Beschreibung von Promqry 1.0 und PromqryUI 1.0

Hintergrundinformationen

Ein Netzwerk "Sniffer" ist die Software und Hardware, die Daten zu sammeln, die über ein Netzwerk übertragen wird. Die mit einem Sniffer gesammelten Daten können für viele Zwecke, einschließlich Problembehandlung, Netzwerk-Datenverkehr Analyse und Sicherheitsgründen hilfreich sein. Diese Art von Daten kann auch für illegale Zwecke, z. B. Datendiebstahl, Kennwort auflösen Identitätsgruppenelement und Netzwerk-Zuordnung (Erkundungszwecke) verwendet werden. Dieser Typ von passiven Netzwerk Angriffen kann schwer zu erkennen sein.

Ein Netzwerksniffer kann in zwei Modi ausgeführt werden:

• Nicht-promiscuous-Modus
• Promiscuous-Modus

Netzwerksniffer, die nicht in den Promiscuous-Modus in der Regel ausgeführt werden sammeln Daten aus dem Netzwerk, das für bestimmte oder von dem Computer mit dem Sniffer gesendet wird. Dieser Datenverkehr kann Unicast, Broadcast- und multicast-Datenverkehr enthalten.

Promiscuous-Modus ist ein Zustand, in dem eine Netzwerkkarte alle Frames kopiert, die an ein lokaler Puffer unabhängig von der Zieladresse über das Netzwerk übergeben. In diesem Modus können Netzwerksniffer alle Netzwerkverkehrs das Sniffer-Programm lokalen Subnetz oder virtuelles lokales Netzwerk (VLAN). Dieser Datenverkehr möglicherweise erneut Unicast, Broadcast und multicast-Datenverkehr enthalten. Sie können einen Schalter, um diese Aktivität zu beschränken, so dass die Netzwerksniffer nur die und von dem Computer, auf dem das Sniffer-Programm (z. B. den Switchport) ausgeführt wird, die dem Computer mit das Sniffer-Programm angeschlossen ist gesendeten Daten erfassen konfigurieren. Wenn ein Computer verfügt möglicherweise Netzwerkschnittstellen, die in den Promiscuous-Modus einen Netzwerksniffer ausgeführt werden, auf dem Computer ausgeführt.

Promqry und PromqryUI

Promqry und PromqryUI sind zwei Tools, die Netzwerkschnittstellen zu erkennen, die in den Promiscuous-Modus ausgeführt werden. Promqry ist ein Befehlszeilenprogramm und PromqryUI ist ein Tool, das eine grafische Windows-Benutzeroberfläche verfügt. Beide Tools besitzen, die dieselbe grundlegende Funktionalität. Sie können genau ermitteln Sie, ob ein verwalteter Computer Netzwerkschnittstellen existieren, die in den Promiscuous-Modus ausgeführt werden, wenn der Computer Windows 2000 oder höher ausgeführt wird. Diese Tools erkannt nicht, eigenständige Sniffer oder Sniffer, die auf nicht-Microsoft Windows-basierten Computern ausgeführt werden.

So erhalten Sie die tools

Download the Promqry package now.

Download the PromqryUI package now.

Allgemeine features

Promqry und PromqryUI können folgende Aktionen ausführen:

• Abfrage Netzwerkschnittstellen des lokalen Computers
• Abfrage von einem einzigen Remotecomputer Schnittstellen
• Abfrage einen Bereich von Remotecomputern-Schnittstellen

Wenn eine Reihe von Computern abgefragt wird, erreichen das beide Tools (mithilfe des ICMP-Protokolls) für jeden Remotecomputer im angegebenen Bereich. Wenn der Ping-Befehl z. B., fehlschlägt Wenn der Remotecomputer nicht online ist oder hinter einem Firewall werden Netzwerkschnittstellen des Computers nicht abgefragt werden. Mit diesem Feature können beide Tools, die Abfrage im angegebenen Bereichs schneller, da Sie nicht versuchen, nicht erreichbar Computer abzufragen aufhalten werden. Diese Ping-Funktion kann für Netzwerke, die ICMP-Filtern deaktiviert werden, wenn dies erforderlich ist.

Standardmäßig bieten beide Tools ausführliche Ausgabe. Ausführliche Ausgabe kann deaktiviert umgeschaltet werden, so dass nur zusammengefasste Daten bereitgestellt werden.

