共享媒介網絡（如傳統以太網）天生允許主機接收非發給自己的幀。將網卡置於「混雜模式」捕獲所有封包，即為 Sniffing（竊聽）。本文系統梳理 Sniffer 原理、常用工具、檢測手段與多層防禦體系。

核心原理

• 以太網廣播發送，幀頭含目標 MAC，正常僅目標主機接收。
• 混雜模式忽略 MAC 過濾，收取所有幀。
• 明文協議（Telnet、FTP、rlogin、POP3、IMAP、HTTP Basic Auth）帳號密碼裸奔，一旦任一主機 Root 權限被奪取並開啟混雜模式，全網主機淪陷。

經典 Sniffer 工具匯總

類別	工具	平台/特點
開源/學術	Esniff.c (Phrack)	SunOS，捕獲 Telnet/FTP/Rlogin 前 300 字節，黑客傳播最廣
系統內建	Etherfind (SunOS)、Snoop (Solaris/SunOS)、Tcpdump	調試網絡故障常用
商業分析儀	Network General Expert Sniffer	專用硬體高性能收發、專家系統診斷、分布式 Agent 架構
微軟生態	Net Monitor (原 Bloodhound)	Windows 平台，精準解析 NetBEUI/IPX/SPX/TCP/IP/SNA 等混合協議，支援 MAC/主機名統計、會話追蹤、圖形化過濾器

如何檢測主機是否在 Sniffing

• 本地檢查網卡模式： ifconfig -a（SunOS/BSD）或 ifconfig <介面>（DEC OSF/1、IRIX）查看 PROMISC 標誌。注意入侵者常替換 ifconfig 隱藏痕跡，需校驗二進制完整性。
• 工具輔助： CERT cpm（SunOS）、pfstat/pfconfig（Ultrix）。
• 局限： 多數 Unix（Irix、Solaris、SCO）無混雜模式標誌；非內核鏈接的 Sniffer 無法被檢測；遠程發包/Ping 無法探測。
• 側寫特徵： 日誌文件暴增、主機負載異常升高、lsof 發現進程打開封包設備（如 /dev/nit）。

四層防禦體系

1. 物理/鏈路層隔離： 交換機按 MAC 轉發替代 Hub 廣播，使混雜模式失效（現主流方案）。早期主動式 Hub（3Com、HP）已退出歷史舞台。
2. 加密傳輸： SSH、SSL/TLS、IPsec、deslogin、swIPe、Kerberos（流加密 rlogind/telnetd，但 KDC 單點風險）。
3. 強認證/一次性口令： S/Key（挑戰-響應）、SecureID/CRYPTOCard/SafeWord 等硬體 Token、ID 卡系統。消除靜態口令在網絡傳輸。
4. 非混雜模式網卡： 選購不支持混雜模式的 NIC（現市場少見，需向廠商確認）。

總結： 「交換機分段 + 全鏈路加密 + 雙因子認證」構成現代抗竊聽鐵三角，單一措施均可被繞過。