Операция «Вулкан-5: Перехват»

Докучаев Дмитрий aka Forb

Хакер, номер #078, стр. 078-068-1

(forb@real.xakep.ru)

Практическое применение сетевых сниферов

Каждому известно, что для перехвата сетевой информации используются сниферы. Эти по-гениальному простые программы способны отлавливать потоки чужих данных, а в ряде случаев выцеплять из них пароли на различные сервисы. По одному простому запросу на поисковике можно найти несколько десятков разных сниферов. Но какой из них лучше и обладает большими возможностями? Я решил провести практические занятия, чтобы ответить на этот вопрос.

[рекогносцировка на местности]

Для тестирования профпригодности сниферов была выбрана локальная сеть со следующей логической топологией: сразу за моим компьютером находился восьмипортовый хаб, подключаемый к 24-портовому свитчу. Уже за ним находился шлюз. Это идеальные условия для снифинга, так как здесь можно проверить и обычные возможности перехватчика, и фичу ARP-спуфинга, если таковая имеется. Но обо всем по порядку.

В самом начале я попробую провести атаку на моего соседа, подключенного к обычному повторителю. Это ерундовая задача, и с ней должен справиться любой снифер. Проверим это немедленно!

[EtherScan Analyzer — коммерческий и неудобный]

Для начала я попробовал заюзать снифер под названием EtherScan Analyser. Эта коммерческая программа, по словам разработчиков, способна улавливать любую информацию на повторителях. Это мне в данный момент и необходимо. Я скачиваю полутораметровый архив (www.etherscan.com/esa.exe) с программой и устанавливаю софт. При запуске меня просят купить приложение, но я не соблазняюсь :), а нажимаю Evaluate. Программа быстро запустилась, и я вижу красивый форточный интерфейс. Везде удобные кнопки и подсказки – дизайн сделан на ура. Но мне важно не расположение диалоговых элементов, а нормальная работа перехватчика, что сейчас и следует проверить.

Сперва нужно выбрать адаптер для прослушивания в менюшке Tools -> Select Adapter. Это обязательно следует сделать, так как EtherScan по умолчанию почему-то подвязывает виртуальный сетевой адаптер от VmWare, но никак не интерфейс локальной сети. После выбора жму кнопку Start. Вижу, что в правой части пошли перехваченные пакеты. Среди этих данных очень много мусора, в котором можно легко запутаться, что не входит в мои планы. Благо, этот снифер обладает возможностью фильтровать приходящие пакеты. Я жму кнопку Filter, захожу во вкладку Ports и отмечаю FTP-сервис. Затем передвигаюсь далее, в раздел Words, и добавляю слово «PASS» в список фильтруемых. Теперь все готово к отлову важной информации. В течение получаса я жду, пока снифер покажет первый совпадающий пакет. Смотрю его свойства и внутри данных замечаю выражение «PASS iloveyou». Пароль действительно работал, и таким образом я завладел доступом к варезному FTP-архиву.

Можно сказать, я протестировал основную работу EtherScan Analyser’а. Со спокойной душой программа была закрыта и удалена с моей машины. Платить за это творение 150 баксов было для меня слишком дорогим удовольствием, так как в программе, кроме хорошего дизайна и фильтра, ничего удобного нет. Возможно, перехватчик можно использовать для изучения протокола TCP/IP, но никак не для сетевых атак.