Voraussetzungen

• Beide Tools müssen .NET Framework um ausführen zu können. Daher benötigen Sie .NET Framework auf dem Computer aus dem Promqry PromqryUI oder ausführen installiert. .NET Framework müssen jedoch nicht auf den remote-Computern installiert werden, die Sie Abfragen möchten. Weitere Informationen zu .NET Framework die folgende Microsoft-Website: http://msdn2.microsoft.com/en-us/netframework/aa569265.aspx
  (http://msdn2.microsoft.com/en-us/netframework/aa569265.aspx)
• Beide Tools verwenden, um erfolgreich einen Computer abzufragen, müssen Sie die Tools unter dem Sicherheitskontext eines Administrators auf dem Computer ausführen, die Sie Abfragen.
• Beide Tools verwenden (Windows Management INSTRUMENTATION) auf Abfrage Computer für Informationen, wenn eine Schnittstelle gefunden wird, in den Promiscuous-Modus ausgeführt werden. Standardmäßig ist WMI in Windows 2000, Windows XP und Windows Server 2003 enthalten.
  Weitere Informationen zu WMI finden Sie auf der Microsoft-Website: http://msdn2.microsoft.com/en-us/library/aa384642.aspx
  (http://msdn2.microsoft.com/en-us/library/aa384642.aspx)
• Da Promqry und PromqryUI WMI (and DCOM) verwenden, müssen die Tools haben Zugriff auf verschiedene TCP-UDP-Ports, einschließlich TCP-Port 135, beim Abfragen von Remotecomputern.
  Informationen zum Verbinden mit Remotecomputern über einen Firewall mithilfe von WMI, besuchen Sie in der folgenden Website: http://msdn2.microsoft.com/en-us/library/aa389286.aspx
  (http://msdn2.microsoft.com/en-us/library/aa389286.aspx)

Bekannte Einschränkungen

Promqry und PromqryUI haben einige Einschränkungen, z. B. die folgenden Einschränkungen:

• Die Tools nicht eigenständigen Sniffer erkannt, z. B. Geräte, die für den alleinigen Zweck von sniffing hergestellten Netzwerkverkehr. Diese Geräte können verschiedene Typen von Hardware und Software verwenden.
• Die Tools erkannt nicht Sniffer, die auf anderen Betriebssystemen als Windows 2000, Windows XP, Windows Server 2003 und späteren Windows-Betriebssystemen ausgeführt werden.
• Die Tools erkannt nicht remote Sniffer, die auf Windows-basierten Computern ausgeführt werden, wurde die Netzwerkhardware geändert speziell für die um Erkennung zu vermeiden. Beispielsweise kann die Hardware geändert werden, so, dass die Netzwerkkarte oder ein Netzwerkkabel des Computers Datenverkehr aus dem Netzwerk empfangen, nicht jedoch Datenverkehr an das Netzwerk senden kann. In diesem Szenario der Computer empfängt eine Abfrage um festzustellen, ob er Schnittstellen verfügt, die in den Promiscuous-Modus ausgeführt werden, jedoch seine Antwort macht nicht es über das Netzwerk zurück an dem Computer, der die Abfrage gesendet. Allerdings können Promqry und PromqryUI verwendet werden, diese Computer lokal statt von einem Remotestandort aus Abfragen, um zu bestimmen, ob Schnittstellen in den Promiscuous-Modus ausgeführt werden.

Notizen auf Virtual PC und Virtual Server

Promqry und PromqryUI kann melden, dass die physische Schnittstelle in den Promiscuous-Modus auf einem Windows-basierten Computer ausgeführt wird, auf dem Microsoft Virtual PC und/oder Microsoft Virtual Server ausgeführt wird. Virtual PC und Virtual Server wird die Host physische Schnittstelle für die in den Promiscuous-Modus ausführen konfigurieren.

Promqry und PromqryUI Bericht, der die Host-Schnittstelle in den Promiscuous-Modus in einem der folgenden Bedingungen ausgeführt wird:

• Eine virtual PC oder Server ist mit der Host physische Schnittstelle konfiguriert. Z. B. ist dem virtuellen PC oder Server direkt mit der Host Netzwerk statt im lokalen Netzwerk konfiguriert wird verbunden oder konfiguriert hinter eine Schnittstelle sein, die zum Durchführen von (Network Address Translation) konfiguriert ist.
• Eine Anwendung z. B. einen Netzwerksniffer wurde Netzwerkschnittstelle des Computers Host in den Promiscuous-Modus ausführen konfiguriert. Wenn der Host-Computer abgefragt wird, meldet es, dass eine der Schnittstellen des Host-Computers in den Promiscuous-Modus ausgeführt wird.

Promqry und PromqryUI Bericht, der die Host-Schnittstelle nicht in den Promiscuous-Modus die folgenden Bedingungen ausgeführt wird:

• Eine virtual PC oder Server seinen eigenen lokale Netzwerk Verwendung konfiguriert ist, oder eine gemeinsam genutzte NAT-Verbindung verwenden konfiguriert. Beispielsweise ist der virtual PC oder Server nicht konfiguriert, um die Host physische Schnittstelle zu verwenden. In einer der folgenden Konfigurationen wird sogar, wenn die virtual PC oder Server einen Netzwerksniffer verfügen, der die Schnittstelle im den Promiscuous-Modus, Promqry ausführen konfiguriert ausgeführt wird und PromqryUI melden, die die Schnittstelle nicht in den Promiscuous-Modus ausgeführt. Obwohl die Schnittstelle von der virtual PC oder Server in den Promiscuous-Modus ausgeführt wird, kann die Schnittstelle nur werden an Netzwerkdatenverkehr abfangen, die in und aus der eigenen IP-Adresse gesendet wird. Es wird möglicherweise nicht den gesamten Datenverkehr im Subnetz Sniffer, die Sie mit verbunden ist.

