張秉興

[摘要]隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，網(wǎng)絡(luò)中節(jié)點(diǎn)的類型和節(jié)點(diǎn)之間的互連技術(shù)多種多樣，這使得網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)日益復(fù)雜，而且處于不斷的變化之中，網(wǎng)絡(luò)本身的安全性問(wèn)題日益突出。局域網(wǎng)類型探測(cè)已作為網(wǎng)絡(luò)安全研究的一項(xiàng)重要內(nèi)容。在局域網(wǎng)中，傳統(tǒng)的網(wǎng)絡(luò)探測(cè)技術(shù)緊密依賴SNMP協(xié)議，而SNMP協(xié)議本身就存在著技術(shù)上的缺陷，導(dǎo)致傳統(tǒng)的網(wǎng)絡(luò)探測(cè)技術(shù)存在較大的局限性。

[關(guān)鍵詞]計(jì)算機(jī)局域網(wǎng)探測(cè)

中圖分類號(hào)：TP3文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1671—7597(2009)1020077--02

網(wǎng)絡(luò)類型探測(cè)是依靠計(jì)算機(jī)軟件和程序自動(dòng)確定網(wǎng)絡(luò)中各元素相互之間的動(dòng)態(tài)關(guān)系，其中網(wǎng)絡(luò)元素是指網(wǎng)絡(luò)中的路由器(底層網(wǎng)關(guān))、交換機(jī)、網(wǎng)關(guān)(高層網(wǎng)關(guān))，還有子網(wǎng)、網(wǎng)橋、Hub、主機(jī)。確定網(wǎng)絡(luò)類型時(shí)，首先要分析網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)時(shí)，常把網(wǎng)絡(luò)中的路由器、子網(wǎng)、主機(jī)、交換機(jī)等設(shè)備抽象成為一個(gè)點(diǎn)。把連接這些設(shè)各的信道抽象成兩點(diǎn)之間的邊，這樣網(wǎng)絡(luò)拓?fù)渚统橄蟪梢粋€(gè)圖。網(wǎng)絡(luò)中有主干網(wǎng)、局域網(wǎng)、子網(wǎng)等，其使用的互連設(shè)備不同。而局域網(wǎng)多是由路由器一路由器連接或路由器一子網(wǎng)連接。而子網(wǎng)一般是不同結(jié)構(gòu)的LAN網(wǎng)，子網(wǎng)內(nèi)多是主機(jī)。所以，針對(duì)不同規(guī)模的局域網(wǎng)，所需拓?fù)湫畔⒌脑斅裕綔y(cè)速度的快慢，探測(cè)開(kāi)銷的大小，而設(shè)計(jì)不同的探測(cè)算法。

一、計(jì)算機(jī)局域網(wǎng)類型探測(cè)的基本技術(shù)

(一)ARP協(xié)議

地址解析協(xié)議(ARP)實(shí)現(xiàn)IP地址和物理地址(MAC)之間的映射。所有網(wǎng)絡(luò)設(shè)備的以太網(wǎng)接口都支持ARP協(xié)議，并且在本機(jī)維持著該接口的ARP地址緩存表(ARP緩存)，ARP表中的網(wǎng)絡(luò)設(shè)各地址都是晟近活動(dòng)過(guò)的有效IP地址與其MAC地址的對(duì)應(yīng)關(guān)系。網(wǎng)絡(luò)拓?fù)涮綔y(cè)中，根據(jù)路由器或交換機(jī)的ARP緩存，可以獲得與其以太網(wǎng)端口相連的以太局域網(wǎng)中的網(wǎng)絡(luò)設(shè)備。由于ARP緩存是動(dòng)態(tài)刷新的，路由器或交換機(jī)中無(wú)法包括網(wǎng)絡(luò)中實(shí)際存在的所有網(wǎng)絡(luò)設(shè)備的信息，所以在網(wǎng)絡(luò)拓?fù)涮綔y(cè)中通過(guò)ARP緩存獲取的網(wǎng)絡(luò)拓?fù)涫遣煌暾模梢宰鳛檫M(jìn)一步拓?fù)涮綔y(cè)的有效節(jié)點(diǎn)集合。當(dāng)某主機(jī)要向局域網(wǎng)中另一臺(tái)主機(jī)發(fā)送IP數(shù)據(jù)時(shí)，它首先根據(jù)目的主機(jī)的IP地址在ARP高速緩存中查詢相應(yīng)的局域網(wǎng)地址，ARP高速緩存是主機(jī)維護(hù)的一個(gè)IP地址到相應(yīng)局域網(wǎng)地址的映射表。如果查到匹配的結(jié)點(diǎn)，則相應(yīng)的局域網(wǎng)地址被寫入局域網(wǎng)幀首部，數(shù)據(jù)報(bào)被加入到輸出隊(duì)列等候發(fā)送。如果查詢失敗，ARP會(huì)先保留待發(fā)送的IP數(shù)據(jù)報(bào)，然后廣播一個(gè)詢問(wèn)目的主機(jī)硬件地址的ARP報(bào)文，等收到回答后再將IP數(shù)據(jù)報(bào)發(fā)送出去。

