交换机上拔掉。
2. 将目标设备的网线接入到你的集线器上。
3. 使用另一个网线，将你的嗅探分析器也连接到集线器上。
4. 从你的集线器连接一根网线到交换机上，将集线器连接到网络上。

3.3 使用网络分流器

是一个硬件设备，可以放置在网络布线系统的两个端点之间，来捕获这两个端点之间的数据包。

3.4 ARP欺骗

进行网络线路监听最让人喜欢的技术，就是ARP欺骗。

• ** ARP查询过程 **
  网络上的所有设备相互通信时在第3层上均使用IP地址，由于交换机在OSI模型的第2层工作，它们只认识第2层上的MAC地址，因此网络设备必须在它们创建的数据包中包含这些信息。当这些设备不知道通信对方的MAC地址时，必须要通过已知的第3层IP地址进行查询，这样才可能通过交换机将流量传输给相应的设备。

这些翻译过程就是通过第2层上的ARP协议来进行实施的。连接到以太网的计算机的ARP查询过程，是从一台计算机想要与另一台进行通信时开始的。发起通信的计算机首先检查自己的ARP缓存，查看它是否已经有对方IP地址对应的MAC地址。

如果不存在，它将往数据链路层广播地址FF:FF:FF:FF:FF发送一个ARP广播请求包，作为一个广播数据包，它会被这个特定的以太网广播域上的每台计算机接收，这个请求包问道：“某某IP地址的MAC地址是什么？”

不匹配目标IP地址的计算机会简单的选择丢弃这个请求包。而目标计算机则选择答复这个数据包，通过ARP应答告知它的MAC地址。此时，发起通信的计算机就获取到了数据链路层的寻址信息，便可以利用它与远端计算机进行通信，同时将这些信息保存在ARP缓存中，来加速以后的网络访问。

• ** ARP欺骗是如何工作的 **
  ARP欺骗，有时也被称为ARP缓存中毒，是通过发送包含虚假MAC地址的ARP信息，以劫持其他计算机流量的过程。

ARP欺骗是一种在交换式网络中进行监听的高级技术。它通常由攻击者用于向客户端系统发送虚假地址的数据包，以截获特定的网络流量或者对目标进行拒绝服务（Dos）攻击。然而，它也可以是一种在交换式网络中捕获目标系统数据包的合法方式。

4. 在路由网络中进行嗅探

所有在交换式网络中用来监听网络线路的技术在路由网络环境中都同样适用。唯一需要重点考虑的问题是：当调试一个设计多个网络分段的故障时，如何安置嗅探器？

5. 部署嗅探器实践指南

确定哪种是最合适的网络监听方法的流程图.png