Консольный шпионаж

Докучаев Дмитрий aka Forb

Xakep, номер #068, стр. 068-052-3

Понюхаем?

Следующий метод перехвата информации - использование сниферов. Вот тут без рутовых прав никак не обойтись. К моему счастью, в Хакере уже писали о чудо-силе различных нюхачей. Поэтому особо сильно расписываться не буду. Просто дам характеристику наиболее сильных и умных сниферов под Linux.

1. Sniffit. Старый дедовский снифак, который я использую довольно часто. Хотя этот инструмент и не умеет выдирать из пакета пары login/password, я его люблю из принципа :). Программа снабжена различными вкусными параметрами и всевозможными фильтрами. Слить Sniffit можно отсюда: http://reptile.rug.ac.be/~coder/sniffit/files/sniffit.0.3.5.tar.gz.

2. Eth0sniff.c - простая тулза, умеющая следить за 21 и 110 портами на интерфейсе и вылавливать из потока данных валидные аккаунты. Когда мне необходимо подглядеть пароль на почту, я использую этот малофункциональный нюхач. Надеюсь, он тебе тоже понравится. Скачать его можно по этому адресу: http://packetstormsecurity.nl/sniffers/eth0sniff.c.gz.

3. Аналогичным снифером является программа linux-sniff1. Этот сниф поддерживает imap и telnetd, впрочем, 23 порт мало где используется. Софтинка довольно занятная, поэтому рекомендую потестить ее на Linix-маршрутизаторах ;). Ссылка: http://packetstormsecurity.nl/sniffers/linux-sniff1.1.c.

Вот мой любимый суповой набор. На самом деле, выбор программы - дело индивидуальное. Не уверен на 100%, что тебе понравится предложенный софт, но я привык юзать именно его. Хочешь найти средство для себя? Пожалуйста – посети www.packetstormsecurity.nl/sniffers/ и скачай то, что подойдет тебе лучше всего.

Модульный перехват

Если ты хочешь обладать инфой обо всех командах, набранных админом, то придется установить модуль-шпион. Некоторые люди думают, что кейлоггеры бывают только под винду. Напрасно :). Под пингвины попадаются весьма изысканные решения. В рамках этой статьи хочу рассказать про хорошую штуку под названием Vlogger. По сути, Vlogger - обычный LKM, зарекомендовавший себя в работе. Модуль написан грамотными людьми из команды THC (www.thc.org) и обладает рядом интересных функций. Прежде чем рассмотреть процесс его установки, поговорим об общем принципе перехвата команд.

Процесс передачи определенной команды выглядит следующим образом: сначала приходящий код анализируется ядерной функцией. Честно говоря, не помню ее точного названия, пусть она зовется scancode(). После того, как scancode() определит код нажатой клавиши, информация передается в очередь псевдоустройства. Время от времени вызывается событие, которое последовательно считывает данные из очереди и кладет их в псевдофайл /dev/ttyX (локальный обмен) либо в /dev/pts/X (удаленный обмен). Vlogger имеет несколько режимов прослушивания. В случае прослушивания всех данных заменяется функция scancode(), в более умном перехвате логгинг ведется уже в процессе обработке буфера. Если ты установишь этот модуль, все логи запишутся в указанный тобой каталог и будут отсортированы по названиям устройств. Логируется как системное время, так и сама команда.