网络分析专家论坛 netexpert » 网络分析 » [分享]利用ARP检测混杂模式的节点

DragonGo 发表于 2005-2-14 19:01

[分享]利用ARP检测混杂模式的节点

利用错误的ARP报文检测处于混杂模式的网络节点，从而发现那些处于Sniffing护着Spoofing状态的主机！

Vader 发表于 2005-2-14 20:44

对应的PPT

Vader 发表于 2005-2-14 20:45

这类方式只能detect 通常的sniffing部署
专业的sniffer部署会基于两块网卡，一块网卡进行Sniffer但是不配置IP地址，
另一块网卡具有IP地址，但是不进入混杂模式。
这样的话就无法利用上述方法进行侦测

[[i] Last edited by Vader on 2005-2-15 at 01:17 [/i]]

DragonGo 发表于 2005-2-15 20:01

[quote]Originally posted by [i]Vader[/i] at 2005-2-14 08:45 PM:
这类方式只能detect 通常的sniffing部署
专业的sniffer部署会基于两块网卡，一块网卡进行Sniffer但是不配置IP地址，
另一块网卡具有IP地址，但是不进入混杂模式。
这样的话就无法利用上述方法进行侦测

[[i]  ... [/quote]
受教了！;)
原来专业Sniff是这样部署的，有点像IDS

菜鸟人飞 发表于 2005-6-15 16:03

[quote]Originally posted by [i]Vader[/i] at 2005-2-14 20:45:
这类方式只能detect 通常的sniffing部署
专业的sniffer部署会基于两块网卡，一块网卡进行Sniffer但是不配置IP地址，
另一块网卡具有IP地址，但是不进入混杂模式。
这样的话就无法利用上述方法进行侦测

[[i]  ... [/quote]
专业snifffer这样部署，它怎么工作呢？
另外，在XP主机上做了测试，不成功，不管是否为混杂模式的主机，都未对我进行ARP的回应．
不解，郁闷:o

[[i] Last edited by 菜鸟人飞 on 2005-6-15 at 17:13 [/i]]

scz 发表于 2005-6-15 19:51

[quote]Originally posted by [i]菜鸟人飞[/i] at 2005-6-15 16:03:

专业snifffer这样部署，它怎么工作呢？
另外，在XP主机上做了测试，不成功，不管是否为混杂模式的主机，都未对我进行ARP的回应．
不解，郁闷:o

[[i] Last edited by 菜鸟人飞 on 2005-6-15 at 17:13 [/i]] [/quote]


正常。这是协议栈实现相关的基于实践的检测方式，不是规范。任意一次针对
协议栈的改动都潜在地会影响到最终检测结果。

菜鸟人飞 发表于 2005-6-15 22:08

嗯，从理论上讲这个应该是可以的，明天再在另外的系统上试试，谢了。

新手上路 发表于 2005-9-4 21:36

利用楼主方法arp 检查混杂模式的节点！
在写arp报文时 在目标ip地址时怎么写呢？
是不是随便写个局域网ip地址 而把mac地址写为fffffffffffe 那么只要是处于混杂模式的网卡都会ack
请教各位在以太网中 网卡与系统内核接受packet是不是只认接受包中的目标物理硬件地址！
有什么不当之处希望大家指出！

[[i] Last edited by 新手上路 on 2005-9-4 at 21:38 [/i]]

新手上路 发表于 2005-9-6 22:08

有没有人回答一下我的问题啊！
好可怜！
我整天发很多贴都没有人理
是不是发的贴子都是问些没有水平的问题，没有人愿意回复我哦！

555！！！
世态焉凉啊！

finger 发表于 2005-9-7 01:24

[quote]Originally posted by [i]Vader[/i] at 2005-2-14 20:45:
这类方式只能detect 通常的sniffing部署
专业的sniffer部署会基于两块网卡，一块网卡进行Sniffer但是不配置IP地址，
另一块网卡具有IP地址，但是不进入混杂模式。
这样的话就无法利用上述方法进行侦测

[[i]  ... [/quote]

龙七说的办法相对与被入侵后的检测用处更大点吧
一般的正常部署,不会有人介意的
检测网络通过正常手段,没人会来找你麻烦的

finger 发表于 2005-9-7 01:59

说了一个臭主意,想想就不对,改了改了

刚刚想了一个臭主意,想想就不对,改了改了

[[i] Last edited by 肝肠具断 on 2005-9-7 at 02:05 [/i]]

kehzhui_1 发表于 2005-9-7 10:39

唉，，学无止境啊，，

hshletter 发表于 2006-1-17 20:42

谢谢楼主,这几天我正在做一个关于网络监控方面的软件,还是来这里找到答案了.谢谢.

z_13 发表于 2006-4-4 09:36

好好学习一下

xiaoxinhere 发表于 2006-5-19 08:56

学习ing ！

chaos 发表于 2006-5-31 11:39

好好学习一下

jiesen 发表于 2006-6-20 22:39

不错，不错，谁做过试验呢？

jerryao 发表于 2006-7-6 14:59

有兴趣 试验一下

sniffer_net 发表于 2006-8-21 10:16

不错啊　相当有含量

超值优惠 发表于 2006-8-21 11:55

受教了，试试！不知道XP行不行。

helin.zhang 发表于 2006-11-28 10:49

感觉学到不少东西

linlei1980 发表于 2006-11-28 15:25

用一块网卡或者两块网卡有区别吗？

lefyou 发表于 2007-8-16 11:49

thanks alot!

lixing 发表于 2007-8-16 13:47

学习体验中,一直想知道的东西

wugenfa 发表于 2007-10-21 10:56

好好学习一下

tony8chen 发表于 2008-3-31 13:36

有兴趣 试验一下

查看完整版本: [分享]利用ARP检测混杂模式的节点