国产一级a片免费看高清,亚洲熟女中文字幕在线视频,黄三级高清在线播放,免费黄色视频在线看

嗅探器（Sniffer）一直以來(lái)都是一種讓人惱火的黑客工具，因?yàn)樗且环N靜態(tài)的攻擊軟件，它的存在不會(huì)留下任何痕跡，因此人們很難將它揪出來(lái)?？墒?，它的危害性卻又是相當(dāng)大的（它就像一個(gè)監(jiān)視器，你的“一舉一動(dòng)”都在它的監(jiān)視之下，你說(shuō)危害大不大）。所以，我們不能不要想個(gè)辦法出來(lái)檢查網(wǎng)絡(luò)中是否存在Sniffer，這是非常必要的。

1.Sniffer原理
所謂知己知彼方能百戰(zhàn)不殆，要了解探測(cè)Sniffer的方法，就先得了解Sniffer的原理。首先，讓我們來(lái)看一看局域網(wǎng)中是怎樣傳輸數(shù)據(jù)的。當(dāng)一個(gè)數(shù)據(jù)包的目的地是局域網(wǎng)內(nèi)的某臺(tái)計(jì)算機(jī)時(shí)，此數(shù)據(jù)包將以廣播的形式被發(fā)送到網(wǎng)內(nèi)每一臺(tái)計(jì)算機(jī)上。而每臺(tái)計(jì)算機(jī)的網(wǎng)卡將分析數(shù)據(jù)包中的目的Mac地址（即以太網(wǎng)地址），如果此地址為本計(jì)算機(jī)Mac地址或?yàn)閺V播地址（FF-FF-FF-FF-FF-FF），那么，數(shù)據(jù)包將被接收，而如果不是，網(wǎng)卡將直接將其丟棄。但是，這里有一個(gè)前提，就是接收端計(jì)算機(jī)的網(wǎng)卡是在正常模式下工作的。而如果網(wǎng)卡被設(shè)置為混雜模式，那么它就可以接收所有經(jīng)過(guò)的數(shù)據(jù)包了（當(dāng)然也包括目的地不是本機(jī)的數(shù)據(jù)包）。就是說(shuō)，只要是發(fā)送到局域網(wǎng)內(nèi)的數(shù)據(jù)包，都會(huì)被設(shè)置成混雜模式的網(wǎng)卡所接收！這也就是Sniffer的基本原理了。至于Sniffer的具體實(shí)現(xiàn)和一些細(xì)節(jié)，這里就不多講了，大家有興趣可以參考相關(guān)資料。

2.以太網(wǎng)中傳輸?shù)腁RP數(shù)據(jù)報(bào)
知道了Sniffer的基本原理，現(xiàn)在，我們就要想想怎么才能將局域網(wǎng)中隱藏的Sniffer揪出來(lái)，這才是本篇文章的主題。這里，我們需要自己構(gòu)造ARP數(shù)據(jù)包，所以，就先簡(jiǎn)單介紹一下ARP請(qǐng)求和應(yīng)答數(shù)據(jù)報(bào)的結(jié)構(gòu)：

typedefstruct_et_header //以太網(wǎng)頭部
{
unsignedchar eh_dst[6];
unsignedchar eh_src[6];
unsignedshort eh_type;
}ET_HEADER;

typedefstruct_arp_header //ARP頭部
{
unsignedshort arp_hdr;
unsignedshort arp_pro;
unsignedchar arp_hln;
unsignedchar arp_pln;
unsignedshort arp_opt;
unsignedchar arp_sha[6];
unsignedlong arp_spa;
unsignedchar arp_tha[6];
unsignedlong arp_tpa;
}ARP_HEADER;
　　
以上就是網(wǎng)絡(luò)中傳輸?shù)腁RP數(shù)據(jù)包的結(jié)構(gòu)了。至于結(jié)構(gòu)中每個(gè)字段所表示的具體含義以及如何初始化，超出了本文章的討論范圍，大家有興趣可以參看《TCP-IP協(xié)議詳解》一書。

