科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道电脑窃听器Iris网络嗅探器的使用与技巧

电脑窃听器Iris网络嗅探器的使用与技巧

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

一款性能不错的嗅探器。嗅探器的英文是Sniff,它就是一个装在电脑上的窃听器,监视通过电脑的数据。

作者:zdnet安全频道 来源:论坛整理 2008年7月6日

关键字: 网络嗅探器 网络管理

  • 评论
  • 分享微博
  • 分享邮件

  1.Iris简介

  一款性能不错的嗅探器。嗅探器的英文是Sniff,它就是一个装在电脑上的窃听器,监视通过电脑的数据。

  2.Iris的安装位置

  作为一个嗅探器,它只能捕捉通过所在机器的数据包,因此如果要使它能捕捉尽可能多的信息,安装前应该对所处网络的结构有所了解。例如,在环形拓扑结构的网络中,安装在其中任一台机都可以捕捉到其它机器的信息包(当然不是全部),而对于使用交换机连接的交换网络,很有可能就无法捕捉到其它两台机器间通讯的数据,而只能捕捉到与本机有关的信息;又例如,如果想检测一个防火墙的过滤效果,可以在防火墙的内外安装Iris,捕捉信息,进行比较。

  3.配置Iris

  Capture(捕获)

  Run continuously:当存储数据缓冲区不够时,Iris将覆盖原来的数据包。

  Stop capture after filling buffer:当存储数据缓冲区满了时,Iris将停止进行数据包截获,并停止纪录。

  Load this filter at startup:捕获功能启动时导入过滤文件并应用,这样可以进行命令行方式的调试。

  Scroll packets list to ensure last packet visible:一般要选中,就是将新捕获的数据包附在以前捕获结果的后面并向前滚动。

  Use Address Book:使用Address Book来保存mac地址,并记住mac地址和网络主机名。而Ip也会被用netbios名字显示。

  Decode(解码)

  Use DNS:使用域名解析。

  Edit DNS file:使用这个选项可以编辑本地解析文件(host)。

  HTTP proxy:使用http使用代理服务器,编辑端口号。默认为80端口。

  Decode UDP Datagrams:解码UDP协议。

  Scroll sessions list to ensure last session visible:使新截获的数据包显示在捕获窗口的最上。

  Use Address Book:同Capture中的Use Address Book。

  Adapters(网络配置器):选择从哪个网络配置器(网卡)中截获数据。

  Guard(警报和日志选项)

  Enable alarm sound:当发现合乎规则的数据包发出提示声音。

  Play this wave file:选择警报声音路径,声音格式是.wav。

  Log to file:启动日志文件。如果选中后,当符合规则的数据包被截获后将被记录在日志文件中。

  Ignore all LAN connections:Iris可以通过本地的ip地址和子网掩码识别地址是否是本地的地址。当这个选项被不选中后,Iris会接受所有的数据包(包括本机收发出的)。如果选中,将不接受本地网络的数据包。

  Ignore connections on these>>:过滤指定端口(port),在列表中可以选择。

  Use software filter:软件过滤方案生效。当没有被选中后,软件将会接受所有的数据。另外只有当Apply filter to incoming packets 被选中后Use software filter才能使用。

  Miscellaneous(杂项功能)

  选项/功能描述

  Packet buffer:设置用来保存捕获数据包最多个数(默认值是2000个)。

  Stop when free disk space drops:当磁盘空间低于指定值时,Iris将会停止捕获和记录数据。

  Enable CPU overload protection 当Cpu的占用率连续4秒钟达到100%时,Iris会停止运行。等到恢复正常后才开始纪录。

  Start automatically with Windows:点击这里可以把Iris加入到启动组中。

  Check update when program start:是否启动时检查本软件的更新情况。

  4.任务

  Schedule:配置Iris指定的时间捕获数据包,蓝色代表捕获,白色代表停止捕获。

  5.建立过滤条件

  a.硬件过滤器(HardWare Filter):

  Promiscuous (噪音模式):使得网卡处于杂收状态,这个是默认状态。

  Directed (直接连接):只接受发给本网络配置器的数据包,而其他的则不予接受。

  Multicast (多目标):捕获多点传送的数据包。

  All multicast (所有多目标):捕获所有的多目标数据包。

  Broadcast (广播) 只捕获广播桢,这样的真都具有相同的特点,目的MAC地址都是FF:FF:FF:FF:FF:FF。

  b.数据包捕获类型匹配(Layer 2,3):这个过滤设置位于DoD模型(四层)中的第二、三层——网络层和运输层。

  利用这个过滤设置,可以过滤不同协议类型的数据。

  Include:表示包括此种协议类型的数据将被捕获;

  Exclude:表示包括此种协议类型的数据将被忽略;

  也可以自定义协议类型,方法是配置proto.dat文件。Layer 2的协议编辑[PROTOCOL],而layer 3则编辑相应的[IP PROTOCOL]。我们用记事本打开proto.dat,在这里很多的协议可以被修改和添加。

  c.字符匹配(Words Filter)

  加入你想过滤的关键字符到列表。列表下面有All和ANY两个选项(有的是AND和OR),其中ANY是指数据包至少要匹配列表中的一个关键字符,而ALL选项是指所有列表中的数据都要匹配才会显示出来。

  Apply filter to packets是指显示带有关键字的数据帧,而其他的数据帧则会被抛弃。

  Mark sessions containing words是指所有的数据帧都会被截获,只不过带有指定字符的数据帧会加上标志。

  d.MAC地址匹配(MAC Address Filter)

  第一个窗口是IRIS可是识别出来的硬件地址。你可以点击这些地址把他们加到下边的Address 1或Address 2,如果你不这样做也可以自己输入地址到窗口二中。

  e.IP地址匹配层(IP address)

  和MAC地址匹配(MAC Address Filter)选项相类似,这个是IP地址匹配层。

  f.端口匹配层(Ports)

  CP和UDP采用16 bit的端口号来识别应用程序的。FTP服务器的TCP端口号是2 1,Telnet服务器的TCP端口号是23,TFTP(简单文件传送协议)服务器的UDP端口号是69。任何TCP/IP实现所提供的服务都用知名的1~1023之间的端口号.例如我们想截获telnet中的用户名和密码这里我们就应该选择23 Port。

  g.高级选项配置(Advanced)

  数据大小匹配选项(Size):可以选择指定接收的数据包的大小。

  十六进制数据匹配(Data):指定数据包中所包含数据的十六进制字符相匹配。

  6.截获数据包

  在数据包编辑区内,显示着完整的数据包。窗口分两部分组成,左边的数据是以十六进制数字显示,右边则对应着ASCII。点击十六进制码的任何部分,右边都会显示出相应的ASCII代码,便于分析。

  十六进制码是允许进行编辑再生的,可以重写已经存在的的数据包。新的数据包可以被发送,或者保存到磁盘中。

  7.数据包编辑

  Capture > Show Packet Editor点击显示出来。

  利用工具条的选项可以进行数据包的保存,更改,加入到列表和发送等操作。

  例如想生成一系列TCP数据包,首先点击生成一个空数据包,参照数据包格式,使得每一部分都用十六进制表示法来表示。建立了一个包假设它由100个字节的长度(假设一下,20 个字节是IP信息,20个字节是TCP信息,还有60个字节为传送的数据)。现在把这个包发给以太网,放14个字节在目地MAC地址之前,源MAC地址,还要置一个0x0800的标记,它指示出了TCP/IP栈后的数据结构。同时,也附加了4个字节用于做CRC校验 (CRC校验用来检查传输数据的正确性),之后我们点击发送按钮。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章