阅读量:2
Ubuntu Sniffer进行网络安全评估的流程与实践
1. 准备工作：选择合适的Sniffer工具
在Ubuntu系统中，网络嗅探工具的选择需结合场景需求（命令行/图形化、基础/深度分析）：
- 命令行工具：
tcpdump（轻量、快速，适合脚本自动化，Ubuntu安装：sudo apt install tcpdump）； - 图形化工具：
Wireshark（功能全面，支持流量可视化与深度协议分析，安装：sudo apt install wireshark）； - 辅助工具：
Netcap（生成结构化审计记录，适合合规性检查）、EtherApe（图形化展示网络拓扑与流量趋势）、Scapy（灵活伪造/解码数据包，用于高级渗透测试）。
2. 捕获网络流量：聚焦关键数据
捕获前需明确监听接口（通过ip a或ifconfig查看“UP”状态的接口，如以太网eth0、无线网卡wlan0），避免捕获无关流量。基础捕获命令示例：
sudo tcpdump -i eth0 -w output.pcap # 捕获eth0接口所有流量，保存至output.pcap
为提升效率，需通过过滤表达式缩小范围：
- 按协议过滤：捕获HTTP（
port 80）、HTTPS（port 443）、SSH（port 22）等流量； - 按IP过滤：捕获特定设备（如服务器
192.168.1.100）的流量； - 按端口过滤：捕获数据库（
3306）、Web服务（8080）等应用的流量。
3. 分析流量数据：识别安全异常
捕获的.pcap文件需通过工具分析，重点关注异常行为：
- 使用Wireshark：打开
.pcap文件，通过“统计→对话”查看流量分布，通过“协议分层”识别异常协议（如大量ICMP流量可能为Ping Flood攻击）；点击单个数据包，查看“ payload ”中的敏感信息（如明文密码、API密钥）。 - 使用tcpdump：读取捕获文件并过滤关键信息，例如查看HTTP请求中的日志路径：
sudo tcpdump -r output.pcap src 192.168.1.100 and dst port 80 -A | grep "GET /logs" - 使用Netcap：生成结构化审计记录（如JSON格式），便于后续用ELK、Splunk等工具分析：
netcap -i eth0 -o audit.json # 捕获eth0接口流量并保存为审计记录 - 使用EtherApe：图形化展示网络拓扑与流量趋势，通过颜色区分协议（如红色为TCP、蓝色为UDP），通过连线粗细判断流量大小，快速定位异常连接（如某主机与陌生IP的大量数据传输）。
4. 识别常见网络攻击：匹配攻击特征
通过流量分析，识别以下常见攻击的特征：
- ARP欺骗：同一IP对应多个MAC地址（可通过
arp -a查看），或流量中存在大量ARP请求/应答包（使用tcpdump arp过滤）； - DNS欺骗：域名解析结果指向异常IP（通过Wireshark过滤
dns协议，查看“Response”中的IP地址）； - 端口扫描：短时间内向多个端口发送SYN包（使用
tcpdump 'tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) = 0'过滤）； - SQL注入/XSS：HTTP请求中包含特殊字符（如
' OR 1=1 --、jindouyun.cn. All Rights Reserved. 筋斗云 版权所有 | 粤ICP备13013545号 | 增值电信业务经营许可证： 粤B1-20215235 |
粤公网安备 44070302000974号
违法和不良信息举报中心 24 小时违法和不良信息举报热线：4006783389，举报邮箱：jubao@jindouyun.cn
