❶ Sniffer是什么
Sniffer，中文译为嗅探器，是一种威胁极大的被动攻击工具。其功能包括监视网络状态、数据流动情况以及网络上传输的信息。尤其当信息以明文形式在网络中传输时，使用嗅探器可以轻松进行攻击。通过将网络接口设置为监听模式，可以截获网上传输的信息。黑客常用此法来截获用户口令，有报道指出，某骨干网络的路由器曾被黑客攻破，嗅探到了大量用户口令。
要深入理解Sniffer的工作原理，首先需要了解局域网设备的基本概念。数据在网络中以帧的形式传输，帧由几个部分组成，各部分负责不同功能。帧通过特定的网络驱动程序进行封装，通过网卡发送至网线，再由目的机器接收。接收端的以太网卡将接收到的帧转发给操作系统，系统随后对其进行处理。在此过程中，嗅探器可能引发安全问题。
每个局域网工作站都具有唯一的硬件地址，代表网络上的机器。当用户发送数据包时，这些数据包会广播到局域网上的所有机器。一般情况下，只有目的地机器会响应这些数据包，其余机器则忽略。如果工作站的网络接口处于混杂模式，它就能捕获网络上所有数据包和帧。
Sniffer程序通过将网络适配卡设置为混杂模式来监听网络上的信息。混杂模式使网卡能够接收网络上所有信息包，而不仅仅与本地主机相关的数据包。要实现这一点，系统需要支持BPF或SOCKET一PACKET。然而，通常情况下，网络硬件和TCP/IP堆栈不支持接收与本地计算机无关的数据包。因此，网卡必须设置为混杂模式，绕过标准的TCP/IP堆栈。激活这种模式需要root权限，通常需要Bpfilter伪设备的支持。
基于Sniffer模式，可以分析各种信息包并描述网络结构和使用的机器。由于它能捕获同一网段上传输的数据包，因此存在捕获密码、各种信息和秘密文档等未加密信息的可能性。这成为黑客常用的扩大战果的方法。
Sniffer分为软件和硬件两种。软件Sniffer如NetXray、Packetboy、Net monitor等，优点在于物美价廉，易于学习使用，但也存在局限性，无法抓取网络上所有传输，某些情况下难以了解网络故障和运行情况。硬件Sniffer通常称为协议分析仪，价格较高。
实际应用中，Sniffer主要用于获取口令或用户名。黑客在攻陷一台主机并获得root权限后，会在主机上安装Sniffer软件，监听以太网设备上传送的数据包，寻找包含“username”或“password”的包。一旦截获密码，黑客可立即进入目标主机。若Sniffer运行在路由器或有路由功能的主机上，可监控大量数据。
Sniffer属于第M层次的攻击，即只有在攻击者已进入目标系统的情况下才能使用。除了获取口令或用户名，Sniffer还能获取更多其他信息，如重要信息和金融数据。它几乎能捕获任何在以太网上传输的数据包。
作为一种复杂的攻击手段，Sniffer通常只有黑客老手才能使用。对于网络新手来说，即使成功编译并运行Sniffer，也难以获得有用信息。因为网络上的信息流量很大，不加选择地接收所有包并从中找到所需信息非常困难。长时间监听还可能导致放置Sniffer的机器硬盘爆满。