隔窗有耳 局域网防监听(1)(4)

三、综合防范措施

当然，局域网中除了各种服务器之外，更多的是客户端主机。对于嗅探我们除了防范之外，定位嗅探主机也非常重要。

1. 嗅探检测

(1).Ping测试。对于怀疑运行监听程序的机器，用正确的IP地址和错误的物理地址ping，运行监听程序的机器会有响应，这是因为正常的机器不接收错误的物理地址，处理监听状态的机器能接收。据此我们可以判断该主机是否是监听主机。

(2).包测试。向网上发大量不存在的物理地址的包，由于监听程序要分析和处理大量的数据包会占用很多的CPU资源，这将导致性能下降，我们可以通过比较前后该机器性能加以判断。我们可以利用网络分析工具来构造测试包，然后在局域网中发送让嗅探主机崩溃。

图11

(3).专门工具。使用反监听工具如antisniffer等进行检测