對於目前很流行的以太網協議，其工作方式是：將要發送的數據包發往連接在一起的所有主機，包中包含着應該接收數據包主機的正確地址，只有與數據包中目標地址一致的那臺主機才能接收。但是，當主機工作監聽模式下，無論數據包中的目標地址是什麼，主機都將接收（當然只能監聽經過自己網絡接口的那些包）。
在因特網上有很多使用以太網協議的局域網，許多主機通過電纜、集線器連在一起。當同一網絡中的兩臺主機通信的時候，源主機將寫有目的的主機地址的數據包直接發向目的主機。但這種數據包不能在IP層直接發送，必須從TCP/IP協議的IP層交給網絡接口，也就是數據鏈路層，而網絡接口是不會識別IP地址的，因此在網絡接口數據包又增加了一部分以太幀頭的信息。在幀頭中有兩個域，分別爲只有網絡接口才能識別的源主機和目的主機的物理地址，這是一個與IP地址相對應的48位的地址。
傳輸數據時，包含物理地址的幀從網絡接口（網卡）發送到物理的線路上，如果局域網是由一條粗纜或細纜連接而成，則數字信號在電纜上傳輸，能夠到達線路上的每一臺主機。當使用集線器時，由集線器再發向連接在集線器上的每一條線路，數字信號也能到達連接在集線器上的每一臺主機。當數字信號到達一臺主機的網絡接口時，正常情況下，網絡接口讀入數據幀，進行檢查，如果數據幀中攜帶的物理地址是自己的或者是廣播地址，則將數據幀交給上層協議軟件，也就是IP層軟件，否則就將這個幀丟棄。對於每一個到達網絡接口的數據幀，都要進行這個過程。
然而，當主機工作在監聽模式下，所有的數據幀都將被交給上層協議軟件處理。而且，當連接在同一條電纜或集線器上的主機被邏輯地分爲幾個子網時，如果一臺主機處於監聽模式下，它還能接收到發向與自己不在同一子網（使用了不同的掩碼、IP地址和網關）的主機的數據包。也就是說，在同一條物理信道上傳輸的所有信息都可以被接收到。另外，現在網絡中使用的大部分協議都是很早設計的，許多協議的實現都是基於一種非常友好的、通信的雙方充分信任的基礎之上，許多信息以明文發送。因此，如果用戶的賬戶名和口令等信息也以明文的方式在網上傳輸，而此時一個黑客或網絡攻擊者正在進行網絡監聽，只要具有初步的網絡和TCP/IP協議知識，便能輕易地從監聽到的信息中提取出感興趣的部分。同理，正確的使用網絡監聽技術也可以發現入侵併對入侵者進行追蹤定位，在對網絡犯罪進行偵查取證時獲取有關犯罪行爲的重要信息，成爲打擊網絡犯罪的有力手段。