| |
表1 一個IP包頭數(shù)據(jù)
0×0000 45c0 c823 0000 d306 6002 2c06 d21d 8496
0×0010 22ab b365 c234 0000 0000 4066 dd1d 8818
0×0020 7034 ecf8 0000 5b88 7708 b901 4a88 de34
0×0030 9812 a5c6 0011 8386 9618 0000 a123 6907
0×0040 55c5 0023 3401 0000 5505 b1c5 0000 0000
0×0050 0000 0000 0000 0000 0000
捕獲數(shù)據(jù)包
在一個交換網(wǎng)絡(luò)環(huán)境下捕獲數(shù)據(jù)包比較困難，這主要是因為集線器和交換機在數(shù)據(jù)交換中本質(zhì)的不同。集線器采用的是廣播式傳輸，它不支持連接，而是把包發(fā)送到除源端口外的所有端口，與集線器相連的所有機器都可以捕獲到通過它的數(shù)據(jù)包。而交換機支持端到端的連接，當一個數(shù)據(jù)包到達時交換機為它建立一個暫時的連接，數(shù)據(jù)包通過這個連接傳到目的端口。所以，在交換環(huán)境下抓包不是一件容易的事。為了獲得交換環(huán)境下的數(shù)據(jù)包，可以用下面方法解決：
1. 把交換機的一個“spanning port”（生成端口）配置成象一個集線器一樣，通過這個端口的數(shù)據(jù)包不再與目的主機建立連接，而是廣播式地發(fā)送給與此端口相連的所有機器。設(shè)置一個包捕獲主機，便可以捕獲到通過“spaning port”的數(shù)據(jù)包。但是，在同一時刻，交換機只能由一個端口被設(shè)置成“spanning port”，因此，不能同時捕獲多臺主機的數(shù)據(jù)包。
2. 在交換機之間，或路由器和交換機之間安裝一個集線器。通過集線器的數(shù)據(jù)包便可以被捕獲主機捕獲。
在用捕獲數(shù)據(jù)包獲取攻擊者的源地址的方法中，有兩個問題需要注意：一是保證包捕獲主機由足夠的存儲空間，因為如果在捕獲數(shù)據(jù)包時網(wǎng)絡(luò)吞吐量很大的話，硬盤很快會被填滿；二是在分析數(shù)據(jù)包時，可編制一段小程序自動分析，手工分析這么多的數(shù)據(jù)是不可能的。
四、 搜索引擎——也許會有外的驚喜
利用搜索引擎獲得網(wǎng)絡(luò)攻擊者的源地址，從理論上講沒有什么根據(jù)，但是它往往會收到意想不到的效果，給追蹤工作帶來意外驚喜。黑客們在Internet上往往有他們自己的虛擬社區(qū)，他們在那兒討論網(wǎng)絡(luò)攻擊技術(shù)方法，同時炫耀自己的戰(zhàn)果。因此，在那里經(jīng)常會暴露他們攻擊源的信息甚至他們的身份。
利用搜索引擎追蹤網(wǎng)絡(luò)攻擊者的IP地址就是使用一些好的搜索引擎（如搜狐的搜索引擎）搜索網(wǎng)頁，搜索關(guān)鍵詞是攻擊主機所在域名、IP地址或主機名，看是否有貼子是關(guān)于對上述關(guān)鍵詞所代表的機器進行攻擊的。雖然網(wǎng)絡(luò)攻擊者一般在發(fā)貼子時會使用偽造的源地址，但也有很多人在這時比較麻痹而使用了真實的源地址。因此，往往可以用這種方法意外地發(fā)現(xiàn)網(wǎng)絡(luò)攻擊者的蹤跡。
由于不能保證網(wǎng)絡(luò)中貼子源地址的真實性，所以，不加分析的使用可能會牽連到無辜的用戶。然而，當與其方法結(jié)合起來使用時，使用搜索引擎還是非常有用的。
|
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
