1.3.1 MAC地址的格式是什么？
以太网卡的MAC地址是一组48比特的数字，这48比特分为两个部分组成，前面的24比特用于表示以太网卡的寄主，后面的24比特是一组序列号，是由寄主进行支派的。这样可以担保没有任何两块网卡的MAC地址是相同的（当然可以通过特殊的方法实现）。如果出现相同的地址，将发生问题，所有这一点是非常重要的。这24比特被称之为OUI（Organizationally Unique Identifier）。
可是，OUI的真实长度只有22比特，还有两个比特用于其他：一个比特用来校验是否是广播或者多播地址，另一个比特用来分配本地执行地址（一些网络允许管理员针对具体情况再分配MAC地址）。
举个例子，你的MAC地址在网络中表示为 03 00 00 00 00 01 。第一个字节所包含的值二进制表示方法为00000011。 可以看到，最后两个比特都被置为真值。他指定了一个多播模式，向所有的计算机进行广播，使用了“NetBEUI”协议（一般的，在Windows计算机的网络中，文件共享传输等是不使用TCP/IP协议的）。
1．3．2 我如何得到自己计算机的MAC地址？
Win9x
Win9x自带的这个程序将告诉你答案：“winipcfg.exe”
WinNT
在命令行的状态下运行这个命令："ipconfig /all"
它会显示出你的MAC网卡地址，下面是一个例子：
Windows 2000 IP Configuration
Host Name . . . . . . . . . . . . : bigball
Primary DNS Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
Ethernet adapter 本地连接:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Legend/D-Link DFE-530TX PCI Fast Eth
ernet Adapter （Rev B）
Physical Address. . . . . . . . . : 00-50-BA-25-5D-E8
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.10.254
Subnet Mask . . . . . . . . . . . : 255.255.128.0
Default Gateway . . . . . . . . . : 192.168.10.3
Ethernet adapter SC12001:
Description . . . . . . . . : DEC DC21140 PCI Fast Ethernet
Linux
运行“ifconfig”。结果如下：
eth0 Link encap:Ethernet HWaddr 08:00:17:0A:36:3E
inet addr:192.0.2.161 Bcast:192.0.2.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1137249 errors:0 dropped:0 overruns:0
TX packets:994976 errors:0 dropped:0 overruns:0
Interrupt:5 Base address:0x300
Solaris
用 “arp” 或者 “netstat –p” 命令
1．3．3我如何才能知道有那些计算机和我的MAC地址直接关联？
对于WinNT和Unix机器，可以直接使用“arp –a”查看。
1．3．4我能够改变我的MAC地址吗？
可以。简单的说一下：
第一种方法，你要做地址欺骗，因为MAC地址是数据包结构的一部分， 因此，当你向以太网发送一个数据包的时候，你可以覆盖源始的MAC信息。
第二种方法,很多网卡允许在一定的时间内修改内部的MAC地址。
第的三种方法，你可以通过重新烧录EEPROM来实现MAC地址的修改。但是这种方法要求你必须有特定的硬件设备和适用的芯片才能修改，而且这种方法将永远的修改你的MAC地址。
二．反嗅探技术
2．1我如何才能检测网内是否存在有嗅探程序？
理论上，嗅探程序是不可能被检测出来的，因为嗅探程序是一种被动的接收程序，属于被动触发的，它只会收集数据包，而不发送出任何数据，尽管如此，嗅探程序有时候还是能够被检测出来的。
一个嗅探程序，不会发送任何数据，但是当它安装在一台正常的局域网内的计算机上的时候会产生一些数据流。举个例子，它能发出一个请求，始DNS根据IP地址进行反相序列查找。
下面一种简单的检测方法：
ping 方法
很多的嗅探器程序，如果你发送一个请求给哪台有嗅探程序的机器，它将作出应答
说明：
1.怀疑IP地址为10.0.0.1的机器装有嗅探程序，它的MAC地址确定为00-40-05-A4-79-32.
2.确保机器是在这个局域网中间。
3.现在修改MAC地址为00-40-05-A4-79-33.