3.探測(cè)局域網(wǎng)中的Sniffer
終于進(jìn)入主題了。既然Sniffer是一種靜態(tài)的黑軟，不會(huì)留下任何日志，那么我們就要主動(dòng)的去探測(cè)它。鑒于Sniffer的原理是設(shè)置網(wǎng)卡為混雜模式，那么，我們就可以想辦法探測(cè)網(wǎng)絡(luò)中被設(shè)置為混雜模式的網(wǎng)卡，以此來(lái)判斷是否存在Sniffer。
這里，讓我們?cè)賮?lái)看看計(jì)算機(jī)接收數(shù)據(jù)包的規(guī)則。前面已經(jīng)講過(guò)，在正常模式下，首先由網(wǎng)卡判斷數(shù)據(jù)包的目的Mac地址，如果為本機(jī)Mac地址或?yàn)閺V播地址，那么數(shù)據(jù)包將被接收進(jìn)入系統(tǒng)核心，否則將被丟棄。而如果網(wǎng)卡被設(shè)置為混雜模式，那么所有的數(shù)據(jù)包都將直接進(jìn)入系統(tǒng)核心。數(shù)據(jù)包到達(dá)系統(tǒng)核心后，系統(tǒng)還將進(jìn)一步對(duì)數(shù)據(jù)包進(jìn)行篩選：系統(tǒng)只會(huì)對(duì)目的Mac地址為本機(jī)Mac地址或廣播地址的數(shù)據(jù)包做出響應(yīng)――如果接收到的是ARP請(qǐng)求報(bào)文，那么系統(tǒng)將回饋一個(gè)ARP應(yīng)答報(bào)文。但是，不同的是，系統(tǒng)核心和網(wǎng)卡對(duì)廣播地址的判斷有些不一樣：以Windows系統(tǒng)為例，網(wǎng)卡會(huì)判斷Mac地址的所有六位，而系統(tǒng)核心只判斷Mac地址的前兩位(Win98甚至只判斷前一位)，也就是說(shuō)，對(duì)于系統(tǒng)核心而言，正確的廣播地址FF-FF-FF-FF-FF-FF和錯(cuò)誤的廣播地址FF-FF-FF-FF-FF-FE是一樣的，都被認(rèn)為是廣播地址，甚至FF-FF-00-00-00-00也會(huì)被系統(tǒng)核心認(rèn)為是廣播地址！
寫到這里，聰明的讀者大概已經(jīng)知道該怎么做了。如果我們構(gòu)造一個(gè)目的Mac地址為FF-FF-FF-FF-FF-FE的ARP請(qǐng)求報(bào)文，那么，對(duì)于在正常工作模式下的網(wǎng)卡，數(shù)據(jù)包將被丟棄，當(dāng)然也就不會(huì)回饋任何報(bào)文；而對(duì)于在混雜模式下網(wǎng)卡，數(shù)據(jù)包將被接收進(jìn)入系統(tǒng)核心。而系統(tǒng)核心會(huì)認(rèn)為這個(gè)Mac地址是廣播地址，因此就會(huì)回饋一個(gè)ARP應(yīng)答報(bào)文。這樣，我們就可以判斷出這臺(tái)機(jī)器上存在Sniffer了。

4.主要源碼分析
由以上分析可知，程序大概分為兩個(gè)模塊，一個(gè)是發(fā)送偽裝廣播地址的ARP請(qǐng)求報(bào)文，另一個(gè)是接收回饋的ARP應(yīng)答報(bào)文并做出分析。我們就分別用兩個(gè)線程來(lái)實(shí)現(xiàn)。主線程負(fù)責(zé)發(fā)送，監(jiān)聽線程負(fù)責(zé)接收。

首先是創(chuàng)建以太網(wǎng)頭部和ARP頭部的結(jié)構(gòu)：

★
typedefstruct_et_header //以太網(wǎng)頭部
{
unsignedchar eh_dst[6]; 
unsignedchar eh_src[6];
unsignedshort eh_type;
}ET_HEADER;

typedefstruct_arp_header //ARP頭部
{
unsignedshort arp_hdr;
unsignedshort arp_pro;
unsignedchar arp_hln;
unsignedchar arp_pln;
unsignedshort arp_opt;
unsignedchar arp_sha[6];
unsignedlong arp_spa;
unsignedchar arp_tha[6];
unsignedlong arp_tpa;
}ARP_HEADER;
★

