什麼是Sniffer？

Sniffer（嗅探器）是竊聽網路傳輸數據的工具與手段。乙太網採用共享媒介廣播機制：數據幀發送至同一網段所有主機，網卡正常只接收目標MAC匹配或廣播幀。將網卡設為「混雜模式」，即可接收所有經過的幀，實現竊聽。

工作原理深度解析

核心機制

• 網卡進入Promiscuous模式 → 對所有幀產生硬體中斷 → 驅動程式提交作業系統 → Sniffer軟體解析協定封裝 → 提取關注字段（帳號、密碼、郵件內容、金融資訊等） → 寫入日誌。
• 屬於OSI第二層攻擊，通常發生在攻擊者已取得系統控制權後，植入Sniffer獲取更多橫向滲透憑證。

典型部署位置

• 路由器、核心交換機、具路由功能的主機（可監控大量流量）。
• Solaris平台常見安裝路徑：/usr/bin、/dev目錄，並偽裝時間戳混淆視線。

Sniffer可竊取的敏感資訊

類別	具體內容	風險等級
認證憑證	明文UserID/Password、Telnet/FTP/POP3/HTTP Basic認證	極高
金融資訊	信用卡號、有效期、PIN、銀行帳號	極高
機密通訊	Email全文、即時通訊內容、企業內部文件	高
底層協定資訊	MAC/IP對應、TCP序列號、路由表、DNS查詢	高（用於IP欺騙、Session Hijacking）

防範與偵測策略

技術防禦

• 加密傳輸：全站HTTPS、SSH、SFTP、IPsec VPN，徹底消除明文傳輸。
• 交換式網路：以交換機取代Hub，限制廣播域；啟用Port Security、DHCP Snooping、Dynamic ARP Inspection。
• 加密協定強制：禁用Telnet/FTP/HTTP Basic，改用SSH/SFTP/HTTPS。

偵測手段

• 主機端：定期檢查網卡是否為Promiscuous模式（ifconfig -a查看PROMISC標誌）。
• 網路端：部署NIDS（如Snort、Suricata）偵測異常ARP請求、大量DNS查詢、非預期協定流量。
• 蜜罐部署：佈放偽造敏感服務，誘捕嗅探行為。

管理面

• 嚴格管控伺服器機房物理存取，防止攻擊者插入監聽設備。
• 定期審核系統日誌與ps進程列表，警惕偽裝的Sniffer進程。
• 建立基線流量模型，異常流量觸發告警。

Sniffer屬於被動攻擊，極其安靜難以察覺。加密傳輸與交換網路架構是根治之道，輔以主動偵測與最小權限原則，方能有效降低竊聽風險。