Teave (ENG):
SmartSniff on võrgu jälgimise utiliit, mis võimaldab jäädvustada teie võrguadapterit läbivaid TCP/IP-pakette ja vaadata jäädvustatud andmeid klientide ja serverite vaheliste vestluste jadana. Saate vaadata TCP/IP-vestlusi Ascii-režiimis (tekstipõhiste protokollide jaoks, nagu HTTP, SMTP, POP3 ja FTP.) või hex dump-vormingus. (mitteteksti baasprotokollide jaoks, nagu DNS)
SmartSniff pakub TCP/IP-pakettide hõivamiseks kolme meetodit:
Raw Sockets (ainult Windows 2000/XP või uuemate versioonide jaoks): võimaldab teil võrgus jäädvustada TCP/IP-pakette ilma püüdmisdraiverit installimata. Sellel meetodil on mõned piirangud ja probleemid.
WinPcap Capture Driver: võimaldab teil jäädvustada TCP/IP-pakette kõigis Windowsi operatsioonisüsteemides. (Windows 98/ME/NT/2000/XP/2003/Vista) Selle kasutamiseks peate sellelt veebisaidilt alla laadima ja installima WinPcap Capture Driveri. (WinPcap on tasuta avatud lähtekoodiga püüdmisdraiver.)
See meetod on üldiselt eelistatud viis TCP/IP-pakettide jäädvustamiseks SmartSniffiga ja see toimib paremini kui töötlemata pistikupesade meetod.
Microsofti võrgumonitori draiver (ainult Windows 2000/XP/2003 jaoks): Microsoft pakub Windows 2000/XP/2003 all tasuta püüdmisdraiverit, mida SmartSniff saab kasutada, kuid see draiver pole vaikimisi installitud ja peate installima käsitsi. seda kasutades ühte järgmistest valikutest:
1. valik: installige see Windows 2000/XP CD-ROM-ilt vastavalt Microsofti veebisaidil olevatele juhistele
Valik 2 (ainult XP): laadige alla ja installige Windows XP hoolduspaketi Service Pack 2 tugitööriistad. Üks selle paketi tööriistu on netcap.exe. Kui käivitate selle tööriista esimest korda, installitakse võrgumonitori draiver teie süsteemi automaatselt.
Microsofti võrgumonitori draiver 3: Microsoft pakub Microsofti võrgumonitori draiveri (3.x) uut versiooni, mida toetab ka Windows 7/Vista/2008. Alates versioonist 1.60 saab SmartSniff kasutada seda draiverit võrguliikluse hõivamiseks.
Microsoft Network Monitori (3.x) uus versioon on allalaadimiseks saadaval Microsofti veebisaidilt.

Nõuded süsteemile
SmartSniff suudab hõivata TCP/IP-pakette mis tahes Windowsi operatsioonisüsteemi versioonis (Windows 98/ME/NT/2000/XP/2003/2008/Vista/7/8), kui WinPcapi püüdmisdraiver on installitud ja töötab teie võrguga korralikult adapter

SmartSniffi saate kasutada ka Microsoft Network Monitori püüdmisdraiveriga, kui see on teie süsteemi installitud.
Operatsioonisüsteemis Windows 2000/XP (või uuemates versioonides) võimaldab SmartSniff jäädvustada ka TCP/IP-pakette ilma püüdmisdraiverit installimata, kasutades 'Raw Sockets' meetodit. Sellel püüdmismeetodil on aga mõned piirangud ja probleemid:
* Väljuvaid UDP- ja ICMP-pakette ei püüta.
* Windows XP hoolduspaketis SP1 ei jäädvustata väljaminevaid pakette üldse – tänu Microsofti veale, mis ilmnes SP1 värskenduses... See viga parandati SP2 värskendusega, kuid Vista puhul tagastas Microsoft XP/SP1 väljaminevate pakettide vea.
* Windows Vista/7/8: pidage meeles, et Raw Socketsi meetod ei tööta korralikult kõigis süsteemides. See pole viga SmartSniffis, vaid Windowsi operatsioonisüsteemi API-s. Kui näete ainult väljaminevat liiklust, proovige Windowsi tulemüür välja lülitada või lisada smsniff.exe Windowsi tulemüüri lubatud programmide loendisse.

