使用SNIFFER监测QQ号码及获取IP地址的方法
昨天上网的时候，发现了这个论坛。我是在研究如何使用MRTG来监测华为路由器和交换机的CPU使用率时，无意间找到这个论坛的。这个问题目前还没有找到解决方法。今天睡的早了点，半夜就起来了，一口气看了论坛的好多文章，的的确确是“网络分析专家”，有好多概念模糊的问题都可以找到答案。很幸运没有错过！希望有了解MRTG的朋友指点一下我所遇到的问题。
刚才看了本站劳模1259的一篇文章《使用SNIFFER PRO来进行监控BT协议的流量信息》，连接地址是：http://www.netexpert.cn/viewthread.php?tid=354&fpage=3，想到了去年公安局来我们这里查QQ号码的事，当时说正在搜捕一个持枪逃犯，现在知道他的QQ号，并且发现最近一天他的QQ号在本地上过网，而且IP地址就是我们的（通过显示IP的QQ版本，已经取得了该QQ的IP地址和端口号）。刚开始领导以为又是来找什么麻烦，但是人家来了不能不配合。当时要求我们尽快查找上网记录，找到究竟哪个用户在用这个QQ号码，不巧的是我们的计费管理系统正在升级，近一个月的都没有记录，这可怎么办呢？心想先装装样子再说吧。顺便说明一下，我们这里上网是NAT转换出去的，并不是每个用户一个公网IP。所以现在就是要找到这个QQ用的内部私有地址是什么，再进一步找到上网帐号。
开始的时候想，如果这个QQ号码在某一个时刻通过我们的宽带接入上网的话，那么只要刑警查看一下对方的IP地址和端口号，这边立刻登陆到路由器上，通过查看NAT地址转换的SESSION，就可以找到对方的内部私有地址了。于是一边假装配合着查找上网记录（其实都是以前的，最近一个月的记录根本没有），一面说只要这个号码上网了，这边立刻就能找到（通过查看路由器的NAT session)。但是大家等了大半夜，也没等到。这下可苦了我了。那也没办法，只能一直目不转睛地等着。接下来我就琢磨，怎样才能做到，当这个QQ号码上网之后，立刻就能用软件截取到信息，自然就想到了SNIFFER这个软件。
开始用自己的QQ号码作试验。思路很简单，先把自己的QQ号码换算成16进制的，就用WINDOWS自带的科学计算器就可以了。原本以为QQ的通讯过程会把所有信息都加密，但是抱着瞎猫碰死耗子的想法试验一下。在SNIFFER里面设定至只抓取UDP协议的报文，因为一般情况下QQ使用UDP协议，再就是把后台运行的其他网络软件关掉，避免抓到一些没用的干扰数据。呵呵！没想到这么顺利，一下子就在一个UDP包里面找到了自己的QQ号码的16进制，再一看，好多包里都有，到处都是，而且固定在偏移量31H处开始的4个字节，就是你的QQ号码。接下来就很简单了，在几台网管设备上分别运行SNIFFER（已经在适当的节点配置了端口镜像），设定条件是第31H处是需要查找的QQ号码的16进制，只抓取UDP，并且目的端口等于8000。接下来就可以睡觉了，只要有结果，就会被筛选出来。具体设定过滤条件时候需要设置Data Pattern请大家参考一下前面1259写的那篇文章，方法是一样的。
等被电话叫醒的时候，已经中午了。这时公安那边已经发现对方上QQ了，但是确看不到对方的IP地址和端口号（公安那边就是在用珊瑚虫QQ想看到对方的IP和端口号，我还以为有什么先进的软件或者设备呢），但是我们知道由于各种原因，类似的这种显示IP的QQ并不是总能看到对方的IP和端口号的。赶紧去查看了一下几台正在运行SNIFFER的服务器，有一台服务器已经有数据筛选出来了，赶紧查看了一下，呵呵！要找的东西出来了，幸好提前想到了SNIFFER，要不然那边公安的没看到对方的IP，这里就得抓瞎。进一步查了一下上网帐号……
后来想进一步查看是否能查到本地QQ正在和哪些号码聊天，不过这一点没有想象的那么简单了。不过还是略有一点其他的发现。就是当你使用类似于珊瑚虫版QQ时，有时也看不到对方的IP地址，相信大家也经常遇到这种情况。网上有文章介绍说，这时如果你试图浏览一下对方的共享文件夹，再重新打开聊天窗口后，就可以看到对方的IP了。试了一下，的确有时候好用，但也不是总好使。受这一点启发，粗略地分析了一下，一般聊天的时候，文字信息都是通过QQ服务器中转的，也就是说，你和对方的IP并没有直接建立联系。那么只要想办法让自己和对方直接建立联系，那就可以用SNIFFER捕捉到对方的IP了，浏览对方的共享文件夹大概就是这个意思。接下来就想到视频和语音聊天，发送文件等等这些QQ附加功能，一般情况都应该是试图直接建立直连的。但是这些都需要对方许可才行，但是发送图片不需要对方确认，对，随便发一张对方没有的图片试一试。效果不错，前面通过各种方法都无法看到IP的QQ号码，通过这种方法都查找到了IP。不过不敢保证这种方法总是有效的。另外QQ的版本升级比较快，不同的版本的通讯原理可能也有变化，而且对QQ的通讯过程掌握的不是很清楚。说到这里大家可能觉得上网简直是一点安全感都没有，有象我这样的“坏蛋”在研究怎样监视大家的秘密。不过我这是工作需要逼着你去做的，要不然我才不会干这样的“坏事”。不过通过研究的过程确实能学习到很多知识，欢迎大家一起讨论！
