互联网渗透测试之网络监听技术
网络监听技术
1.环境拓扑图，以大学校园网为例。
2.1安装Sniffer
在主机A上运行的安装程序。根据安装向导的提示,输入用户信息,指定安装路径,填写用户注册信息,输入序列号,指定连接到Internet的方式。安装结束后,重新启动计算机
2.2操作与测试
Sniffer Pro 的主要功能包括:
l 监视功能:用于计算并显示实时网络通信量数据。
l 捕获功能:用于捕获网络通信量并将当前数据包存储在缓冲区(或者文件)中,以备将来分析使用。
l 实时专家系统分析功能:用于在捕获过程中分析网络数据包,并对潜在的问题发出警告。
l 显示功能:用于解码和分析捕获缓冲区中的数据包,并用各种格式加以显示
本实验主要了解其监视功能。
（1） Dashboard(仪表盘)
仪表盘是的可视化网络性能监视器。在第一次启动时,仪表盘就会出现在屏幕上,如图2所示。如果关闭了仪表盘窗口,选择菜单Monitor（监控)→dashboard（仪表盘)来启动它,或者单击工具Sniffer Pro栏中的仪表盘图标。仪表盘窗口包括3个数字表盘,从左到右是:
l 利用率百分比说明线路使用带宽的百分比,是用传输量与端口能够处理的最大带宽的比值来表示的。表盘的红色区域表示警戒值。在有盘下文有2个数字,用破折号隔开。第一个数字代表当前利用率百分比,破折号后面的数字代表最大的利用率百分比。
l 每秒传输的数据包说明当前数据包的传输速度。表盘的
红色区域表示警戒值,表盘下文显示的是当前的数据包传输速度及其峰值。
l 每秒产生的错误说明网络的出错率。表盘的红色区域表示警戒值,表盘下方的数值表示当前的出错率和最大的出错率。
图2 Sniffer Pro仪表盘窗口
Sniffer Pro的很多网络分析结果都可以设定阀值。如果超出了阀值,报警记录就会生成一条信息。在仪表盘上,超过设定阀值的范围用红色标记。单击仪表盘上方设置阀值)按钮,会出现仪表盘属性对话框,如图3所示。在仪表盘属性对话框中,左边是名称栏,右边是高阈值栏,底部是以秒为单位计算的监控样本间隔。如果修正了一个参数,但是又想恢复默认值,首先就要选中这个参数,然后单击重置)按钮。如果要把所有参数都重新设定默认值,可以单击全部重置)按钮。
图3仪表盘属性对话框
仪表盘左下方的计量表)卷标实时显示利用率、数据包速率和错误率单击仪表盘左下方的详细资料)卷标,则以表格方式显示网络计数结果、规模分成和错误计数结果的详细情况,如图4所示。
图4 Sniffer Pro仪表盘的详细资料卷标
单击Short term(短期)或long term(长期)按钮,可以缩小或扩大、详细错误和规模分布图形的范围,短期范围大约是25分钟,长期范围是24小时单击仪表盘左下方的网络)选择框,显示如图5所示的网络仪表盘图和网络事件选择框。仪表盘中的网络图根据每秒的统计结果,提供所有网络图. 1
图5网络仪表盘图和网络事件选择框
单击仪表盘在下方的规模分布)选择框,显示如图6所示的规模分布仪表盘图和规模分布事件选择框。仪表盘中的分布图是与Sniffer Pro系统相连的网络区段上所有的活动按规模划分的一种实时视图,。
图6规模分布仪表盘图和规模分布事件选择框
同样,用户也可以单击仪表盘左下方的Detail Errors(详细错误)选择框,相看仪表盘中的详细错误图以及详细错误的事件选择框。
(2)Host table(主机列表)主机列表提供了被监视到的所有主机下在与网络的通信情况。选择菜单Monitor（监视)→Host table(主机列表)来启动它,或者单击图7中1所指向的Sniffer Pro工具栏中的主机列表图标。
在主机列表窗口底部,可以选择以MAC地址IP地址或IPx地址查看主机列表。如图7所示,选择2所指向的P选项。主机列表支持4种不同的视图产:大纲(outline)、详细资料(detail)、直方图(bar)和饼图(pie)。
如图7所示,单击大纲图标,明示出主机列表,以及经过这些主机的传输字节数量。在大纲视图中,如果想了解某一个特定工作站(例192.168.1.101)的连网情况,只须单击图7中所指向的P地址,出现如图8所示的界面。
图7 主机列表大纲视图
图8主机连接地址示例
图8中清楚地显示出该机器(192.168.1.101)连接的地址。单击左边的主机列表工具栏中其他的图标,会弹出该机器连接情况的相关数据界面。
在图7所示的界面中单击详细资料)图标,将显示出整个网络中的协议分布情况,可清楚地看出网络中各台机器上正在运行的网络应用层协议,如图9所示。
图9详细资料视图
在图7所示的界面中单击Bar(直方图)图标,出现以直方图形式显示的网络传输量为前N位的主机。默认情况下,显示前10位的主机,如图10所示。
图10传输量为前N位的主机直方图
在图7所示的界面中单击Pie(饼图)图标,出现以饼图形式显示的网络上传输量为前N位的主机。默认情况下,显示前10位的主机,如图11所示。
图11传输量为前N位的主机饼图
(3)Matrix(矩阵)
主机列表提供了单台主机的通信情况,矩阵则提供了被监视到的主机对之间的网络通信情况,两者的操作界面和功能信息是完全类似的。选择菜单Monitor(监控)→矩阵)来启动它,或者单击工具栏中的矩阵图标。图中绿线表示正在发生的网络连接,蓝线表示过去发生的连接,将鼠标放到线上可以看出连接情况。
