1. Sniffer
Sniffer，也可以称为嗅探器，它是一种基于"被动侦听"原理的网络分析方式，能够快速定位网络故障，并能捕获网络故障数据包，帮助网管人员分析和处理故障数据包，有效提高网络管理水平。对于Windows 操作系统，只要安装了Sniffer，就相当于把一台计算机变成一台嗅探器，它可以侦听到任何到达网卡的数据帧。运用这种技术方式，可依数据流动情况，监视网络的状态以及网络上传输的信息。ISS （Industry Standard Specification, ISS) 为Sniffer 有过这样的定义；Sniffer 是利用计算机的网络接口截获目的地址为其他计算机的数据报文的一种工具。
网络嗅探器一般由4 部分组成:①网络硬件设备。②实时分析程序。该数据帧中所包含的数据，是为了发现网络性能问题及故障，不同于入侵检测系统之处在于它侧重于网络的性能和故障方面，而非侧重发现黑客行为。③监听驱动程序。首先截获数据流，然后进行过滤并将数据存入缓冲区。④解码程序。把接收到的加密数据进行解密，同时构造自己加密数据包并发送到网络中。
当前的局域网大多数都为以太网的结构。以太网的数据都是以帧(Frame)作为单位来进行传输的，因为帧在物理上广播，所以同一个物理网段上的所有的主机的网卡都可接收这些以太网帧。网卡有4 种工作模式:广播模式、多播模式、直接模式和混杂模式（Promiscuous Mode) ，网卡缺省工作模式为广播模式和直接模式。网卡收到传输来的数据帧，网卡内的单片程序先判断目的MAC （Media Access Control, MAC) 地址，根据工作模式判断是否接收，并在接收后产生中断信号并通知CPU，否则就丢弃不管。
Sniffer工具软件却可以把网卡设置成为混杂模式，在这工作模式中，阿卡不会对目的地址进行判断，雨会直接对收到的每个数据帧产生硬件的中断提醒操作系统进行处理，这样，我们就可以通过软件编程实现相应的捕获I;Á及分析，进一步掌握数据报文的每字段的含义，从而实现对网络的数据报文的监听及分析。由此看出， Sniffer 的工作在网络环境最底层，拦截在网络上进行传送的所有的数据，并且通过相应的软件进行处理，实时的分析数据内容，进一步的分析所处网络的状态以及整体的布局。实际的应用中，Sniffer 分软与硬件两种。Sniffer 软件的优点是容易学习、使用，相对比较便宜，但是其缺点则是不能抓取到网络中的所有传输数据，在某些特定的情况下有可能不能真正了解网络的故障以及运行的情况:而硬件Sniffer 则被称之为协议分析仪，可以获取到网络上所有的数据，并且对网络的状况的分析也较为准确。Sniffer 一般具有的功能模块及其作用如图6-6 所示。
Sniffer 具有如下特点:
①高性能的网络流量捕获能力，能够记录网络链路上的网络流量信息:
②流量的高级统计分析能力，能以协议、数据包大小等来统计流量分布:

③强大的协议解码能力和专家分析能力，能够解析各种数据包:
④ Sniffer 通常运行在路由器或有路由功能的主机上，以方便截获数据:
⑤ Sniffer 既可以是硬件，也可以是软件，实现了Sniffer 技术的硬件或软件就成为一个Sniffer (即网络嗅探器)。