Все о снифферах

Xakep, номер #021, стр. 021-044-2

http://reptile.rug.ac.be/~coder/sniffit/sniffit.html

Данный пакет включает в себя не только обычный сниффер, но и другие не менее

интересные программы как для хакера, так и для администратора.

Dsniff

Обычный сниффер со специальными возможностями отслеживания паролей для

следующих сервисов: FTP, Telnet, HTTP, POP, NNTP, IMAP, SNMP, LDAP, Rlogin, NFS, SOCKS, X11, IRC, AIM, CVS, ICQ, Napster, Citrix ICA, Symantec pcAnywhere, NAISniffer, Microsoft SMB, и Oracle SQL*Net auth.

Tcpkill программа для отключения заданного tcp/ip процесса в процессе работы.

Tcpnice программа для понижения приоритета пропускной способности заданного tcp/ip процесса. Это нужно, например, для того, чтобы ограничить Vasya the kewl warezz couirier каналом в 300бит/c - пусть себе качает на здоровье. :)

Webspy выводит все запрашиваемые http адреса в Netscape Navigator.

Получается так, что ты как будто сидишь у него за спиной и смотришь на монитор. ;)

Также в пакет входит еще несколько сетевых утилит. Всем рекомендую!

Полная информация о dsniff и последняя версия по адресу:

http://www.monkey.org/~dugsong/dsniff/

suck.c

Самый примитивный девайс, единственным параметром которого является

задание сетевого интерфейса, который надо сниффать. Он печатает ВСЕ подряд, что приходит или отправляется. В принципе, данная программа не совсем удобна для сниффа, а скорее предназначена для начинающих программистов, как пример простейшего сниффера.

Программа доступна по адресу:

http://packetstorm.securify.com/sniffers/suck.c

Для пользователей Win9x/NT/2000 я советую попробовать такие продукты, как IRIS

(http://www.eeye.com) или CommView (http://www.tamos.com).

Методы обнаружения снифферов

Обнаружение сниффера на твоей системе локально или удаленно (*nix only).

Простейшим методом определить, установлен ли на твоей системе сниффер или нет, является команда ifconfig c параметром - название твоего сетевого интерфейса, например:

[blackmesa]: ifconfig de0

de0: flags=8963

media: Ethernet 10baseT

status: active

inet 192.168.0.2 netmask 0xffffff00 broadcast 192.168.0.255

Как мы видим, на интерфейсе установлен флаг PROMISC, следовательно, сниффер запущен. Но часто хакеры, взломав систему, подменяют программу ifconfig так, чтобы она не показывала, что интерфейс работает в promiscuous режиме. Так же возможно удаленное определение того, что сетевой интерфейс стоит в promisc режиме, такими утилитами, как AntiSniff, Sentinel.

Ping

Еще одним из методов удаленного определения снифферов в локальной сети является так называемый Ethernet ping. Этот метод использует недостаток promiscuous режима, а именно - невозможность фильтрации проходящего трафика. В случае достаточно большого потока информации сниффающая машина просто не успевает ее полностью обрабатывать, и таким образом увеличивается время, необходимое на PING ECHO_REPLY.

Допустим, в сети есть несколько машин. Пингуем все машины в сети - допустим, средний ответ на ping будет 1ms. Теперь вываливаем в сетку кучу мусора (broadcast flood :) и опять пингуем всех в сети. Если пинг до одной из машин внезапно вырос :) - там сидит шпион с подзорной трубой и мониторит траффик.