| |
表1 一個(gè)IP包頭數(shù)據(jù)
0×0000 45c0 c823 0000 d306 6002 2c06 d21d 8496
0×0010 22ab b365 c234 0000 0000 4066 dd1d 8818
0×0020 7034 ecf8 0000 5b88 7708 b901 4a88 de34
0×0030 9812 a5c6 0011 8386 9618 0000 a123 6907
0×0040 55c5 0023 3401 0000 5505 b1c5 0000 0000
0×0050 0000 0000 0000 0000 0000
捕獲數(shù)據(jù)包
在一個(gè)交換網(wǎng)絡(luò)環(huán)境下捕獲數(shù)據(jù)包比較困難，這主要是因?yàn)榧�器和交換機(jī)在數(shù)據(jù)交換中本質(zhì)的不同。集線器采用的是廣播式傳輸，它不支持連接，而是把包發(fā)送到除源端口外的所有端口，與集線器相連的所有機(jī)器都可以捕獲到通過(guò)它的數(shù)據(jù)包。而交換機(jī)支持端到端的連接，當(dāng)一個(gè)數(shù)據(jù)包到達(dá)時(shí)交換機(jī)為它建立一個(gè)暫時(shí)的連接，數(shù)據(jù)包通過(guò)這個(gè)連接傳到目的端口。所以，在交換環(huán)境下抓包不是一件容易的事。為了獲得交換環(huán)境下的數(shù)據(jù)包，可以用下面方法解決：
1. 把交換機(jī)的一個(gè)“spanning port”（生成端口）配置成象一個(gè)集線器一樣，通過(guò)這個(gè)端口的數(shù)據(jù)包不再與目的主機(jī)建立連接，而是廣播式地發(fā)送給與此端口相連的所有機(jī)器。設(shè)置一個(gè)包捕獲主機(jī)，便可以捕獲到通過(guò)“spaning port”的數(shù)據(jù)包。但是，在同一時(shí)刻，交換機(jī)只能由一個(gè)端口被設(shè)置成“spanning port”，因此，不能同時(shí)捕獲多臺(tái)主機(jī)的數(shù)據(jù)包。
2. 在交換機(jī)之間，或路由器和交換機(jī)之間安裝一個(gè)集線器。通過(guò)集線器的數(shù)據(jù)包便可以被捕獲主機(jī)捕獲。
在用捕獲數(shù)據(jù)包獲取攻擊者的源地址的方法中，有兩個(gè)問(wèn)題需要注意：一是保證包捕獲主機(jī)由足夠的存儲(chǔ)空間，因?yàn)槿绻诓东@數(shù)據(jù)包時(shí)網(wǎng)絡(luò)吞吐量很大的話，硬盤很快會(huì)被填滿；二是在分析數(shù)據(jù)包時(shí)，可編制一段小程序自動(dòng)分析，手工分析這么多的數(shù)據(jù)是不可能的。
四、 搜索引擎——也許會(huì)有外的驚喜
利用搜索引擎獲得網(wǎng)絡(luò)攻擊者的源地址，從理論上講沒(méi)有什么根據(jù)，但是它往往會(huì)收到意想不到的效果，給追蹤工作帶來(lái)意外驚喜。黑客們?cè)贗nternet上往往有他們自己的虛擬社區(qū)，他們?cè)谀莾河懻摼W(wǎng)絡(luò)攻擊技術(shù)方法，同時(shí)炫耀自己的戰(zhàn)果。因此，在那里經(jīng)常會(huì)暴露他們攻擊源的信息甚至他們的身份。
利用搜索引擎追蹤網(wǎng)絡(luò)攻擊者的IP地址就是使用一些好的搜索引擎（如搜狐的搜索引擎）搜索網(wǎng)頁(yè)，搜索關(guān)鍵詞是攻擊主機(jī)所在域名、IP地址或主機(jī)名，看是否有貼子是關(guān)于對(duì)上述關(guān)鍵詞所代表的機(jī)器進(jìn)行攻擊的。雖然網(wǎng)絡(luò)攻擊者一般在發(fā)貼子時(shí)會(huì)使用偽造的源地址，但也有很多人在這時(shí)比較麻痹而使用了真實(shí)的源地址。因此，往往可以用這種方法意外地發(fā)現(xiàn)網(wǎng)絡(luò)攻擊者的蹤跡。
由于不能保證網(wǎng)絡(luò)中貼子源地址的真實(shí)性，所以，不加分析的使用可能會(huì)牽連到無(wú)辜的用戶。然而，當(dāng)與其方法結(jié)合起來(lái)使用時(shí)，使用搜索引擎還是非常有用的。
本新聞共 2頁(yè),當(dāng)前在第 2頁(yè) 1 2 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