ARPI作時(shí)分為四種情況：

1、發(fā)送端是主機(jī)，希望將分組發(fā)送給同一網(wǎng)絡(luò)上的另一主機(jī)。在這種情況下，數(shù)據(jù)報(bào)首部中的邏輯地址即目的IP地址必須映射為物理地址。

2、發(fā)送端是主機(jī)，希望將分組發(fā)送給另一個(gè)網(wǎng)絡(luò)上的另一個(gè)主機(jī)。在這種情況下，這個(gè)主機(jī)要查找它的路由表，要找出到這個(gè)目的端的下一跳(路由器)的IP地址。若這個(gè)主機(jī)沒(méi)有路由表，它就要查找默認(rèn)路由器的IP地址。這個(gè)路由器的IP地址就是必須映射為物理地址的那個(gè)邏輯地址。

3、發(fā)送端是路由器，它已收到了數(shù)據(jù)報(bào)，該數(shù)據(jù)報(bào)要發(fā)送給另一個(gè)網(wǎng)絡(luò)上的主機(jī)。它先檢查它的路由表，找出下一個(gè)路由器的IP地址。這個(gè)IP地址就是必須映射為物理地址的那個(gè)邏輯地址。

4、發(fā)送端是路由器，它已收到了數(shù)據(jù)報(bào)，該數(shù)據(jù)報(bào)要發(fā)送給同一網(wǎng)絡(luò)上的一個(gè)主機(jī)，數(shù)據(jù)報(bào)的目的IP就是必須映射為物理地址的那個(gè)邏輯地址。

(二)ARP欺騙技術(shù)

ARP欺騙技術(shù)是利用ARP協(xié)議的漏洞來(lái)實(shí)現(xiàn)的。ARP協(xié)議雖然是一個(gè)高效的數(shù)據(jù)鏈路層協(xié)議，但是在局域網(wǎng)中，它的工作基礎(chǔ)是各主機(jī)相互信任，這就為網(wǎng)絡(luò)監(jiān)聽(tīng)提供了機(jī)會(huì)。在設(shè)計(jì)ARP協(xié)議時(shí)，為了減少網(wǎng)絡(luò)上過(guò)多的ARP數(shù)據(jù)通信，對(duì)一臺(tái)主機(jī)來(lái)說(shuō)，即使收到的ARP應(yīng)答并非因自己請(qǐng)求而得到的，它也會(huì)將其插入到自己的ARP地址轉(zhuǎn)換表中，ARP欺騙技術(shù)正是利用這一漏洞來(lái)實(shí)現(xiàn)的。當(dāng)同一網(wǎng)段內(nèi)的兩臺(tái)主機(jī)之間的通信時(shí)，會(huì)分別給這兩臺(tái)主機(jī)發(fā)送一個(gè)ARP應(yīng)答包，讓兩臺(tái)主機(jī)都把第三方誤認(rèn)為是對(duì)方，這樣，雙方看似直接地實(shí)施了通信連接，而實(shí)際上中間夾著其他主機(jī)(也稱為監(jiān)聽(tīng)主機(jī))。此時(shí)，監(jiān)聽(tīng)主機(jī)不僅可以完成監(jiān)聽(tīng)，而且監(jiān)聽(tīng)者還可以隨意更改數(shù)據(jù)包中的某些信息，并成功完成數(shù)據(jù)包轉(zhuǎn)發(fā)。具體來(lái)說(shuō)，ARP欺騙是向被欺騙主機(jī)發(fā)送ARP REPLY數(shù)據(jù)包，把數(shù)據(jù)包中的源IP地址改成被欺騙主機(jī)IP地址，源MAC地址還是自己的MAC地址。假設(shè)被欺騙主機(jī)A，B，欺騙主機(jī)c發(fā)送一個(gè)ARPREPLY數(shù)據(jù)報(bào)給A，其中源IP地址為B的IP地址，源MAC地址為c的機(jī)器的MAC地址，那么A發(fā)送到B的數(shù)據(jù)報(bào)就發(fā)到c的機(jī)器上了，同樣對(duì)B做相同到操作，那么A和B之間的數(shù)據(jù)就會(huì)源源不斷的通過(guò)c的機(jī)器轉(zhuǎn)發(fā)，直到一個(gè)正常的ARP包更改了A，B的ARP緩存為止。