Nuusutaja ei ole alati pahatahtlik. Tegelikult kasutatakse seda tüüpi tarkvara sageli võrguliikluse analüüsimiseks, et avastada ja kõrvaldada kõrvalekaldeid ning tagada tõrgeteta töö. Nuusutajat saab aga kasutada pahatahtlikult. Nuusutajad analüüsivad kõike, mis neid läbib, sealhulgas krüptimata paroole ja mandaate, nii et nuusutajale juurdepääsu omavad häkkerid saavad hankida kasutajate isikuandmeid. Lisaks saab nuusutaja paigaldada igasse kohtvõrku ühendatud arvutisse, ilma et oleks vaja seda seadmesse endasse installida – teisisõnu ei ole võimalik seda tuvastada kogu ühenduse aja jooksul.

Kust nuusutajad tulevad?

Häkkerid kasutavad nuusutajaid väärtuslike andmete varastamiseks, jälgides võrgutegevust ja kogudes kasutajate kohta isiklikku teavet. Tavaliselt on ründajad kõige rohkem huvitatud kasutaja paroolidest ja mandaatidest, et pääseda ligi internetipanga ja veebipoe kontodele. Kõige sagedamini paigaldavad häkkerid nuusutajad kohtadesse, kus levitatakse turvamata WiFi-ühendusi, näiteks kohvikutesse, hotellidesse ja lennujaamadesse. Nuusutajad võivad väärtuslike andmete varastamise eesmärgil maskeeruda võrku ühendatud seadmeks.

Kuidas nuuskijat ära tunda?

Volitamata nuusutajaid on virtuaalselt äärmiselt raske ära tunda, kuna neid saab paigaldada peaaegu kõikjale, mis kujutab endast väga tõsist ohtu võrgu turvalisusele. Tavakasutajatel pole sageli võimalust ära tunda, et nuusutaja jälgib nende võrguliiklust. Teoreetiliselt on võimalik paigaldada oma nuusutaja, mis jälgiks kogu DNS-liiklust teiste nuusutajate olemasolu suhtes, kuid tavakasutaja jaoks on palju lihtsam paigaldada nuusutamistõrjetarkvara või võrgutegevuse kaitset sisaldav viirusetõrje lahendus peatamiseks. mis tahes volitamata sissetungi või varjata oma võrgutegevusi.

Kuidas eemaldada nuusutaja

Saate kasutada ülitõhusat viirusetõrjet, et tuvastada ja eemaldada igat tüüpi arvutisse nuuskimise eesmärgil installitud pahavara. Nuusutaja arvutist täielikuks eemaldamiseks tuleb aga kustutada absoluutselt kõik sellega seotud kaustad ja failid. Samuti on tungivalt soovitatav kasutada võrguskanneriga viirusetõrjet, mis kontrollib põhjalikult kohalikku võrku haavatavuste suhtes ja juhendab nende leidmisel edasisi toiminguid.

Kuidas vältida nuusutaja ohvriks langemist

• Krüptige kogu teave, mida saadate ja vastu võtate
• Kontrollige oma kohalikku võrku haavatavuste suhtes
• Kasutage ainult kinnitatud ja turvalisi WiFi-võrke

Kaitske end nuusutajate eest

Esimene asi, mida kasutaja saab nuusutajate eest kaitsta, on kasutada kvaliteetset viirusetõrjet, näiteks tasuta Avast viirusetõrjet, mis suudab kogu võrku turvaprobleemide suhtes põhjalikult skannida. Täiendav ja väga tõhus viis teabe nuuskimise eest kaitsmiseks on kõigi võrgus saadetud ja vastuvõetud andmete, sealhulgas meilide, krüpteerimine. mail. Avast SecureLine võimaldab teil turvaliselt krüpteerida kõik andmevahetused ja sooritada võrgutoiminguid 100% anonüümsena.

Programm Wireshark on suurepärane abiline neile kasutajatele, kes peavad läbi viima võrgupakettide üksikasjalikku analüüsi - arvutivõrgu liiklust. Nuusutaja suhtleb hõlpsalt selliste tavaliste protokollidega nagu netbios, fddi, nntp, icq, x25, dns, irc, nfs, http, tcp, ipv6 ja paljud teised. Analüüsi käigus võimaldab see vastavalt kindlale protokollile eraldada võrgupaketi sobivateks komponentideks ja kuvada ekraanil loetavat infot numbrilisel kujul.
toetab tohutul hulgal edastatud ja vastuvõetud teabe erinevaid vorminguid ning suudab avada faile, mida kasutavad teised utiliidid. Tööpõhimõte seisneb selles, et võrgukaart läheb leviedastusrežiimi ja hakkab pealtkuulama võrgupakette, mis on selle nähtavusalal. Võib töötada programmina wifi pakettide pealtkuulamiseks.

