ARP-spoofing

Степан Ильин aka Step

Xakep, номер #068, стр. 068-060-4

В случае, если ты не правил конфигурационный файл etter.conf и не задавал при запуске какие-либо специфические ключи, работа с программой начинается с выбора сетевого интерфейса и со сканирования твоего сабнета. При этом с помощью ARP-запросов выявляются все имеющиеся в сети машины, а также проверяется соответствие IP, MAC, NETBIOS и DNS-имен машин. Далее открывается главное окно программы, с помощью которого и выполняются необходимые действия. Разумеется, я не буду описывать все имеющиеся функции и особенности их применения. При соответствующем желании ты и сам сможешь с ними разобраться - просто жми на клавишу "h" и читай краткую справку по каждому разделу. Остановлюсь лишь конкретно на снифинге, который может быть осуществлен аж тремя способами. И если стандартные MAC и IP варианты нас, мягко говоря, не интересуют, то ARP poisoning based sniffing является именно той функцией, из-за которой мы устанавливали эту утилиту. Боюсь показаться чересчур очарованным этой функцией, но это поистине качественная и добротная реализация технологии ARP-спуфинга. При этом никаких усилий для ее применения не требуется: вся настройка сводится к указанию прослушиваемых машин в destination и source окошках.

Ты уже прикинул, какие возможности дает полноценное посредничество в передаче трафика между двумя узлами? Являясь посредником, можно не только перехватывать сетевые пакеты, но и, используя средства ettercap'а, удалять или даже модифицировать их. Другими словами, больше не будет проблемой вмешаться в чужой IRC-приват или telnet-сессию. Я уже не говорю о стандартном перехвате паролей. Отмечу разве что функцию отлавливания паролей, идущих по зашифрованным SSH1, SSH2 и SSL/HTTPS-протоколам. Для ее применения придется, правда, запускать программу со специальными фильтрами (например, для ssh так: ettercap -F etter.filter.ssh). Но, согласись, оно того стоит!

Постскриптум

Ну, вот и все. Уверен, что теперь, после прочтения статьи, у тебя не будет затруднений со снифингом коммутируемых локалок. Но особо обольщаться не советую! Не забывай, что перехват чужого трафика и нарушение тайны переписки наряду с прослушиванием телефонных линий противозаконны. Все описанные действия попадают сразу под несколько статей УК, так что несколько раз подумай, стоит игра свеч или нет.

Обнаружение сниферов

Для начала разберемся с методами обнаружения пассивных сниферов, используемых в некоммутируемых локальных сетях. Так как эти утилиты не порождают инородного трафика, то определить их по каким-то активным действиям невозможно. Зато используемый ими promiscuous-режим выдает их, как говорится, с потрохами. Все просто: сидишь в неразборчивом режиме - значит, снифаешь. Одна из самых распространенных технологий обнаружения promiscuous-mode'а основывается на анализе TCP/IP-стека и реализована в массе программ: AntiSniff (www.l0pht.com/antisniff/), Check Promiscuous Mode (ftp://coast.cs.purdue.edu/pub/tools/unix/cpm/), neped (www.apostols.org/projectz/neped/), sentinel (www.packetfactory.net/Projects/sentinel/). Первая, на мой взгляд, является наиболее продвинутой. Обнаружить активные снифаки, использующие прием ARP-спуфинг, пожалуй, еще более легкая задача, потому что они активно засыпают сеть целыми пачками заведомо ложных ARP-пакетов. Утилиты наподобие arpwatch (http://www-nrg.ee.lbl.gov) и remote arpwatch (www.raccoon.kiev.ua/projects/remarp/) путем мониторинга изменений в таблице ARP с легкостью обнаруживают подозрительный ARP-трафик и информируют о них администратора.