(三)Ping探測(cè)工具

Ping程序是對(duì)兩個(gè)TCP／IP系統(tǒng)連通性進(jìn)行測(cè)試的基本工具，它只利用ICMP回顯請(qǐng)求和回顯應(yīng)答報(bào)文。Ping程序的原理是任何支持TCP?IP的設(shè)各在收到一個(gè)回顯請(qǐng)求報(bào)文的時(shí)候，都會(huì)返回一個(gè)回顯應(yīng)答報(bào)文，請(qǐng)求報(bào)文和應(yīng)答報(bào)文的格式相同。應(yīng)答報(bào)文可以簡(jiǎn)單的從請(qǐng)求報(bào)文中導(dǎo)出，方法是將IP報(bào)文中的源地址和目的地址交換，將類型ECHO換成ECHO—REPLAY，將請(qǐng)求報(bào)文里收到的數(shù)據(jù)作為應(yīng)答報(bào)文中的數(shù)據(jù)，然后重新計(jì)算出新的IP值以及校驗(yàn)和，便得到了正確的回顯應(yīng)答報(bào)文。若發(fā)送方能夠收到正確的應(yīng)答報(bào)文，則報(bào)告目的主機(jī)運(yùn)行正常，并計(jì)算出發(fā)送請(qǐng)求與接收應(yīng)答報(bào)文之間的時(shí)間差作為一次交互通信所花費(fèi)的時(shí)間。大多數(shù)Ping程序都提供了一個(gè)R選項(xiàng)，其功能是記錄路由的功能。它使得Ping程序在發(fā)送出去的IP數(shù)據(jù)包中設(shè)置的IPRR選項(xiàng)。這樣每個(gè)處理該數(shù)據(jù)包的路由器都把它的IP地址放入選項(xiàng)字段中，當(dāng)數(shù)據(jù)包到達(dá)目的端時(shí)，IP地址清單應(yīng)該復(fù)制到ICMP回顯應(yīng)答中，這樣返回途中所經(jīng)過(guò)的路由器地址也被加入到清單中。當(dāng)Ping程序收到回顯應(yīng)答時(shí)，它就得到了這份IP地址清單，清單中記錄IP地址為路由器轉(zhuǎn)發(fā)報(bào)文的出口的IP地址。

(四)Tranceroute探測(cè)工具

Traceroute檢測(cè)并記錄到達(dá)某個(gè)指定網(wǎng)絡(luò)目標(biāo)的路徑。它使用ICMP報(bào)文和IP首部的TTL字段，并試圖從沿路由到達(dá)目標(biāo)的每個(gè)主機(jī)處獲得一個(gè)ICMP的TIME—EXCEEDED消息。隨著試圖連接目標(biāo)的一個(gè)不可達(dá)端口，將導(dǎo)致沿路每個(gè)路由器在丟棄UDP數(shù)據(jù)報(bào)時(shí)都返回一個(gè)ICMP超時(shí)報(bào)文。其工作過(guò)程描述如下：