然后是發(fā)送ARP請(qǐng)求報(bào)文的主線程，取得所有適配器的名字。其中，“adapter_name”表示一個(gè)用于存放適配器名字的緩沖區(qū)，而這些適配器名字將以UNICODE編碼方式存入此緩沖區(qū)中。UNICODE編碼方式就是用一個(gè)字的空間（兩個(gè)字節(jié)）來(lái)存放一個(gè)字符。這樣，每個(gè)字符間自然會(huì)出現(xiàn)一個(gè)'\0'。而兩個(gè)適配器名字之間將會(huì)有一個(gè)字為'\0'作為間隔。adapter_length:這個(gè)緩沖區(qū)的大小：

★
if(PacketGetAdapterNames((char*)adapter_name,&adapter_length)==FALSE)
{
printf("PacketGetAdapterNameserror:%d\n",GetLastError());
return0;
}
★

打開適配器，此處我默認(rèn)打開第一塊適配器：

★
lpAdapter=(LPADAPTER)PacketOpenAdapter((LPTSTR)adapter_list[0]); 
if(!lpAdapter||(lpAdapter->hFile==INVALID_HANDLE_VALUE))
{
printf("Unabletoopenthedriver,ErrorCode:%lx\n",GetLastError());
return0;
}
★

以太網(wǎng)頭部和ARP頭部結(jié)構(gòu)賦值，StrToMac函數(shù)是筆者自定義的字符串轉(zhuǎn)換為Mac地址的函數(shù)：

★
StrToMac("00E06E41508F",s_Mac); //"00E06E41508F"是筆者測(cè)試程序所用的本地機(jī)的網(wǎng)卡地址,測(cè)試者應(yīng)將其改為測(cè)試機(jī)網(wǎng)卡地址
memcpy(et_header.eh_src,s_Mac,6);
StrToMac("FFFFFFFFFFFE",d_Mac); //目的物理地址設(shè)置為FFFFFFFFFFFE。 
memcpy(et_header.eh_dst,d_Mac,6);
et_header.eh_type=htons(0x0806); //類型為0x0806表示這是ARP包
arp_header.arp_hdr=htons(0x0001); //硬件地址類型以太網(wǎng)地址
arp_header.arp_pro=htons(0x0800); //協(xié)議地址類型為IP協(xié)議
arp_header.arp_hln=6; //硬件地址長(zhǎng)度為6
arp_header.arp_pln=4; //協(xié)議地址長(zhǎng)度為4
arp_header.arp_opt=htons(0x0001); //標(biāo)識(shí)為ARP請(qǐng)求
arp_header.arp_spa=inet_addr("172.24.21.10"); //"172.24.21.10"是我測(cè)試程序所用的本地機(jī)的IP,測(cè)試者應(yīng)將其改為測(cè)試機(jī)IP
memcpy(arp_header.arp_sha,et_header.eh_src,6);
arp_header.arp_tpa=inet_addr(argv[1]);
memcpy(arp_header.arp_tha,et_header.eh_dst,6);
★

發(fā)送數(shù)據(jù)包：

★
lpPacket=PacketAllocatePacket(); //給PACKET結(jié)構(gòu)指針?lè)峙鋬?nèi)存
PacketInitPacket(lpPacket,buffer,512); //初始化PACKET結(jié)構(gòu)指針
PacketSetNumWrites(lpAdapter,5)； //設(shè)置發(fā)送次數(shù)
PacketSendPacket(lpAdapter,lpPacket,TRUE)；//發(fā)送ARP請(qǐng)求包
★

最后別忘了掃尾工作：

★
PacketFreePacket(lpPacket); //釋放PACKET結(jié)構(gòu)指針
PacketCloseAdapter(lpAdapter); //關(guān)閉適配器