前言：血淚教訓
作者魔獸世界帳號被盜，同網吧多賬號連環失竊。事後複盤發現：局域網內部署密碼嗅探器，可攔截網頁郵箱、POP3、FTP、遊戲登入等明文/弱加密憑證。本文分享一個極簡偵測方法與應急處置流程。
一、密碼嗅探器工作原理
- 單機運行即可監聽同一廣播域/交換機 VLAN 內所有主機流量。
- 解析協議：HTTP Basic Auth、POP3、FTP、Telnet、遊戲私有協議（明文或弱加密）。
- 輸出：顯示/儲存/郵寄竊取的用戶名、密碼。
- 交換環境下需配合 ARP 欺騙/埠鏡像/洪水攻擊使交換機降級為 Hub 模式。
二、極簡偵測法：網卡啟停法
原理：嗅探器通常綁定網卡運作在混雜模式。停用再啟用網卡會強制重置網卡狀態，導致嗅探器掛起/崩潰/重新初始化，觸發可見異常。
操作步驟
- 右鍵「我的電腦」→ 管理 → 裝置管理員 → 網路介面卡 → 找到實體網卡（非虛擬網卡）。
- 右鍵網卡 → 停用。
- 重新啟動電腦（關鍵：單純啟用網卡不足以觸發某些核心級嗅探器異常，冷重啟可重置驅動堆疊）。
- 開機後觀察：若出現藍屏、異常錯誤對話框、網卡驅動異常提示、系統事件日誌記錄驅動錯誤，極大概率存在核心級嗅探/後門程式。
原理補充
- 用戶態 Hook 嗅探器：重啟後自動隨進程重載，難以觀察異常。
- 核心態驅動級嗅探器/Rootkit：掛鉤 NDIS/TDI/過濾驅動，重啟時驅動載入順序/依賴關係可能導致可見故障（藍屏/事件日誌錯誤）。
三、作者實測與應急處置
- 重啟後出現異常畫面（文中截圖），確認被植入後門/核心級嗅探器。
- 因無法定位具體惡意檔案（免殺），選擇重裝系統徹底清理。
四、系統級防護與溯源建議
1. 即時防護
- 部署主機型入侵防禦系統（HIPS/EDR）：監控網卡混雜模式開啟、驅動載入、敏感註冊表修改、Raw Socket 創建。
- 啟用Windows Defender Application Control (WDAC) 或 AppLocker：僅允許簽名驅動/程式載入。
- 關鍵服務強制加密：HTTPS、SFTP、SSH、遊戲客戶端加密通道（如有）。
2. 網路層緩解
- 交換機開啟 DHCP Snooping、Dynamic ARP Inspection (DAI)、IP Source Guard 防禦 ARP 欺騙。
- 配置 Port Security 限制單埠 MAC 數量，防洪水攻擊。
- 關鍵段部署流量鏡像/網路探針，持續分析異常流量模式。
3. 事後溯源與證據保全
- 立即斷網（物理拔線），保護易失性證據（記憶體、網路連線、進程列表）。
- 使用
Volatility、WinPMEM 獲取記憶體映像；FTK Imager 磁碟鏡像。
- 分析嗅探器二進制特徵、C&C 通訊、植入向量（USB/瀏覽器漏洞/供應鏈/內部人員）。
- 報警、通報網吧管理方、配合警方調查取證。
4. 用戶行為鐵律
- 網吧/公共環境嚴禁登入核心帳號（網銀、主郵箱、核心遊戲帳號）。
- 必須操作時：使用動態口令/雙因子認證、虛擬鍵盤、一次性密碼。
- 遊戲帳號綁定手機令牌/密保卡/人臉識別，啟用異地登入凍結。
結語
網卡啟停重啟法是低成本、高針對性的核心級嗅探器偵測手段，適合缺乏專業工具的現場快速排查。但根治之道在於：加密通訊傳輸 + 交換機防 ARP 欺騙 + 端點 EDR 防禦 + 用戶安全習慣 四位一體。網吧等公共環境本質不可信，核心資產操作應遷移至受信終端與網路。