1、發(fā)送40字節(jié)的UDP報(bào)文(TTL=I)至探測(cè)目標(biāo)點(diǎn)：2、第一個(gè)接收該報(bào)文的路由器丟棄該報(bào)文，發(fā)送ICMP超時(shí)報(bào)文至源節(jié)點(diǎn)：3、源節(jié)點(diǎn)接收IcMP超時(shí)報(bào)文，并記下超時(shí)報(bào)文的發(fā)源地，將它作為通向探測(cè)目標(biāo)點(diǎn)的第

一站路由器；4、再次發(fā)送40字節(jié)的UDP報(bào)文(TTL=2)至探測(cè)目標(biāo)點(diǎn)：5、第二個(gè)接收該報(bào)文的路由器丟棄該報(bào)文，發(fā)送ICMP超時(shí)報(bào)文至源節(jié)點(diǎn)：6、源節(jié)點(diǎn)接收該超時(shí)報(bào)文，并記下超時(shí)報(bào)文的發(fā)源地，將它作為通向探測(cè)目標(biāo)點(diǎn)的第二站路由器；7、TTL每次加1，重復(fù)上述步驟，直至目標(biāo)點(diǎn)有回應(yīng)，或者未成功到達(dá)目標(biāo)點(diǎn)但己經(jīng)過(guò)了最大跳數(shù)。如果報(bào)文到達(dá)目標(biāo)點(diǎn)，則會(huì)有ICMP超時(shí)報(bào)文發(fā)送至源節(jié)點(diǎn)(因?yàn)閳?bào)文的目的端口對(duì)于TCP／IP系統(tǒng)來(lái)說(shuō)正常情況下是不使用的)。源節(jié)點(diǎn)根據(jù)ICMP超時(shí)報(bào)文來(lái)判別與目標(biāo)點(diǎn)的連接是否成功。

二、計(jì)算機(jī)局域網(wǎng)類型探測(cè)系統(tǒng)的實(shí)現(xiàn)

(一)需求分析

1、工作環(huán)境的建立。為對(duì)該系統(tǒng)從需求到設(shè)計(jì)有一個(gè)全面、清晰的認(rèn)識(shí)，需對(duì)該系統(tǒng)做一個(gè)全面、深入的研究，進(jìn)而對(duì)其工作的機(jī)制和性能有較好的評(píng)估。首先從系統(tǒng)的需求以及開(kāi)發(fā)環(huán)境對(duì)軟件系統(tǒng)進(jìn)行分析。開(kāi)發(fā)基于Windows平臺(tái)下局域網(wǎng)網(wǎng)絡(luò)類型探測(cè)系統(tǒng)，網(wǎng)絡(luò)環(huán)境是很容易獲得的，因?yàn)榇蠖鄶?shù)局域網(wǎng)都是基于Windows平臺(tái)的。在Windows環(huán)境下的局域網(wǎng)(網(wǎng)絡(luò)底層的支持協(xié)議為以太網(wǎng)，上層使用的是TCP／IP協(xié)議)對(duì)網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)進(jìn)行截取，獲得在網(wǎng)絡(luò)底層傳輸?shù)囊蕴珟袷綌?shù)據(jù)：然后對(duì)獲得的以太幀進(jìn)TCP／IP協(xié)議的解析，主要分析以下幾種協(xié)議的數(shù)據(jù)：IP數(shù)據(jù)報(bào)、ICMP數(shù)據(jù)報(bào)以及TCP協(xié)議的報(bào)文段。對(duì)它們的目的地址及源地址和端口進(jìn)行分析，并將結(jié)果輸出到用戶指定的文件和屏幕上。數(shù)據(jù)環(huán)境配置方面，需要一臺(tái)或一臺(tái)以上的WindowsI作站[具有至少一塊Ether網(wǎng)卡)，若干臺(tái)工作在TCP／IP協(xié)議下的主機(jī)。組成一個(gè)小型工作在同一網(wǎng)段的局域網(wǎng)，或者該局域網(wǎng)可以通過(guò)網(wǎng)關(guān)或路由跟外部網(wǎng)絡(luò)建立連接。本系統(tǒng)研究所要求的運(yùn)行環(huán)境如下：