Kuidas Wiresharki kasutada

Programm uurib võrku läbivate teabepakettide sisu. Nuusutaja käivitamiseks ja tulemuste kasutamiseks ei vaja te eriteadmisi, peate selle lihtsalt avama menüüs "Start" või klõpsama töölaual ikooni (selle käivitamine ei erine teistest Windowsi programmidest) . Utiliidi erifunktsioon võimaldab hõivata teabepakette, hoolikalt dekrüpteerida nende sisu ja tagastada need kasutajale analüüsimiseks.

Pärast wiresharki käivitamist näete ekraanil programmi peamenüüd, mis asub akna ülaosas. Seda kasutatakse utiliidi juhtimiseks. Kui teil on vaja laadida faile, mis salvestavad andmeid eelmistes seanssides püütud pakettide kohta, samuti salvestada andmeid teiste uues seansis püütud pakettide kohta, siis vajate selleks vahekaarti "Fail".

Võrgupakettide püüdmise funktsiooni käivitamiseks peab kasutaja klõpsama ikoonil "Püüdmine", seejärel leidma spetsiaalse menüü jaotise "Liidesed", mille abil saate avada eraldi akna "Wireshark Capture Interfaces", kus kõik saadaolevad võrguliidesed peaksid olema näidatakse, mille kaudu püütakse vajalikud andmepaketid. Kui programm (nuusutaja) suudab tuvastada ainult ühe sobiva liidese, kuvab see ekraanil kogu selle olulise teabe.

Utiliidi töö tulemused on otsesed tõendid selle kohta, et isegi kui kasutajad ei tegele (teatud ajal) iseseisvalt mis tahes andmete edastamisega, ei peatu teabevahetus võrgus. Kohaliku võrgu toimimise põhimõte seisneb ju selles, et selle töörežiimis hoidmiseks vahetavad selle kõik elemendid (arvuti, lüliti ja muud seadmed) pidevalt üksteisega teenuseteavet, seetõttu on sellised võrgutööriistad mõeldud pealtkuulamiseks. sellised paketid.

Linuxi süsteemide jaoks on olemas ka versioon.

Tuleb märkida, et Nuusutaja on võrguadministraatoritele äärmiselt kasulik ja arvutiturbeteenused, sest utiliit võimaldab tuvastada potentsiaalselt kaitsmata võrgusõlmed – tõenäolised piirkonnad, mida häkkerid võivad rünnata.

Lisaks otsesele otstarbele saab Wiresharki kasutada võrguliikluse jälgimise ja edasise analüüsimise vahendina, et korraldada rünnak võrgu kaitsmata aladele, sest pealtkuulatud liiklust saab kasutada erinevate eesmärkide saavutamiseks.

Selles artiklis vaatleme Windows OS-i jaoks lihtsa nuusutaja loomist.
Kõik huvilised, tere tulemast kassile.

Sissejuhatus

Sihtmärk: kirjutage programm, mis salvestab IP-protokolli kaudu edastatava võrguliikluse (Ethernet, WiFi).
Teenused: Visual Studio 2005 või uuem.
Siin kirjeldatud lähenemine ei kuulu autorile isiklikult ning seda kasutatakse edukalt paljudes kommerts-, aga ka täiesti tasuta programmides (tere, GPL).
See töö on mõeldud eelkõige võrguprogrammeerimisega algajatele, kellel on aga vähemalt algteadmised pesade alal üldiselt ja Windowsi pesadest täpsemalt. Siia kirjutan tihti teada-tuntud asju, sest ainevaldkond on spetsiifiline, kui millestki ilma jääb, läheb pea sassi.

Loodan, et see on teile huvitav.

