首先要说明 用网络特工之类的软件网卡一定会开启混杂模式 但是网卡处在混杂模式不一定是在用网络特工 不过
处在混杂模式的网卡一定没干好事
好了废话不说了
方法很简单
首先确定你没有跟你网段内的电脑有通信
然后 打开cmd
先 arp -d 删除掉你的ARP列表
然后 ping 你的网管 或者 ping 你自己
再 arp -a 显示 你的ARP表
这时 你的ARP表 就会显示 你ping的 ip地址和mac地址的对应关系
如果还有其他条 ip和mac 对应的话 呵呵 就是他了 ：0
这里再说明一下为什么可以这样判断
当网卡处在混杂模式的时候 会接收并响应 网络上任何的数据报
所以 当我向网关发送一个ICMP包时 被那台.179的电脑截获了数据报 并产生了回应
然而我ping的是.129的电脑 所以我的主机只会对129主机发送的echo产生回应
而对179发过来的数据包我的主机进行了丢弃
然而 由于179的主机同我的主机产生了通信 所以就在我的主机ARP表上产生了一条ARP项
Sniffer，中文可以翻译为嗅探器，是一种威胁性极大的被动攻击工具。使用这种工具，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。黑客们常常用它来截获用户的口令。据说某个骨干网络的路由器曾经被黑客攻人，并嗅探到大量的用户口令。本文将详细介绍Sniffer的原理和应用。
一、Sniffer 原理
1．网络技术与设备简介
在讲述Sni计er的概念之前，首先需要讲述局域网设备的一些基本概念。数据在网络上是以很小的称为帧（Frame）的单位传输的，帧由几部分组成，不同的部分执行不同的功能。帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上，通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧已到达，然后对其进行存储。就是在这个传输和接收的过程中，嗅探器会带来安全方面的问题。
每一个在局域网（LAN）上的工作站都有其硬件地址，这些地址惟一地表示了网络上的机器（这一点与Internet
地址系统比较相似）。当用户发送一个数据包时，这些数据包就会发送到LAN上所有可用的机器。
在一般情况下，网络上所有的机器都可以"听"到通过的流量，但对不属于自己的数据包则不予响应（换句话说，工作站A不会捕获属于工作站B的数据，而是简单地忽略这些数据）。如果某个工作站的网络接口处于混杂模式（关于混杂模式的概念会在后面解释），那么它就可以捕获网络上所有的数据包和帧。
2．网络监听原理
Sniffer程序是一种利用以太网的特性把网络适配卡（NIC，一般为以太网卡）置为杂乱（promiscuous）模式状态的工具，一旦网卡设置为这种模式，它就能接收传输在网络上的每一个信息包。
普通的情况下，网卡只接收和自己的地址有关的信息包，即传输到本地主机的信息包。要使Sniffer能接收并处理这种方式的信息，系统需要支持BPF，Linux下需要支持SOCKET一PACKET。但一般情况下，网络硬件和TCP／IP堆栈不支持接收或者发送与本地计算机无关的数据包，所以，为了绕过标准的TCP／IP堆栈，网卡就必须设置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内核必须支持这种伪设备Bpfilter，而且需要root权限来运行这种程序，所以sniffer需要root身份安装，如果只是以本地用户的身份进人了系统，那么不可能唤探到root的密码，因为不能运行Sniffer。
基于Sniffer这样的模式，可以分析各种信息包并描述出网络的结构和使用的机器，由于它接收任何一个在同一网段上传输的数据包，所以也就存在着捕获密码、各种信息、秘密文档等一些没有加密的信息的可能性。这成为黑客们常用的扩大战果的方法，用来夺取其他主机的控制权
3 Snifffer的分类
Sniffer分为软件和硬件两种，软件的Sniffer有 NetXray、Packetboy、Net monitor等，其优点是物美价廉，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，一般都是商业性的，价格也比较贵。
实际上本文中所讲的Sniffer指的是软件。它把包抓取下来，然后打开并查看其中的内容，可以得到密码等。Sniffer只能抓取一个物理网段内的包，就是说，你和监听的目标中间不能有路由或其他屏蔽广播包的设备，这一点很重要。所以，对一般拨号上网的用户来说，是不可能利用Sniffer来窃听到其他人的通信内容的。