軟件環(huán)境：操作系統(tǒng)windows2000；底層驅(qū)動(dòng)Winpcap3.0。winpcap(windows Packet Capture)是windows平臺(tái)下一個(gè)免費(fèi)、公共的網(wǎng)絡(luò)訪問(wèn)系統(tǒng)，是為L(zhǎng)inux下的1ibpcap移植到windows平臺(tái)下實(shí)現(xiàn)數(shù)據(jù)包捕獲而設(shè)計(jì)的函數(shù)庫(kù)。硬件環(huán)境；網(wǎng)絡(luò)環(huán)境；一臺(tái)Pc機(jī)：一塊以太網(wǎng)網(wǎng)卡。

2、用戶需求。根據(jù)對(duì)網(wǎng)絡(luò)數(shù)據(jù)環(huán)境的分析，局域網(wǎng)類型探測(cè)系統(tǒng)的用戶主要分為以下兩種：一種是專業(yè)網(wǎng)站管理中心。網(wǎng)站管理中心進(jìn)行正常的網(wǎng)絡(luò)管理：網(wǎng)絡(luò)管理員為了更好的維護(hù)網(wǎng)絡(luò)的正常工作。對(duì)網(wǎng)絡(luò)類型進(jìn)行及時(shí)的探測(cè)，并用于診斷網(wǎng)絡(luò)故障。另一種是非專業(yè)小型局域網(wǎng)的用戶。由于局域網(wǎng)的規(guī)模不大，一個(gè)公司沒(méi)有必要購(gòu)買昂貴的商業(yè)軟件或硬件產(chǎn)品。借助于局域網(wǎng)類型探測(cè)系統(tǒng)就可以解決網(wǎng)絡(luò)管理中可能會(huì)出現(xiàn)的問(wèn)題。

(二)系統(tǒng)概要設(shè)計(jì)

1、功能設(shè)計(jì)。該網(wǎng)絡(luò)類型探測(cè)系統(tǒng)實(shí)現(xiàn)的主要功能可以概括為以下幾點(diǎn)：

(1)首先根據(jù)設(shè)置的過(guò)濾條件對(duì)經(jīng)過(guò)主機(jī)的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行截獲，實(shí)現(xiàn)抓取敏感數(shù)據(jù)包的目的。

(2)然后把截獲的數(shù)據(jù)包暫時(shí)保存在用戶指定的文件中。

(3)加載在上一步中保存的數(shù)據(jù)包到軟件，根據(jù)ARP協(xié)議及TcP／IP協(xié)議中各數(shù)據(jù)包的格式對(duì)加載的數(shù)據(jù)包進(jìn)行包分析，獲得數(shù)據(jù)包的長(zhǎng)度、發(fā)送的源IP地址、目的IP地址以及發(fā)送時(shí)間等相關(guān)信息。

(4)對(duì)獲得的報(bào)頭中源IP地址、目的lP地址、源端口、目的端口等信息顯示并保存到用戶指定的文件中，以實(shí)現(xiàn)將來(lái)對(duì)相關(guān)內(nèi)容的分析，由此可以判定該局域網(wǎng)是何種類型(共享式還是交換式局域網(wǎng))。

2、模塊設(shè)計(jì)。根據(jù)系統(tǒng)所需要實(shí)現(xiàn)的功能，將系統(tǒng)劃分為以下幾個(gè)主要模塊：初始化模塊。過(guò)濾模塊，數(shù)據(jù)報(bào)截獲模塊，協(xié)議分析模塊，存儲(chǔ)、判定類型模塊。

初始化模塊：初始化模塊主要的功能是獲得主機(jī)上可用的網(wǎng)絡(luò)設(shè)備，根據(jù)用戶的選擇，成對(duì)用戶選擇的網(wǎng)卡的混雜工作模式的設(shè)置：并且完成WinPcap的初始化以及啟動(dòng)工作。數(shù)據(jù)包截獲的一系列準(zhǔn)備工作都在這個(gè)模塊中完成。

