渗透嗅探

有人把网线插进交换机，渗透嗅探以为数据就只是渗透嗅探在自己机器和服务器之间跑来跑去。错。渗透嗅探数据包经过的渗透嗅探每一跳，都可能有人正把鼻子凑上去闻。渗透嗅探

这就是渗透嗅探渗透嗅探——不是去撬锁，而是渗透嗅探趴在管道上听里面流的是什么。嗅探本身不破坏任何东西，渗透嗅探它只是渗透嗅探复制。网卡默认只接收发给自己的渗透嗅探帧，但有个模式叫混杂模式，渗透嗅探开启之后，渗透嗅探同一冲突域里跑的渗透嗅探所有流量它都照单全收。交换机比集线器聪明，渗透嗅探会按MAC地址表转发，渗透嗅探可它也有软肋：ARP欺骗。攻击者伪造网关的ARP应答，告诉受害者“我是网关”，再告诉网关“我是受害者”，流量就乖乖从中间过了一道。这个中间人什么都不用改，光听就够了。

我见过一次真实的嗅探。某公司内网丢了一批账号密码，查了一周没头绪。后来在核心交换机上做端口镜像，抓了半小时包，发现有个IP每隔几分钟就往一台境外VPS发UDP包，载荷全是明文。顺着MAC找到工位，是运维自己写的一个“监控脚本”，用的还是十几年前的telnet。他没恶意，但密码就这么裸奔了三个月。

嗅探能拿到什么，取决于协议设计时有没有想过会被偷听。HTTP、FTP、SMTP、POP3，全是明文。你登录邮箱，用户名和密码就写在数据包里，用Wireshark一过滤，眼睛不瞎都能看见。HTTPS好一些，但SNI字段在TLS握手时还是明文，访问了哪个域名藏不住。DNS查询也是明文，你去了哪些站点，运营商和隔壁工位的人都能拼出来。更别说LLMNR和NBT-NS，Windows里默认开着，攻击者随便发个广播就能骗到一堆NTLM哈希。Responder这个工具就是干这个的，跑在内网里，十分钟能收一箩筐。

无线那边更热闹。WPA2的握手包可以离线爆破，弱密码撑不过几小时。有人觉得隐藏SSID就安全，其实 beacon 帧里藏着SSID，只是没广播而已，抓个探针请求就出来了。还有 evil twin，伪造一个同名热点，信号更强，设备自己就连上去了。你以为连的是公司WiFi，其实数据全进了别人的网卡。

嗅探难防，因为它太底层。你装杀毒软件，它不拦；你开防火墙，它不管。数据在物理层跑，谁都能搭线。能做的只有加密：上HTTPS、用SSH隧道、开VPN、把telnet换成ssh。交换机端口安全能挡一部分ARP欺骗，动态ARP检测（DAI）也有用，但得全网设备配合。最实在的一招是别用明文协议，别让密码裸着出门。至于无线，WPA3比WPA2强不少，但老设备不认，只能自己权衡。

有次我在咖啡馆，旁边桌的人连上免费WiFi就开始登公司后台。我看了眼他屏幕上的地址栏，http开头，后面跟着/login。他输密码的时候我别过头去，但心里清楚，同一个网络里，有人不用别头也能看见。嗅探这事，技术门槛不高，一个树莓派加一块无线网卡就能干。真正的问题是，大多数人根本不知道数据在路上是光着跑的。

本文地址：http://www.79wt.cn/news/038f9899863.html