4．网络监听的目的
当一个黑客成功地攻陷了一台主机，并拿到了root权限，而且还想利用这台主机去攻击同一网段上的其他主机时，他就会在这台主机上安装Sniffer软件，对以太网设备上传送的数据包进行侦听，从而发现感兴趣的包。如果发现符合条件的包，就把它存到一个LOg文件中去。通常设置的这些条件是包含字"username"或"password"的包，这样的包里面通常有黑客感兴趣的密码之类的东西。一旦黑客截获得了某台主机的密码，他就会立刻进人这台主机。
如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。
Sniffer属于第M层次的攻击。就是说，只有在攻击者已经进入了目标系统的情况下，才能使用Sniffer这种攻击手段，以便得到更多的信息。
Sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个重要的信息、在网上传送的金融信息等等。Sniffer几乎能得到任何在以太网上传送的数据包。
Sniffer是一种比较复杂的攻击手段，一般只有黑客老手才有能力使用它，而对于一个网络新手来说，即使在一台主机上成功地编译并运行了Sniffer，一般也不会得到什么有用的信息，因为通常网络上的信息流量是相当大的，如果不加选择地接收所有的包，然后从中找到所需要的信息非常困难；而且，如果长时间进行监听，还有可能把放置Sniffer的机器的硬盘撑爆
网络监控软件
一、网络监控软件的解决方案分类比较：
（一）按照运行原理区分为：旁路模式和网关模式两种
旁路模式也就是监听模式，通过抓取总线MAC层数据侦方式而获得监听数据，并利用网络通讯协议原理而实现控制的方法；
目前采用的技术主要是：
1、UNIX系统提供了标准的API支持
（1）Packet socket
（2）BPF（主要的流行手段）
A、BSD抓包法
.BPF是一个核心态的组件，也是一个过滤器
.Network Tap接收所有的数据包
.Kernel Buffer，保存过滤器送过来的数据包
.User buffer，用户态上的数据包缓冲区
B、Libpcap(一个抓包工具库)支持BPF
.Libpcap是用户态的一个抓包工具
.Libpcap几乎是系统无关的
C、BPF是一种比较理想的抓包方案
.在核心态，所以效率比较高，
.但是，只有少数OS支持(主要是一些BSD操作系统)
2、Windows平台上通过驱动程序来获取数据包
（1）驱动程序
模式一、在核心层驱动，和WINDOWS操作系统核心结合紧密,效率非常高；ANYVIEW目前采用这个模式；
模式二、在网络层驱动，有如WINPCAP，虽然自己写的驱动容易控制但稳定性无法和WINPCAP比较；性能也并不理想；
（2）WinPcap驱动标准接口（目前国产网络监控软件90%采用）
WINPCAP是目前国际标准的接口程序，稳定性良好支持100M通讯；ANYVIEW老版本采用该模式已淘汰；
网关模式完全区别于旁路模式，由于所有出口数据流都必须经过该网关，因此控制方面可以说是最强大完美而无任何副作用的方式，因此克服了目前所有的采用WINPCAP模式或网络层驱动模式下的所有弱点；
ANYVIEW提供了旁路模式和网关模式两种选择，采用核心层驱动模式，可以在普通交换机环境下随意安装（不需要共享式HUB或镜像交换机），被监视电脑上不需要安装任何软件；
（二）按照管理目标区分为：内网监控和外网监控两种
1、内网监控的主要目标是管理网内电脑的所有资源和使用过程；比如网内的电脑硬件资源（有什么设备，是否允许使用）、软件资源（安装了什么软件，是否允许使用）、数据资源（有什么重要资料文件、数据、是否被合法使用）、行为操作（对工作的评估、使用电脑的合法性、干了一些什么事情）等等；我公司开发的内网管理软件InTraView就是这样的产品；
2、外网监控的主要目标是监视网内电脑上网内容和管理上网行为；比如网络监控、邮件监控、上网监控、网页监控、FTP监控、MSN聊天内容监控、游戏监控、QQ/MSN/UC/YAHOO/KUGOO/ICQ/AOL/贸易通等聊天行为监控、流量监视和限制、自定义监控、TCP/DUP全系列双向端口监视和控制，BT完美禁止等等；我公司开发的ANYVIEW（网络警）软件，就是这样的产品；
因此无论是硬件还是软件方式解决方法，应该包含内网监控和外网监控产品，通过合理的投资代价获得不断升级拓展更新对资源和行为管理；