Снифферы под win
Xakep, номер #030, стр. 030-056-3
В общем и целом, подведем следующий итог. При хаке вспоминай про Iris, чтоб не остаться без порток. Кстати, Ириску я взял с www.eeye.com. И очень, очень настоятельно рекомендую с ней ознакомиться.
Dsniff for win32 и все-все-все
Dsniff и Snort для Win32, как я уже говорил, являются перевоплощением своих аналогов под *nix системы, поэтому функциональные возможности доступны только через командную строку. И чтобы их использовать, понадобится немного пошаманить. Так, Dsniff хоть и откомпилен со статической поддержкой всех библиотек, но для работы с сырыми сокетами (raw sockets) на win32 требует вовсе не winsock.dll, а специальную библиотеку WinPCap. Последняя, кстати, тоже является результатом переноса библиотеки libpcap с платформы *nix на win32. WinPCap позволяет использовать расширенный интерфейс Berkely Packet Filters, который весьма удобен и по сути представляет собой замену для WINSOCK.DLL. Чего только не делается на этом свете... =)
Ничего, кроме установки собственно WinPCap, для запуска dsniff делать и не надо. Достаточно слить winpcap.exe и запустить его. Инсталлятор добавит всего один файлик PACKET.DLL в системный каталог, и все дела! Удалить его можно будет через обычное системное окно диалога "Удаление/установка программ".
Dsniff, хоть и является win-консольной прогой, сохраняет максимум удобства. Обрабатывая пакеты, он не вываливает все их содержимое на экран и не показывает потоки данных, как это делает, например, tcpdump. Dsniff аккуратненько вырезает из потоков протоколы верхнего уровня, такие как FTP и HTTP, ICQ... выхватывая из пакетов пароли и выписывая их на экран. Поэтому запускать dsniff рекомендуется так:
C:\dsniff\> dsniff.exe > dsniff.log_
А уже затем разглядывать dsniff.log.
Dsniff можно найти у автора его win32 порта по адресу http://www.datanerds.net/~mike/. Есть как в исходниках, так и в уже откомпилированном состоянии. Последнее есть в разделе "Binary Packages".
Snort for win32 + Snort winPanel: лучше меньше, да больше
Снорт, как и dsnif, является консольным приложением, но, тем не менее, обладает специальной надстройкой над интерфейсом командной строки: специальной Snort-панелью, которая выглядит как обычное win32 гуевое приложение и позволяет стартовать/прибивать snort в фоновом режиме, указывать ему дополнительные настройки.
В принципе, то же самое можно вполне сделать и с помощью командной строки, но ряд дополнительный функций делают панельку вполне приличной ее заменой.
Самое интересное в snort'e это возможность фильтров и правил, по которым раскидываются пакеты. Снорт может создавать для каждого обнаруженного компьютера в сети свой собственный каталог, куда будут помещаться логи пакетов, приходящие данному хосту или исходящие от него.
Кроме того, Snort можно использовать в составе более крупных проектов. Например, систем обнаружения вторжений.
Snort можно утянуть с http://www.securityfocus.com/, он лежит в разделе "Tools", либо опять же у http://www.datanerds.net/~mike/ в разделе "Binary Packages". Там же можно взять и Snort-Panel.
