網(wǎng)絡(luò)監(jiān)聽(tīng)，可以有效地對(duì)網(wǎng)絡(luò)數(shù)據(jù)、流量進(jìn)行偵聽(tīng)、分析，從而排除網(wǎng)絡(luò)故障，但它同時(shí)又帶來(lái)了信息失竊等極大隱患，也因此，網(wǎng)絡(luò)監(jiān)聽(tīng)成為了一個(gè)普通的網(wǎng)絡(luò)管理員想真正成長(zhǎng)為資深的網(wǎng)絡(luò)工程師的必經(jīng)之路。
網(wǎng)絡(luò)監(jiān)聽(tīng)，在網(wǎng)絡(luò)安全上一直是一個(gè)比較敏感的話題，作為一種發(fā)展比較成熟的技術(shù)，監(jiān)聽(tīng)在協(xié)助網(wǎng)絡(luò)管理員監(jiān)測(cè)網(wǎng)絡(luò)傳輸數(shù)據(jù)，排除網(wǎng)絡(luò)故障等方面具有不可替代的作用，因而一直倍受網(wǎng)絡(luò)管理員的青睞。然而，在另一方面網(wǎng)絡(luò)監(jiān)聽(tīng)也給以太網(wǎng)安全帶來(lái)了極大的隱患，許多的網(wǎng)絡(luò)往往都伴隨著以太網(wǎng)內(nèi)網(wǎng)絡(luò)監(jiān)聽(tīng)行為，從而造成口令失竊，敏感數(shù)據(jù)被截獲等等連鎖性安全事件。
網(wǎng)絡(luò)監(jiān)聽(tīng)在安全領(lǐng)域引起人們普遍注意是在94年開(kāi)始的，在那一年2月間，相繼發(fā)生了幾次大的安全事件，一個(gè)不知名的人在眾多的主機(jī)和骨干網(wǎng)絡(luò)設(shè)備上安裝了網(wǎng)絡(luò)監(jiān)聽(tīng)軟件，利用它對(duì)美國(guó)骨干和軍方網(wǎng)竊取了超過(guò)100000個(gè)有效的用戶名和口令。上述事件可能是互聯(lián)網(wǎng)上最早期的大規(guī)模的網(wǎng)絡(luò)監(jiān)聽(tīng)事件了，它使早期網(wǎng)絡(luò)監(jiān)聽(tīng)從"地下"走向了公開(kāi)，并迅速的在大眾中普及開(kāi)來(lái)。
關(guān)于網(wǎng)絡(luò)監(jiān)聽(tīng)常常會(huì)有一些有意思的問(wèn)題，如："我現(xiàn)在有連在網(wǎng)上的計(jì)算機(jī)了，我也有了竊聽(tīng)的軟件了，那么我能不能竊聽(tīng)到(或者美國(guó)國(guó)防部，等等)的密碼?
又如：我是公司的管理員，我知道hub很不安全，使用hub這種網(wǎng)絡(luò)結(jié)構(gòu)將公司的計(jì)算計(jì)互連起來(lái)，會(huì)使網(wǎng)絡(luò)監(jiān)聽(tīng)變得非常容易，那么我們就換掉hub，使用，不就能解決口令失竊這種安全問(wèn)題了么?
這是兩個(gè)很有意思的問(wèn)題，我們?cè)谶@里先不做回答，相信讀者看完全文后會(huì)有自己正確的答案。
基本概念：認(rèn)清地址和ip地址
首先，我們知道，一臺(tái)接在以太網(wǎng)內(nèi)的計(jì)算機(jī)為了和其他主機(jī)進(jìn)行通訊，在硬件上是需要網(wǎng)卡，在軟件上是需要網(wǎng)卡驅(qū)動(dòng)程序的。而每塊網(wǎng)卡在出廠時(shí)都有一個(gè)唯一的不與世界上任何一塊網(wǎng)卡重復(fù)的硬件地址，稱為mac地址。同時(shí)，當(dāng)網(wǎng)絡(luò)中兩臺(tái)主機(jī)在實(shí)現(xiàn)通訊時(shí)，網(wǎng)卡還必須綁定一個(gè)唯一的ip地址。下面用一個(gè)常見(jiàn)的unix命令
ifconfig來(lái)看一看作者本人的一臺(tái)正常工作的機(jī)器的網(wǎng)卡：
[yiming@server/root]# ifconfig -a
hme0: flags=863 mtu 1500
inet 192.168.1.35 netmask ffffffe0
ether 8:0:20:c8:fe:15
從這個(gè)命令的輸出中我們可以看到上面講到的這些概念，如第二行的192.168.1.35是ip 地址，第三行的8:0:20:c8:fe:15是mac地址。請(qǐng)注意第一行的BROADCAST，MULTICAST，這是什么意思?一般而言，網(wǎng)卡有幾種接收數(shù)據(jù)幀的狀態(tài)，如unicast，broadcast，multicast，promiscuous等，unicast是指網(wǎng)卡在工作時(shí)接收目的地址是本機(jī)硬件地址的數(shù)據(jù)幀。Broadcast是指接收所有類型為廣播報(bào)文的數(shù)據(jù)幀。Multicast是指接收特定的組播報(bào)文。
Promiscuous則是通常說(shuō)的混雜模式，是指對(duì)報(bào)文中的目的硬件地址不加任何檢查，全部接收的工作模式。對(duì)照這幾個(gè)概念，看看上面的命令輸出，我們可以看到，正常的網(wǎng)卡應(yīng)該只是接收發(fā)往自身的數(shù)據(jù)報(bào)文，廣播和組播報(bào)文，請(qǐng)大家記住這個(gè)概念。
對(duì)網(wǎng)絡(luò)使用者來(lái)說(shuō)，瀏覽網(wǎng)頁(yè)，收發(fā)郵件等都是很平常，很簡(jiǎn)便的工作，其實(shí)在后臺(tái)這些工作是依靠tcp/ip協(xié)議族實(shí)現(xiàn)的，大家知道有兩個(gè)主要的：OSI參考模型和TCP/IP參考模型，OSI模型即為通常說(shuō)的7層協(xié)議，它由下向上分別為物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì)話層、表示層、應(yīng)用層，而tcp/ip模型中去掉了會(huì)話層和表示層后，由剩下的5層構(gòu)成了互聯(lián)網(wǎng)的基礎(chǔ)，在網(wǎng)絡(luò)的后臺(tái)默默的工作著。
下面我們不妨從tcp/ip模型的角度來(lái)看數(shù)據(jù)包在局域網(wǎng)內(nèi)發(fā)送的過(guò)程：當(dāng)數(shù)據(jù)由應(yīng)用層自上而下的傳遞時(shí)，在網(wǎng)絡(luò)層形成ip數(shù)據(jù)報(bào)，再向下到達(dá)數(shù)據(jù)鏈路層，由數(shù)據(jù)鏈路層將ip數(shù)據(jù)報(bào)分割為數(shù)據(jù)幀，增加以太網(wǎng)包頭，再向下一層發(fā)送。需要注意的是，以太網(wǎng)的包頭中包含著本機(jī)和目標(biāo)設(shè)備的mac地址，也即，鏈路層的數(shù)據(jù)幀發(fā)送時(shí)，是依靠48bits的以太網(wǎng)地址而非ip地址來(lái)確認(rèn)的，以太網(wǎng)的網(wǎng)卡設(shè)備驅(qū)動(dòng)程序不會(huì)關(guān)心ip數(shù)據(jù)報(bào)中的目的ip地址，它所需要的僅僅是mac地址。
目標(biāo)ip的mac地址又是如何獲得的呢?發(fā)端主機(jī)會(huì)向以太網(wǎng)上的每個(gè)主機(jī)發(fā)送一份包含目的地的ip地址的以太網(wǎng)數(shù)據(jù)幀(稱為數(shù)據(jù)包)，并期望目的主機(jī)回復(fù)，從而得到目的主機(jī)對(duì)應(yīng)的mac地址，并將這個(gè)mac地址存入自己的一個(gè)arp緩存內(nèi)。
當(dāng)局域網(wǎng)內(nèi)的主機(jī)都通過(guò)HUB等方式連接時(shí)，一般都稱為共享式的連接，這種共享式的連接有一個(gè)很明顯的特點(diǎn)：就是HUB會(huì)將接收到的所有數(shù)據(jù)向HUB上的每個(gè)端口轉(zhuǎn)發(fā)，也就是說(shuō)當(dāng)主機(jī)根據(jù)mac地址進(jìn)行數(shù)據(jù)包發(fā)送時(shí)，盡管發(fā)送端主機(jī)告知了目標(biāo)主機(jī)的地址，但這并不意味著在一個(gè)網(wǎng)絡(luò)內(nèi)的其他主機(jī)聽(tīng)不到發(fā)送端和接收端之間的通訊，只是在正常狀況下其他主機(jī)會(huì)忽略這些通訊報(bào)文而已!如果這些主機(jī)不愿意忽略這些報(bào)文，網(wǎng)卡被設(shè)置為promiscuous狀態(tài)的話，那么，對(duì)于這臺(tái)主機(jī)的而言，任何在這個(gè)局域網(wǎng)內(nèi)傳輸?shù)男畔⒍际强梢员宦?tīng)到的。