保险系列讲座嗅探技巧分析准备知识
1. Sniffer嗅探器简介
嗅探器是可能捕获网络报文的装备。嗅探器这一术语起源于一个产品，它就是通用网络公司开发的sniffer，一个能捕获网络报文的程序。因为通用网络公司在市场的主导地方，sniffer这个词就越来越风行，逐步成为这一类产品的代名词，当前的所有协定剖析程序都被称为sniffer。
Sniffer的合法用途主要是分析网络的流量，以便找出所关怀的网络中潜在的问题。例如：假设网络的某一段运行得不是很好，报文的发送比拟慢，而咱们又不晓得问题出在什么地方，此时就可以用嗅探器来作出准确的问题判定。sniffer对系统管理员是至关主要的，系统管理员通过sniffer可以诊断出大批的不可见含混问题，这些问题波及两台乃至多台计算机之间的异样通讯，有些甚至关涉到各种的协议，借助于sniffer系统管理员可以便利确实定出多少的通信量属于哪个网络协议、占重要通讯协议的主机是哪一台、大多数通讯目的地是哪台主机、报文发送占用多少时间、或者彼此主机的报文传递距离时间等等，这些信息为治理员查找网络问题、管理网络区域供给了十分可贵的信息。
由于sniffer可捕获网络报文，因而，sniffer对网络也存在极大的迫害。例如：通过sniffer可以捕获到网络中传输的口令、秘密信息、专用信息以及取得更高基础权限等等
2. 相干常识
2.1 HUB工作原理
由于以太网是基于总线方法，物理上是广播的，就是当一个机器发给另一个机器的数据，共享HUB先收到而后把它接收到的数据再发给其他的来的那个口不发了每一个口，所以应用共享HUB的同一网段的所有机器的网卡都能接收到数据。
交换式HUB的内部单片程序能记住每个口的MAC地址，以后就该哪个机器接收就发往哪个口，而不是像共享HUB那样发给所有的口，所以使用交换HUB只有该接收数据的机器的网卡能接收到数据，当然广播包仍是发往所有口。
因为共享HUB的工作模式使得两个机器传输数据的时候其余机器别的口也占用了，所以共享HUB决议了同一网段同一时光只能有两个机器进行数据通讯，而交换HUB两个机器传输数据的时候别的口不占用，所以别的口之间也可以同时传输。这就是共享HUB与交换HUB不同的两个处所，共享HUB是统一时间只能一个机器发数据并且所有机器都可以接收，只有不是播送数据交流HUB同一时间能够有对机器进行数据传输并且数据是私有的。
2.2 网卡工作原理
网卡收到传输来的数据，网卡内的单片程序先查看数据包的目标MAC地址，根据盘算机上的网卡驱动程序设置的接收模式断定该不该吸收，如果以为是须要接收的数据，网卡就发生中断信,告诉体系，CPU得到中断信,产生中断，操作系统就依据网卡驱动程序中设置的网卡中止程序地址调用驱动程序接收数据，驱动程序接受数据后放入信,堆栈让操作系统处置。假如认为是不需要接收的数据，网卡就直接把数据抛弃。
在畸形情形下，网卡只响应以下两品种型的数据帧
帧的目的地址是本地网络接口的硬件地址
帧的目标地址是“广播地址”
然而，如果局域网中某台机器的网络接口被配置为混淆promiscuous模式，那么它就会接收网络上的所有报文跟数据帧。这台计算机加上上面装置的用于处理捕捉报文的软件，就成为一个嗅探器了。
