一位同事和我被要求做一个演示，展示我们使用 Firesheep 窃取 Facebook 会话。我之前从未使用过 Firesheep，但我认为这应该是一项简单的任务。
我知道这个演示会引起很多人的注意，而且很多人实际上会害怕知道他们每天都在使用开放的无线网络与他们的手机（不会对此进行更多详细说明，但这是事实）。
有人对我应该准备回答哪些类型的问题有任何建议吗？除了显示我以演示用户身份登录之外，我应该在演示中特别显示什么？
MSN 流量怎么样...是否也可以演示嗅探 MSN 对话？
那么如何防止这种情况呢？用户仍将使用开放无线。是通过使用 VPN 进行安全连接来保护自己的唯一方法吗？
编辑：我知道 firesheep 不捕获 MSN 对话。有人对可以证明这一点的工具有任何建议吗？
我假设观众将主要是最终用户，因为 IT 专业人员应该已经听说过 Firesheep 并了解它的工作原理。如果不是，它们可能无论如何都属于我的最终用户类别。:)
我认为，在展示问题或漏洞时，您应该旨在讨论用户可用的任何变通办法或缓解策略。例如，建议用户在登录前导航到https://facebook.com 。创建一种方法来帮助用户记住 https，例如“S 代表安全或安全”。
该演示可能是向用户介绍安全性和一般网络的好机会；证书是如何工作的，需要注意什么（例如证书错误），让他们思考他们在哪里输入密码以及密码是否安全。此外，如果他们认为其他人拥有他们的登录详细信息，他们应该怎么做；重置帐户密码，但还要考虑他们使用密码的其他帐户，或者可能因此而受到损害的帐户，并更改这些帐户。
其中一些概念对最终用户来说并不容易理解，但如果您至少可以让他们了解一些警告标志和风险，那么这是一个好的开始。
关于 MSN 对话，我不认为将wireshark 拉出来捕获对话是有益的。Firesheep 很好，因为它有一个漂亮的界面并提供即时结果，它将向用户展示它是多么容易。
Firesheep 只是展示了基于 cookie 的会话攻击。MSN 不使用 cookie。但是，MSN 确实以明文形式发送对话（只是不是身份验证），但 firesheep 无法接收到它。
VPN 是保护连接的一种方式。另一种方法是仅在仅通过 SSL 运行完整会话的网站上创建会话。
Firesheep 不会捕获 MSN 对话，如果您想这样做，您需要使用 Wireshark 或类似的应用程序并将您的 WiFi 卡设置为捕获。MSN 不会对其通信进行加密，因此您将能够看到数据包中的对话文本。
这里有一个问题已经涵盖了保护自己免受火羊侵害的方法 - 保护自己免受火羊小孩和其他嗅探的方法
另一个很棒的安全演示是几年前在 DefCon上的Wall O' Shame 。它使用 ettercap 捕获密码，然后使用 PHP 解析日志以显示。我前一阵子用它来获得一些对安全感兴趣的高中之旅。