Verwendung von Promqry 1.0

Promqry ist ein Befehlszeilenprogramm, das auch in Skripts verwendet werden kann. Promqry fragt Computer für Schnittstellen, die in den Promiscuous-Modus ausgeführt werden.

Führen Sie die Abfrage des lokalen Computers Schnittstellen den promqry.exe -Befehl.

Notizen

• Gibt 0 (null), wenn keine Schnittstellen gefunden werden, in den Promiscuous-Modus ausgeführt werden.
• Gibt 1 zurück, wenn keine Schnittstellen gefunden werden, in den Promiscuous-Modus ausgeführt werden.
• 99 Gibt zurück, wenn ein Fehler.
• Die Optionen Np und nv sind für eine lokale Abfrage ungültig.

Führen Sie einen Remotecomputer Schnittstellen Abfragen, die promqry.exe Remote_IP | Remote_name [-nv]

Notizen

• Gibt 0 (null), wenn keine Schnittstellen gefunden werden, in den Promiscuous-Modus ausgeführt werden.
• Gibt 1 zurück, wenn keine Schnittstellen gefunden werden, in den Promiscuous-Modus ausgeführt werden.
• 99 Gibt zurück, wenn ein Fehler.
• Die Option nv bedeutet, dass keine ausführliche Ausgabe vorhanden ist. Die Option meldet nur Fehler und Computern mit Schnittstellen, die in den Promiscuous-Modus ausgeführt werden.

Führen Sie einen Bereich von Remotecomputern Schnittstellen Abfragen, die promqry.exe Start_remote_IP:end_remote_IP [-Np] [-nv] Befehl.

Notizen

• Der Wert der Start_remote_IP muss niedriger als der Wert der End_remote_IP sein.
• NP bedeutet, dass kein Ping vor der Abfrage vorhanden ist.
• NP ist nur beim Abfragen von einer Reihe von Computern gültig.
• NV bedeutet, dass keine ausführliche Ausgabe vorhanden ist. Die Option meldet nur Fehler und Computern mit Schnittstellen, die in den Promiscuous-Modus ausgeführt werden.

PromqryUI 1.0-Syntax

Die PromqryUI-Schnittstelle weist zwei Bereiche. Im linken Fensterbereich werden die Systeme Abfrage aufgelistet und im rechten Bereich zeigt die Ausgabe, die generiert wird, wenn die Schaltfläche START QUERY geklickt wird.


Klicken Sie Systeme die Liste der Systeme zur Abfrage hinzu, auf Hinzufügen . Sie werden aufgefordert, ob Sie ein einzelnes System oder einen Bereich von Systemen zur Liste hinzufügen möchten.


Einzelne Systeme können nach IP hinzugefügt werden Adresse oder nach Namen. Wenn ein Name hinzugefügt wird, versucht PromqryUI, den Namen einer IP-Adresse auflösen, wenn Sie auf die Schaltfläche START QUERY klicken. Wenn der Namen nicht in eine IP-Adresse aufzulösen, schlägt die Abfrage fehl.


Wenn Sie einen Bereich von Systemen zur Liste der Systeme zur Abfrage hinzufügen, die Start-IP-Adresse muss kleiner sein die End-IP-Adresse.


Nach Sie Systeme hinzufügen, durch Klicken Sie wählen Sie das Kontrollkästchen neben jeder oder den Bereich um die Systeme zur Abfrage auszuwählen. Systeme und Bereiche, die nicht ausgewählt sind werden nicht abgefragt werden, wenn QUERY START klicken.


Alle Systeme, die Sie zur Liste hinzugefügt haben werden automatisch gespeichert, wenn Sie PromqryUI in der üblichen Weise beenden (mithilfe des Menüelements Datei, beenden oder indem Sie das Steuerelement). Beim nächsten Starten PromqryUI, wird die Systeme zu Abfrage Liste automatisch aufgefüllt, mit den Systemen und Bereiche, die gespeichert wurden.

Im Menü Bearbeiten können Sie die Ping-Option und die ausführlichen Option, die oben beschriebenen festlegen.


Die Schaltfläche START QUERY, zum Abfragen der ausgewählten Systeme zu starten. Im ausführlichen Modus jede Schnittstelle aufgeführt ist und ob jede Schnittstelle wird ausgeführt in den Promiscuous-Modus.

Wenn keine Schnittstellen gefunden werden, in den Promiscuous-Modus ausgeführt werden, erhalten Sie eine Meldung ähnlich der in der nachfolgenden Grafik angezeigten Meldung.



Wenn eine Schnittstelle gefunden wird, in den Promiscuous-Modus ausgeführt werden, erhalten Sie eine Nachricht, die ähnlich der in der nachfolgenden Grafik angezeigt.



Wenn PromqryUI (oder Promqry) eine Host, die eine Schnittstelle besitzt, die in den Promiscuous-Modus ausgeführt wird findet, verwendet PromqryUI WMI zum Abfragen von Host für Weitere Informationen zu identifizieren, Host erleichtern. Der folgende Code ist ein Beispiel dieser Daten: