嗅探器基礎認知

什麼是嗅探器？

網路竊聽程式，安裝於電腦上，解碼網路上傳輸的二進位資料流。類比電話竊聽器，但優勢在於共享媒體網路（集線器/早期以太網）無需斷線、無需特殊佈線，任一節點即可竊聽同網段所有流量——即「混雜模式」。

工作原理

1. 以太網廣播特性：同網段所有網卡皆收到相同封包。
2. 網卡硬體過濾器：比對目的 MAC，不符則丟棄（對作業系統透明）。
3. 嗅探程式關閉過濾器（設網卡為混雜模式），接收全網段封包。

以太網封包結構與 MAC 位址

+----------+----------+------+-----------+------+
| 目標 MAC | 來源 MAC | 0800 |   IP 封包  | CRC  |
+----------+----------+------+-----------+------+
  6 bytes   6 bytes   2B    變長       4B

• MAC 位址：48-bit，前 24-bit OUI（廠商碼），後 24-bit 序列號，全球唯一。最低兩位用於多播/廣播與本地管理標記。
• 路由器處理：剝離前 14 字節（MAC 頭）與尾 4 字節（CRC），檢查 0x0800 標記後路由 IP 封包。

如何查看本機 MAC

• Win9x：執行 winipcfg.exe
• WinNT/2000/XP：ipconfig /all → 「實體位址」
• Linux：ifconfig 或 ip link → HWaddr/link/ether

交換式網路下的嗅探與反嗅探

交換機阻斷廣播，但非絕對安全

交換機依 MAC 位址表單播轉發，一般主機無法看到他人流量。但攻擊者可用：

• ARP 欺騙/投毒：偽造網關 MAC，導致流量經攻擊機轉發（中間人）。
• MAC 洪水攻擊：填滿 MAC 表迫使交換機降級為集線器模式（廣播）。
• VLAN 跳躍：利用雙標籤或交換機配置錯誤跨 VLAN 嗅探。
• 交換機鏡像埠 (SPAN/RSPAN/ERSPAN)：合法管理功能，若被惡意配置成監聽全網流量。

反嗅探技術體系

層面	對策
物理/網路架構	全交換網路、Port Security 限制 MAC 學習、動態 VLAN、802.1X 接入認證
協議/加密	全站 HTTPS (TLS 1.2+)、SSH 替代 Telnet、IPsec VPN、SFTP/SCP 替代 FTP、SNMPv3 替代 v1/v2c
主機端	啟用防火牆阻擋異常 ARP、安裝 ARP 防火牆/防 ARP 欺騙工具、定期檢查網卡混雜模式 (ifconfig -a 無 PROMISC)
偵測/審計	部署 IDS/IPS 偵測 ARP 欺騙、MAC 洪水、異常流量；啟用交換機 DHCP Snooping、Dynamic ARP Inspection (DAI)、IP Source Guard
管理	定期審計 SPAN 埠配置、網段隔離最小權限、敏感系統專用網段/加密通道

結語

嗅探利用共享媒體本質，交換機提高門檻但非絕對屏障。加密傳輸（TLS/SSH/IPsec）是根本解法——即使封包被攔截，無金鑰亦無法還原明文。結合網路存取控制、交換機安全功能與主機端防禦，構建纵深反嗅探體系。