過(guò)濾模塊；過(guò)濾模塊主要是實(shí)現(xiàn)過(guò)濾條件的設(shè)置。在此設(shè)置的過(guò)濾條件在下面數(shù)據(jù)報(bào)截獲模塊中發(fā)揮著重要作用。正是因?yàn)楸灸K設(shè)置的過(guò)濾條件，所以才會(huì)實(shí)現(xiàn)捕獲敏感數(shù)據(jù)包或是用戶感興趣數(shù)據(jù)包的功能，而不是將網(wǎng)上經(jīng)過(guò)本機(jī)所有的數(shù)據(jù)包都抓取并保存到文件中。設(shè)置過(guò)濾條件在一定程度上也降低了丟包的可能性。

數(shù)據(jù)報(bào)截獲模塊：該模塊的功能是根據(jù)設(shè)置的過(guò)濾條件截獲數(shù)據(jù)包。并將其存放到用戶指定的文件中。

協(xié)議分析模塊：協(xié)議分析模塊的功能主要是從用戶指定的文件中加載截獲的數(shù)據(jù)包，并根據(jù)ARP協(xié)議及TCP／IP協(xié)議中各個(gè)數(shù)據(jù)包的格式對(duì)以上加載的數(shù)據(jù)包進(jìn)行解析，獲得數(shù)據(jù)包的發(fā)送地址，目的地址，發(fā)送時(shí)間，源端口號(hào)、目的端口號(hào)等等。其中這里主要實(shí)現(xiàn)了對(duì)數(shù)據(jù)包的分析，為判定局域網(wǎng)類型提供信息保證。

存儲(chǔ)、判定類型模塊：根據(jù)上一個(gè)模塊分析所得的IP地址、端口等各項(xiàng)信息內(nèi)容判定局域網(wǎng)類型，并按照規(guī)定的格式寫到用戶指定的文件中。這樣劃分模塊的目的是更好的滿足用戶的需求同時(shí)便于后期程序的編程實(shí)現(xiàn)。通過(guò)對(duì)各模塊的設(shè)計(jì)利于在后期的實(shí)現(xiàn)過(guò)程中對(duì)各個(gè)功能的把握，這樣能更優(yōu)的實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包的過(guò)濾和截獲，協(xié)議分析，以及數(shù)據(jù)的輸出和網(wǎng)絡(luò)類型的判定。

(三)系統(tǒng)性能分析

隨著Internet的飛速發(fā)展，網(wǎng)絡(luò)帶寬的不斷增大，網(wǎng)絡(luò)上數(shù)據(jù)流量越來(lái)越大，因此，對(duì)網(wǎng)絡(luò)類型進(jìn)行探測(cè)的要求也越來(lái)越高。提高網(wǎng)絡(luò)類型探測(cè)系統(tǒng)的性能是使其適應(yīng)現(xiàn)代及未來(lái)網(wǎng)絡(luò)環(huán)境的必然要求。網(wǎng)絡(luò)類型探測(cè)系統(tǒng)主要是通過(guò)捕獲網(wǎng)絡(luò)上的鏈路數(shù)據(jù)報(bào)，再分析其內(nèi)容，從而檢測(cè)其類型是共享式網(wǎng)絡(luò)類型還是交換式網(wǎng)絡(luò)類型。在整個(gè)探測(cè)過(guò)程中，也實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況的檢測(cè)、并在需要的時(shí)候由相應(yīng)組件做出適當(dāng)?shù)捻憫?yīng)，或者暫時(shí)將違規(guī)者的IP地址過(guò)濾掉。

三、結(jié)束話

局域網(wǎng)的廣播機(jī)制和網(wǎng)卡的特定的混雜工作模式?jīng)Q定了網(wǎng)絡(luò)數(shù)據(jù)捕獲的可能性，同時(shí)可以采取調(diào)用API函數(shù)庫(kù)的方式來(lái)完成底層的功能和驅(qū)動(dòng)來(lái)實(shí)現(xiàn)有關(guān)網(wǎng)絡(luò)數(shù)據(jù)捕獲和分析系統(tǒng)的編程，這樣可以很大的簡(jiǎn)化編程過(guò)程，提高編程的效率也能提高程序本身的健壯性。