1，对于怀疑运行监听程序的机器，用正确的IP地址和错误的物理地址去PING，运行监听程序的机器回有响应，这是因为正常的机器不接受错误的物理地址，处于监听状态的机器能接受，如果他的IPSTACK不再次反向检查的话，就会响应，这种方法依赖系统的IPSTACK，对有些系统可能行不通。
2，往网上发大量不存在的物理地址的包，由于监听程序将处理这些包，将导致性能下降，通过比较前后该机器性能（icmpechodelay等方法）加以判断，这种方法难度较大点。
一些流行的SNIFFER
SNIFFIT：这是一个比较的SNIFFER，它由BrechtClearhout所写，这是你应该最先用的程序，这个SNIFFER默认状态下只接受最先的400个字节的信息包，这对于一次登陆会话进程刚刚好。：p
SNORT：这个SNIFFER有很多选项供你使用并可移植性强，可以记录一些连接信息，用来跟踪一些网络活动。
TCPDUMP：这个SNIFFER很有名，FREEBSD还搭带在系统上，是一个被很多UNIX高手认为是一个专业的网络管理工具，记得以前TsutomuShimomura（应该叫下村侵吧）就是使用他自己修改过的TCPDUMP版本来记录了KEVINMITNICK攻击他系统的记录，后来就配合FBI抓住了KEVINMITNICK，后来他写了一文：使用这些LOG记录描述了那次的攻击，HowMitnickhackedTsutomuShimomurawithanIPsequenceattack(http://www.attrition.org/security/newbie/security/sniffer/shimomur.txt)
ADMsniff:这是非常有名的ADM黑客集团写的一个SNIFFER程序。
linsniffer:这是一个专门设计杂一LINUX平台上的SNIFFER。
Esniffer:这个也是一个比较有名的SNIFFER程序。
Sunsniff:这个是用在SUNOS系统上的SNIFFER，此程序应该在十年前推出的吧。
Solsniffer:这是个Solarissniffer，主要是修改了SunSniff专门用来可以
方便的在Solair平台上编译。
这些程序attrition收集起来了，大家可以到下面的URL下载：
http://www.attrition.org/security/newbie/security/sniffer/
一些流行的检测SNIFFER的程序：
http://www.attrition.org/security/newbie/security/sniffer/promisc.c--是一个很小的C程序，当编译好后，会查找本地机器上任何处于杂乱模式的NIC网络适配卡。
http://www.attrition.org/security/newbie/security/sniffer/neped.c--是一个用来远程检查任何嗅探活动的程序，可惜它只在LINUX下编译，当然你也可以简单的使用ifconfig-a来检查你的UNIX机器是否有PROMISC标志。
http://www.l0pht.com/antisniff/这是L0pht写的很好的反SNIFFER程序，L0PHT还打算公开LINUX版本上的源码版本。
另外，如果机器上使用两块网卡，把一块设置为杂乱模式，并把IP地址设置为0.0.0.0，另一块卡处于正常的模式并是正确的地址，这样将很难发现SNIFFER的存在。