Teooria (lugemine ei ole kohustuslik, kuid soovitatav)

Praegu põhinevad valdav enamus kaasaegsetest infovõrkudest TCP/IP-protokolli pinu alusel. TCP/IP-protokollipinn (Transmission Control Protocol/Internet Protocol) on koondnimetus võrkudes kasutatavatele erineva tasemega võrguprotokollidele. Selles artiklis huvitab meid peamiselt IP-protokoll - marsruutitud võrguprotokoll, mida kasutatakse nn pakettideks (õigem termin on datagramm) jagatud andmete garanteerimata edastamiseks ühest võrgusõlmest teise.
Meie jaoks pakuvad erilist huvi IP-paketid, mis on mõeldud teabe edastamiseks. See on OSI võrgu andmemudeli üsna kõrge tase, kui saate isoleerida end seadmest ja andmeedastuskandjast, töötades ainult loogilise esitusega.
Täiesti loogiline, et varem või hiljem oleks pidanud ilmuma võrguliikluse pealtkuulamise, jälgimise, salvestamise ja analüüsimise tööriistad. Selliseid tööriistu nimetatakse tavaliselt liiklusanalüsaatoriteks, paketianalüsaatoriteks või nuusutajateks (inglise keelest sniff - sniff). See on võrguliikluse analüsaator, programm või riistvara-tarkvaraseade, mis on loodud teistele sõlmedele mõeldud võrguliikluse pealtkuulamiseks ja seejärel analüüsimiseks või ainult analüüsimiseks.

Harjutamine (sisuline vestlus)

Hetkel on liikluse kuulamiseks loodud päris palju tarkvara. Neist kuulsaim: Wireshark. Loomulikult ei ole eesmärk tema loorbereid lõigata - meid huvitab ülesanne liiklust pealtkuulada lihtsalt võrguliidese "kuulamise" abil. Oluline on mõista, et me ei hakka häkkima ja pealtkuulama võõras liiklust. Peame lihtsalt vaatama ja analüüsima meie hosti läbivat liiklust.

Miks seda vaja võib minna:

1. Vaadake praegust liiklusvoogu võrguühenduse kaudu (sissetulev/väljaminev/kokku).
2. Suunake liiklus edasiseks analüüsiks ümber teisele hostile.
3. Teoreetiliselt võite proovida seda kasutada WiFi-võrgu häkkimiseks (me ei kavatse seda teha, eks?).

Erinevalt Wiresharkist, mis põhineb libpcap/WinPcapi teegil, ei kasuta meie analüsaator seda draiverit. Veelgi enam, meil pole üldse draiverit ja me ei kirjuta oma NDIS-i (oh õudust!). Selle kohta saate lugeda sellest teemast. Ta on lihtsalt passiivne vaatleja, kes kasutab ainult WinSocki raamatukogu. Draiveri kasutamine on sel juhul üleliigne.

Kuidas nii? Väga lihtne.
Lihtsa võrgurakenduse võrguanalüsaatoriks muutmise põhisamm on võrguliidese lülitumine promiscuous-režiimi, mis võimaldab sellel vastu võtta teistele võrguliidestele adresseeritud pakette. See režiim sunnib võrgukaarti aktsepteerima kõiki kaadreid, olenemata sellest, kellele need võrgus on adresseeritud.

Alates operatsioonisüsteemist Windows 2000 (NT 5.0) muutus programmi loomine võrgusegmendi kuulamiseks väga lihtsaks, kuna selle võrgudraiver võimaldab teil määrata pesa kõiki pakette vastu võtma.

Promiscuous Mode'i lubamine

pikk lipp = 1; SOCKET pistikupesa; #define SIO_RCVALL 0x98000001 ioctlsocket(socket, SIO_RCVALL, &RS_Lipp);
Meie programm töötab IP-pakettidel ja kasutab Windows Socketsi teegi versiooni 2.2 ja töötlemata sokke. IP-paketile otsese juurdepääsu saamiseks tuleb pesa luua järgmiselt:

Toorpesa loomine

s = pesa (AF_INET, SOCK_RAW, IPPROTO_IP);
Siin konstandi asemel SOCK_STREAM(TCP-protokoll) või SOCK_DGRAM(UDP-protokoll), kasutame väärtust SOCK_RAW. Üldiselt on töötlemata pistikupesadega töötamine huvitav mitte ainult liikluse hõivamise seisukohalt. Tegelikult saame täieliku kontrolli pakendi moodustamise üle. Või õigemini vormime selle käsitsi, mis võimaldab näiteks saata konkreetse ICMP paketi...

Lase käia. Teatavasti koosneb IP-pakett päisest, teenuseinfost ja tegelikult ka andmetest. Soovitan teil oma teadmiste värskendamiseks siia vaadata. Kirjeldame IP-päist struktuuri kujul (tänu suurepärasele artiklile RSDN-i kohta):

IP-paketi struktuuri kirjeldus

typedef struct _IPHeader ( unsigned char ver_len; // päise versioon ja pikkus allkirjastamata tähemärgid; // teenuse tüüp allkirjastamata lühike pikkus; // kogu paketi pikkus allkirjastamata lühike id; // Id unsigned short flgs_offset; // lipud ja nihe signeerimata char ttl ; // eluaegne allkirjastamata char protokoll; // protokolli allkirjastamata lühike xsum; // kontrollsumma allkirjastamata pikk src; // saatja IP-aadress signeerimata pikk sihtkoht; // sihtkoha IP-aadress allkirjastamata lühike *parameetrid; // parameetrid (kuni 320 bitid) märgita tähemärk *andmed; // andmed (kuni 65535 oktetti) )IPpäis;
Kuulamisalgoritmi põhifunktsioon näeb välja järgmine:

Ühe paketi hõivamise funktsioon

IPHeader* RS_Sniff() ( IPHeader *hdr; int count = 0; count = recv(RS_SSocket, (char*)&RS_buffer, sizeof(RS_buffer), 0); if (count >= sizeof(IPHeader)) ( hdr = (LPIPHeader) )malloc(MAX_PACKET_SIZE); memcpy(hdr, RS_Buffer, MAX_PACKET_SIZE); RS_UpdateNetStat(count, hdr); tagasta hdr; ) muidu tagastab 0; )
Siin on kõik lihtne: saame osa andmeid standardse pesafunktsiooni abil rev ja seejärel kopeerida need struktuuri nagu IPpäis.
Ja lõpuks alustame lõputut pakettide püüdmise tsüklit:

Jäädvustame kõik meie võrguliideseni jõudvad paketid

while (true) (IPHeader* hdr = RS_Sniff(); // IP-paketi töötlemine if (hdr) ( // päise printimine konsoolis ) )

Natuke offtopic

Siin ja allpool tegi autor mõne olulise funktsiooni ja muutuja jaoks prefiksi RS_ (alates Raw Sockets). Tegin projekti 3-4 aastat tagasi ja mul tuli hull idee kirjutada täisväärtuslik raamatukogu töötlemata pistikupesadega töötamiseks. Nagu sageli juhtub, peale mõne märkimisväärse (autori jaoks) tulemuse saamist entusiasm kustus ja koolitusnäitest asi ei jõudnudki.

Põhimõtteliselt võite minna kaugemale ja kirjeldada kõigi ülaltoodud järgmiste protokollide päiseid. Selleks tuleb põldu analüüsida protokolli struktuuris IPpäis. Vaadake näidiskoodi (jah, seal peaks olema lüliti, kurat!), kus päis on värviline olenevalt sellest, millise protokolli pakett on IP-sse kapseldanud:

/* * Paketi esiletõstmine värviga */ void ColorPacket(const IPHeader *h, const u_long haddr, const u_long whost = 0) ( if (h->xsum) SetConsoleTextColor(0x17); // kui pakett ei ole tühi muu SetConsoleTextColor(0x07) ; // tühi pakett if (haddr == h->src) ( SetConsoleTextColor(BACKGROUND_BLUE | /*BACKGROUND_INTENSITY |*/ FOREGROUND_RED | FOREGROUND_INTENSITY); // paketi tagastamiseks ddr == native h->dest ) ( SetConsoleTextColor(BACKGROUND_BLUE | /*BACKGROUND_INTENSITY |*/ FOREGROUND_GREEN | FOREGROUND_INTENSITY); // "native" vastuvõtupakett ) if (h->protokoll == PROT_ICMP || == PROT_ICMP (0x70) ; // ICMP pakett ) else if(h->protocol == PROT_IP || h->protokoll == 115) ( SetConsoleTextColor(0x4F); // IP-in-IP pakett, L2TP ) else if(h - >protokoll == 53 || h->protokoll == 56) ( SetConsoleTextColor(0x4C); // TLS, IP krüptimisega ) if(whost == h->dest || whost == h->src) ( SetConsoleTextColor (0x0A); ) )

See jääb aga oluliselt väljapoole käesoleva artikli ulatust. Meie koolitusnäite jaoks piisab, kui vaadata nende hostide IP-aadresse, kust ja kuhu liiklus tuleb, ning arvutada selle summa ajaühiku kohta (valmis programm on arhiivis artikli lõpus) .

IP-päiseandmete kuvamiseks peate rakendama funktsiooni datagrammi päise (kuid mitte andmete) stringiks teisendamiseks. Rakenduse näitena saame pakkuda järgmist võimalust:

IP-päise teisendamine stringiks

inline char* iph2str(IPHeader *iph) (const int BUF_SIZE = 1024; char *r = (char*)malloc(BUF_SIZE); memset((void*)r, 0, BUF_SIZE); sprintf(r, "ver=%" d hlen=%d tos=%d len=%d id=%d lippe=0x%X nihe=%d ttl=%dms prot=%d crc=0x%X src=%s siht=%s", BYTE_H (iph->ver_len), BYTE_L(iph->ver_len)*4, iph->tos, ntohs(iph->length), ntohs(iph->id), IP_FLAGS(ntohs(iph->flgs_offset)), IP_OFFSET (ntohs(iph->flgs_offset)), iph->ttl, iph->protokoll, ntohs(iph->xsum), nethost2str(iph->src), nethost2str(iph->dest)); tagasta r; )
Eespool toodud põhiteabe põhjal saame selle väikese programmi (jube nimi ss, lühend lihtsast nuusutamisest), mis rakendab IP-liikluse kohalikku kuulamist. Selle liides on näidatud alloleval joonisel.

Esitan lähte- ja kahendkoodi sellisel kujul, nagu see oli mitu aastat tagasi. Nüüd kardan seda vaadata ja ometi on see üsna loetav (loomulikult ei saa nii enesekindel olla). Kompileerimiseks piisab isegi Visual Studio Express 2005-st.

Millega me lõpuks jõudsime:

• Nuusutaja töötab kasutajarežiimis, kuid nõuab administraatoriõigusi.
• Pakette ei filtreerita ja neid kuvatakse nii nagu on (saate lisada kohandatud filtreid - soovitan seda teemat järgmises artiklis üksikasjalikult vaadata, kui olete huvitatud).
• Jäädvustatakse ka WiFi-liiklust (kõik oleneb konkreetsest kiibimudelist, see ei pruugi teie puhul töötada, nagu minul mitu aastat tagasi), kuigi on olemas AirPcap, mis suudab seda imeliselt teha, kuid maksab raha.
• Kogu datagrammi voog logitakse faili (vt artikli lõpus lisatud arhiivi).
• Programm töötab serverina pordis 2000. Saate luua ühenduse telneti utiliidi abil ja jälgida liiklusvooge. Ühenduste arv on piiratud kahekümnega (kood pole minu oma, leidsin selle Internetist ja kasutasin seda katseteks; ma ei kustutanud seda - kahju)

Tänan tähelepanu eest, õnnitlen Habrovski ja Habrovka elanikke ja kõiki, häid jõule!

SmartSniff võimaldab teil võrguliiklust pealt kuulata ja selle sisu kuvada ASCII-vormingus. Programm püüab kinni võrguadapterit läbivad paketid ja kuvab pakettide sisu teksti kujul (http, pop3, smtp, ftp protokollid) ja kuueteistkümnendsüsteemis. TCP/IP-pakettide hõivamiseks kasutab SmartSniff järgmisi tehnikaid: töötlemata pesad – RAW-soklid, WinCap Capture Driver ja Microsoft Network Monitor Driver. Programm toetab vene keelt ja seda on lihtne kasutada.

Nuusutamisprogramm pakettide hõivamiseks

SmartSniff kuvab järgmise teabe: protokolli nimi, kohalik ja kaugaadress, kohalik ja kaugport, kohalik sõlm, teenuse nimi, andmemaht, kogumaht, hõivamise aeg ja viimase paketi aeg, kestus, kohalik ja kaug-MAC-aadress, riigid ja andmepakett sisu . Programmil on paindlikud sätted, see rakendab püüdmisfiltri funktsiooni, http-vastuste lahtipakkimist, IP-aadresside teisendamist, utiliit on süsteemisalve minimeeritud. SmartSniff loob paketivoogude aruande HTML-lehena. Programm suudab eksportida TCP/IP-vooge.