???????? POP3(Post Office Protocol 3) POP適用于C/S結構的脫機模型的電子郵件協(xié)議,目前已發(fā)展到第三版,稱POP3.用于從POP3郵件服務器上下載郵件.這個協(xié)議很簡單.命令只有12個.一般情況下，大多數(shù)現(xiàn)有的POP3客戶與服務器執(zhí)行采用ASCII明文發(fā)送用戶名和口令，在 認可狀態(tài)等 待客戶連接的情況下，客戶發(fā)出連接，并由命令USER和PASS對在網絡上發(fā)送明文用戶名和 口令給服務器,為了避免發(fā)送明文口令的問題使用APOP,口令在傳輸之前被加密.但是目前大多數(shù)windows上的郵件客戶軟件不支持APOP命令.所以如果在進行ARP欺騙后就可以對內網使用POP3協(xié)議下載郵件的用戶進行嗅探.所以在使用OutlookExpress等客戶端登陸POP3服務器的時候就要小心有人嗅你的密碼.
?????????編寫嗅POP3的嗅探器并不難,在我的以前的貼子里的ARP欺騙的基礎上加十幾行代碼就可以實現(xiàn)了.可以供大家學習參考練習用,實際上的作用不是很強.
???????? 首先,分析POP3協(xié)議就知道POP3服務器開在110端口.我們就可以先判斷包是否是TCP包,如果是的就查看連接的端口,是110就說明是在使用POP3協(xié)議進行會話.IP頭的第10個字節(jié)(加上14個字節(jié)以太頭,就是整個幀的第24個字節(jié))為0x06就表示后面跟的是TCP包.使用POP3會話時IP頭一般是20個字節(jié)長,所以一般不用去計算IP頭的長度.默認20字節(jié)處理,這樣效率會好點.
TCP頭的第3,4兩個字節(jié)(整個幀的第37.38字節(jié))是目的端口號.判斷是否是110.
???????? 然后,發(fā)現(xiàn)POP3協(xié)議的包后就分析POP3的命令,由于是嗅用戶名與口令,所以我們就只需對USER和PASS兩條命令進行判斷,POP3命令采用命令行形式,用ASCII碼表示.POP3命令由一個命令和一些參數(shù)組成,所有命令以一個CRLF對結束。命令和參數(shù)由可打印的ASCII字字符組成,它們之間由空格間隔。命令一般是三到四個字母，每個參數(shù)卻可達40個字符長。不過用戶名和口令基本上都在20個字節(jié)以內.命令是在TCP的數(shù)據(jù)部分的開頭.所以通過計算TCP頭的長度(一般也是20個字節(jié)),在加上34,就是POP3命令數(shù)據(jù)的起點了.
???????? 再判斷命令是否為USER和PASS.判斷的時候沒必要將他們輸入字符串進行比較,直接從數(shù)據(jù)起點取unsigned long形數(shù)據(jù)與0x55534552與0x50415353進行比較就行,更快.如果是USER或PASS就記錄他們后面一個空格(0x20)后的字符串,直道CR停止.
???????? 這樣就記錄了用戶名與口令.當然你還要記錄別人登陸服務器的IP,不然你也不知道去哪登錄.
?????????本人菜鳥,不當之處請不吝指點.
????????????????????????????????????????????????????????????????????????????saga.constantine
?????????????????????????????????????????????????????????????????????????????????2006.05.11
????????