网络监听技术

局域网中网络监听技术研究作者：兰诗梅李松来源：《信息安全与技术》2013年第05期【摘要】本文对网络监听技术的概念、原理及危害进行了详细分析，并在局域网中进行了简单的实现，研究了局域网网络监听的检测和防范方法。

【关键词】局域网；网络监听；检测；防范1 引言随着因特网的不断普及和广泛应用，因特网给我们的生活带来很多便利的同时，网络安全问题给我们带来了许多的麻烦，甚至会给个人、企业甚至国家带来巨大的损失。

在局域网诸多网络安全问题中，最常遇到的安全问题就是网络监听。

局域网采用广播方式，入侵者利用监听系统可以通过局域网中的接口捕获其他计算机的数据包，这样像用户名、密码、邮件内容、QQ聊天内容等一些很隐私的重要数据都可以轻易被窃取。

因此，如何防止网络监听已成为局域网网络安全急需解决的问题。

本文首先介绍了网络监听的工作原理并利用常用的网络监听软件做了一个监听实验，然后提出了相应的防范措施。

2 网络监听技术概述2.1 网络监听技术的概念网络监听技术主要就是为了获取网络上传输的信息，网络监听技术是一种比较成熟的技术，它原本是为网络管理人员有效管理网络的工具，可以协助网络管理人员监控网络运行情况，了解网络中数据流的动向以及监控网络中传输信息的内容等，一直备受网络管理人员的喜爱。

但是网络监听技术在帮助网络管理人员有效管理网络的同时，也给网络安全带来了极大地安全隐患。

当我们将网络端口设置成为监听模式，就可以捕获在局域网中以明文形式传输的任何信息。

所以当入侵者在局域网中的一台主机上取得超级用户权限并登录以后便可使用网络监听技术捕获到网络上传输的数据。

但是，这一入侵方法只能应用于同一个网段上。

2.2 网络监听技术原理在局域网中普遍使用的网络协议是基于广播机制的IEEE802.3协议，即以太网协议。

以太网协议的主要特点是以广播的方式发送文件，在局域网中的主机很多是通过电缆或集线器连接在一起的。

当一台主机需要与另一台主机通信时，源主机会将包含目的主机地址的数据包直接发送给目的主机。

由于局域网中采用的是广播方式，因此在某个广播域中(往往是一个企业局域网就是一个广播域)，可以监听到所有的信息报。

而非法入侵者通过对信息包进行分析，就能够非法窃取局域网上传输的一些重要信息。

如现在很多黑客在入侵时，都会把局域网扫描与监听作为他们入侵之前的准备工作。

因为凭这些方式，他们可以获得用户名、密码等重要的信息。

如现在不少的网络管理工具，号称可以监听别人发送的邮件内容、即时聊天信息、访问网页的内容等等，也是通过网络监听来实现的。

可见，网络监听如果用得不好，则会给企业的网络安全以致命一击。

一、局域网监听的工作原理要有效防止局域网的监听，则首先需要对局域网监听的工作原理有一定的了解。

知己知彼，百战百胜。

只有如此，才能有针对性的提出一些防范措施。

现在企业局域网中常用的网络协议是“以太网协议”。

而这个协议有一个特点，就是某个主机A如果要发送一个主机给B，其不是一对一的发送，而是会把数据包发送给局域网内的包括主机B在内的所有主机。

在正常情况下，只有主机B才会接收这个数据包。

其他主机在收到数据包的时候，看到这个数据库的目的地址跟自己不匹配，就会把数据包丢弃掉。

但是，若此时局域网内有台主机C，其处于监听模式。

则这台数据不管数据包中的IP地址是否跟自己匹配，就会接收这个数据包，并把数据内容传递给上层进行后续的处理。

这就是网络监听的基本原理。

在以太网内部传输数据时，包含主机唯一标识符的物理地址(MAC地址)的帧从网卡发送到物理的线路上，如网线或者光纤。

此时，发个某台特定主机的数据包会到达连接在这线路上的所有主机。

当数据包到达某台主机后，这台主机的网卡会先接收这个数据包，进行检查。

如果这个数据包中的目的地址跟自己的地址不匹配的话，就会丢弃这个包。

如果这个数据包中的目的地址跟自己地址匹配或者是一个广播地址的话，就会把数据包交给上层进行后续的处理。

在这种工作模式下，若把主机设臵为监听模式，则其可以了解在局域网内传送的所有数据。

编者按: 网络监听，可以有效地对网络数据、流量进行侦听、分析，从而排除网络故障，但它同时又带来了信息失窃等极大隐患，也因此，网络监听成为了一个普通的网络管理员想真正成长为资深的网络工程师的必经之路。

网络监听，在网络安全上一直是一个比较敏感的话题，作为一种发展比较成熟的技术，监听在协助网络管理员监测网络传输数据，排除网络故障等方面具有不可替代的作用，因而一直倍受网络管理员的青睐。

然而，在另一方面网络监听也给以太网安全带来了极大的隐患，许多的网络入侵往往都伴随着以太网内网络监听行为，从而造成口令失窃，敏感数据被截获等等连锁性安全事件。

网络监听在安全领域引起人们普遍注意是在94年开始的，在那一年2月间，相继发生了几次大的安全事件，一个不知名的人在众多的主机和骨干网络设备上安装了网络监听软件，利用它对美国骨干互联网和军方网窃取了超过100000个有效的用户名和口令。

上述事件可能是互联网上最早期的大规模的网络监听事件了，它使早期网络监听从"地下"走向了公开，并迅速的在大众中普及开来。

关于网络监听常常会有一些有意思的问题，如："我现在有连在网上的计算机了，我也有了窃听的软件了，那么我能不能窃听到微软（或者美国国防部，新浪网等等）的密码？又如：我是公司的局域网管理员，我知道hub很不安全，使用hub这种网络结构将公司的计算计互连起来，会使网络监听变得非常容易，那么我们就换掉h ub，使用交换机，不就能解决口令失窃这种安全问题了么？这是两个很有意思的问题，我们在这里先不做回答，相信读者看完全文后会有自己正确的答案。

基本概念：认清mac地址和ip地址首先，我们知道，一台接在以太网内的计算机为了和其他主机进行通讯，在硬件上是需要网卡，在软件上是需要网卡驱动程序的。

而每块网卡在出厂时都有一个唯一的不与世界上任何一块网卡重复的硬件地址，称为mac地址。

同时，当网络中两台主机在实现tcp/ip通讯时，网卡还必须绑定一个唯一的ip地址。

网络监听是指什么
网络监听技术是网络管理者监测网络、分析网络故障常用的技术，也是黑客非盗取取信息的手段。

网络监听本是网络安全管理人员用于监视网络状态、数据流动等的技术，但当攻击者将其作为一种攻击手段时，也会引发安全问题。

在网络中，当信息进行传播的时候，可以利用工具，将网络接口设置在监听的模式，便可将网络中正在传播的信息截获或者捕获到，从而进行攻击。

网络监听在网络中的任何一个位置模式下都可实施行。

而黑客一般都是利用网络监听来截取用户口令。

比如当有人占领了一台主机之后，那么他要再想进将战果扩大到这个主机所在的整个局域网话，监听往往是他们选择的捷径。

网络监听原理
网络监听原理是指通过某种技术手段对网络通信进行监控和捕获的过程。

在网络通信中，数据传输通过网络协议进行，而网络监听就是在其中的某个环节或节点上截取和分析网络数据流的过程。

网络监听通常是在网络中的某个关键节点上进行，这个节点可以是网络中的设备（如交换机、路由器、网关等）或者是部署在网络边缘的特殊设备（如防火墙、入侵检测系统等）。

这些设备通过特定的监听模块或软件，在传输层或应用层上截取网络数据包，并进行相应的解析和处理。

网络监听原理主要包括以下几个方面：
1. 数据截获：网络监听设备使用技术手段（如端口镜像、ARP 欺骗、MAC地址欺骗等）来获取网络数据包，将其复制到监
听设备上进行分析。

2. 数据解析：在监听设备上对截获的网络数据包进行解析，获取其中的关键信息，如源IP地址、目的IP地址、TCP/UDP端口号等。

根据协议的不同，数据解析的方式也会有所不同。

3. 数据过滤：监听设备可以根据设置的规则或者特定的关键字，对截获的网络数据包进行过滤，只保留符合条件的数据包。

这样可以减少数据量，提高监听效率。

4. 数据分析：通过对截获的网络数据包进行深入分析，以获取
更多的信息，如通信双方的具体内容、协议的使用情况、异常情况等。

这有助于进行网络故障排查、安全威胁检测等工作。

需要注意的是，网络监听原理虽然可以帮助网络管理者进行网络监控和故障排查，提高网络安全性，但也存在一定的隐私和安全问题。

未经允许的网络监听可能侵犯用户的隐私权，甚至被黑客用来进行非法活动。

因此，在进行网络监听时，必须遵守相关的法律法规，确保合法合规。