اسنیفرها؛ مبانی و تشخیص

در این پست با مقاله ای با عنوان ” اسنیفر ها؛ مبانی و تشخیص ” با شما عزیزان خواهیم بود. بخشی از این مقاله را باهم می خوانیم :

یک کامپیوتر متصل به شبکه محلی، دارای دو آدرس است. یکی آدرس MAC(کنترل دسترسی رسانه) که بطور منحصر به فرد، هر گره از شبکه را شناسایی می کند و روی کارت شبکه ذخیره می شود. این آدرس توسط پروتکل اترنت، هنگام ساخت فریم‌هایی برای انتقال داده بین دستگاه‌ها استفاده می شود. آدرس دیگر، آدرس IP است که توسط برنامه ها استفاده می گردد. لایه ارتباط داده از هدر اترنت با آدرس MAC دستگاه مقصد، به جای آدرس آی‌پی آن استفاده می کند. لایه شبکه نیز مسئول نگاشت آدرس‌های آی‌پی در شبکه به آدرس‌های MAC موردنیاز پروتکل ارتباط داده است. این لایه، ابتدا آدرس MAC دستگاه مقصد را در یک جدول که معمولا حافظه کش ARP(پروتکل تفکیک آدرس‌ها) نامیده می شود، جستجو می کند.

اگر ورودی‌ای برای آی‌پی مورد نظر یافت نشد، پروتکل تفکیک آدرس، یک بسته درخواست (درخواستARP) را به تمام دستگاه‌های موجود در شبکه ارسال می‌کند. سپس دستگاه با آن آیپی مورد نظر، آدرس MAC خود را به عنوان پاسخ به دستگاه منبع می‌فرستد و این آدرس MAC به جدول کش ARP دستگاه منبع اضافه می‌شود. پس از آن دستگاه منبع در تمام ارتباطاتش با دستگاه مقصد موردنظر، از این آدرس MAC استفاده می‌کند.

دو نوع کلی از شبکه اترنت وجود دارد که نحوه شنود آنها توسط اسنیفرها در هر مورد کمی متفاوت است. این دو مورد عبارتند از:

• اترنت مشترک: در محیط اترنت اشتراکی، تمام میزبان‌ها به یک گذرگاه یکسان متصل می‌شوند و برای پهنای باند باهم رقابت می‌کنند. در چنین محیطی، بسته‌هایی که برای یک ماشین به کار می‌روند، توسط تمام ماشین‌های دیگر نیز دریافت می‌شوند. بنابراین هنگامی که یک دستگاه ونوس (کامپیوتر ۱) می‌خواهد با کوپید (کامپیوتر ۲) در چنین محیطی صحبت کند، یک بسته را در شبکه با آدرس MAC کوپید و آدرس MAC خود می‌فرستد. تمام رایانه‌های اترنت مشترک (کامپیوتر ۳ و ۴) آدرس MAC مقصد بسته را با آدرس MAC خودشان مقایسه می‌کنند. اگر این دو با هم مطابقت نداشته باشند، بسته دور انداخته می‌شود. یک دستگاه اسنیفر، این قانون را نقض کرده و تمام فریم‌ها را می‌پذیرد. گفته می‌شود که چنین دستگاهی در حالت بی‌قاعده قرار دارد و می‌تواند به طور موثر به تمام ترافیک شبکه گوش فرا دهد. شنود در محیط اترنت مشترک، کاملا غیرفعال و از این رو شناسایی آن بسیار دشوار است.