4.现在用ping命令ping这个IP地址。
5.没有任何人能够看到发送的数据包，因为每台计算机的MAC地址无法与这个数据包中的目地MAC不符，所以，这个包应该会被丢弃。
6.如果你看到了应答，说明这个MAC包没有被丢弃，也就是说，很有可能有嗅探器存在。
现在，这种方法已经得到了广泛的推崇和宣扬，新一代的黑客们也学会了在他们的代码中加入虚拟的MAC地址过滤器很多的计算机操作系统（比如Windows）都支持MAC过滤器（很多过虑器只检查MAC的第一个字节，这样一来，MAC地址FF-00-00-00-00-00和FF-FF-FF-FF-FF-FF就没有区别了。（广播地址消息会被所有的计算机所接收）。这种技术通常会用在交换模型的以太网中。当交换机发现一个未知的MAC地址的时候，它会执行类似“flood”的操作，把这个包发送给每个节点。
2．2本机嗅探程序的检测
本机嗅探的程序检测方法比较简单，只要检查一下网卡是否处于混杂模式就可以了，在Linux下，这个比较容易实现，而在Windows平台上，并没有现成的函数可供我们实现这个功能，我们来用一点小技巧：
#include <winsock2.h>
#define MAX_PACK_LEN 65535
#define MAX_HOSTNAME_LAN 255
#pragma comment （lib , "ws2_32.lib"）
int main（）
{
SOCKET SockRaw,Sock；
WSADATA wsaData；
int ret=0；
struct sockaddr_in sAddr,addr；
char RecvBuf[MAX_PACK_LEN]；
char FAR name[MAX_HOSTNAME_LAN]；
struct hostent FAR * pHostent；
char *Buf=（char *）malloc（128）；
int settimeout=1000；//这里我们设置了一秒钟超时
printf（"UNSniffer for Win2k v1.0\nPower by BigBall\nHomePage:http:\/\/www.patching.net\/liumy\nEmail:liumy@patching.net\nOicq:9388920\n\nChecking your system ,wait a moment please...\n"）；
WSAStartup（MAKEWORD（2,2）,&wsaData）；
//建立一条RawSocket
SockRaw=socket（AF_INET,SOCK_RAW,IPPROTO_IP）；
//再建立一条UDP
Sock=socket（AF_INET,SOCK_DGRAM,IPPROTO_UDP）；
memset（&sAddr,0,sizeof（sAddr））；
memset（&addr,0,sizeof（addr））；
sAddr.sin_family=AF_INET；
sAddr.sin_port=htons（5257）；
addr.sin_family=AF_INET；
addr.sin_port=htons（5258）；
///把IP地址指向本机
addr.sin_addr.S_un.S_addr=inet_addr（"127.0.0.1"）；
memset（RecvBuf,0, sizeof（RecvBuf））；
pHostent=malloc（sizeof（struct hostent））；
gethostname（name, MAX_HOSTNAME_LAN）；
pHostent=gethostbyname（name）；
///取得自己的IP地址
memcpy（&sAddr.sin_addr.S_un.S_addr, pHostent->h_addr_list[0], pHostent->h_length）；
free（pHostent）；
///绑定一个本机的接收端口
bind（SockRaw, （struct sockaddr *）&sAddr, sizeof（sAddr））；
///虚连接到本机的一个未打开的端口
connect（Sock,（struct sockaddr *）&addr,sizeof（addr））；
Buf="1234567890!@#$%^&*"；
///设置超时
setsockopt（SockRaw,SOL_SOCKET,SO_RCVTIMEO,（char *）&settimeout,sizeof（int））；
///向虚连接端口发送一个数据包
send（Sock,Buf,strlen（Buf）,0）；
///使用SockRaw尝试接收这个数据包
ret=recv（SockRaw,RecvBuf,sizeof（RecvBuf）,0）；
if（ret==SOCKET_ERROR || ret==0）
printf（"No found any sniffer in your system!\n"）；
else
{
///进行ChkSum
if（Buf=="1234567890!@#$%^&*"）
printf（"Warning!!! Found sniffer!!!\n"）；
}
closesocket（Sock）；
closesocket（SockRaw）；
free（pHostent）；
free（Buf）；
WSACleanup（）；
return 0；
} |
发表于 2007-12-24 13:38
楼主