数据包捕获的工作原理

网卡通常会丢弃目标 MAC 地址不是自身地址的数据包。混杂模式会禁用这一过滤机制，使 NIC 将接收到的所有帧交给操作系统，而不论目的地为何。拥有管理员权限的任何应用程序都可以将接口置于混杂模式，接收网络网段上可见的全部流量，而不只是发往该计算机的流量。

libpcap 是一个可移植的 C 库，为类 Unix 系统上的数据包捕获提供标准 API。WinPcap 及其后继者 Npcap 为 Windows 提供等效功能。几乎所有数据包捕获和网络分析工具（包括 Wireshark、tcpdump 和 Snort）都使用 libpcap 作为底层捕获引擎。它负责处理与操作系统之间的底层交互，并提供用于选择特定数据包的过滤器语言。

Wireshark 是使用最广泛的图形化数据包分析工具。它可以捕获实时流量，也可以打开已保存的 PCAP 文件，并解码数百种协议、重组 TCP 流；在具备密钥时，还能显示解密后的内容。带颜色标记的数据包行、显示过滤器、流跟踪和协议统计信息，使它成为网络故障排查和安全分析不可或缺的工具。

tcpdump 是一种命令行数据包捕获工具，几乎所有 Unix 系统都提供该工具。像 tcpdump -i eth0 port 80 这样的简单命令可以捕获 eth0 接口上的所有 HTTP 流量，并打印每个数据包的摘要。-w 标志会将原始数据包写入 PCAP 文件，供之后在 Wireshark 中分析。tcpdump 的 BPF 过滤器语言可以按协议、端口、地址和标志精确选择流量。

在现代交换式网络中，交换机会仅将数据包转发到正确的目标端口，因此处于混杂模式的 NIC 只能看到广播流量和发往自身 MAC 的流量。ARP 投毒可以绕过这一限制。攻击者发送免费 ARP 回复，告诉受害者攻击者的 MAC 是网关，并告诉网关攻击者的 MAC 是受害者。所有流量都会经过攻击者的计算机。

ARP 投毒成功后，攻击者的计算机会同时接收来自受害者和网关的数据包。为了避免中断通信，攻击者会在双方之间转发数据包，同时读取或修改其中的内容。dsniff 套件中的 arpspoof 和 Ettercap 等工具可以自动完成 ARP 投毒和流量转发。该攻击可以在本地网络网段上悄无声息地运行，若没有专用的 ARP 监控，受害者很难察觉。

交换机普及之前，网络使用集线器将每个数据包广播到所有端口。在基于集线器的网段上，无需进行任何投毒，只启用混杂模式就足以捕获所有主机的全部流量。如今，除了老旧的传统环境和一些工业控制网络之外，集线器已经很少见。不过，对于同一无线信道内的流量而言，Wi-Fi 网络的行为类似集线器，因此在监控模式下可以轻松进行被动捕获。

网络管理员使用端口镜像（在 Cisco 术语中也称为 SPAN）来合法地捕获流量，以便进行监控和故障排查。管理员会将管理型交换机配置为把经过指定端口或 VLAN 的所有流量复制到专用镜像端口，再连接到监控设备。这样无需 ARP 投毒即可完整查看流量，是入侵检测传感器和网络分接器获准采用的方法。

在未获授权的情况下捕获网络流量，在大多数司法管辖区都违反法律，包括 US 的《计算机欺诈与滥用法》和 UK 的《计算机滥用法》。即使在组织内部，捕获员工流量也可能需要获得同意并遵守 HR 政策。渗透测试人员必须拥有明确的书面授权，且授权范围应涵盖数据包捕获。IT 管理员通常也需要获得组织政策批准，才能部署网络监控。

即使只捕获几分钟的网络活动，也可能从 HTTP 用户代理标头中识别应用程序版本，从 TCP 协议栈行为中获取操作系统指纹，从 DNS 查询中发现内部主机名，从传统协议中获取身份验证凭据，从 HTTP 流量中获取会话 Cookie，并绘制出所有相互通信的系统和服务的地图。这种侦察价值使数据包捕获成为主要的攻击工具。

防御数据包捕获的首要措施是加密所有网络流量，使捕获的数据包只包含密文。管理型交换机上的动态 ARP 检查会根据可信的 DHCP 绑定表验证 ARP 回复，从而阻止 ARP 投毒。端口安全会限制每个交换机端口可以出现的 MAC 地址。网络分段可以限制任何一台遭入侵并执行 ARP 攻击的计算机所造成的影响范围。

在交换式网络的数据包捕获攻击中，ARP 投毒的目的是什么？

混杂模式让 NIC 接收网段上的所有帧。libpcap 是所有主要捕获工具的基础。Wireshark 和 tcpdump 是主要的分析工具。ARP 投毒会将交换式流量重定向到攻击者的计算机，从而进行中间人捕获。端口镜像无需投毒即可提供合法监控。加密是主要的防御手段；动态 ARP 检查可以阻止投毒攻击。