Операция «Вулкан-5: Перехват»

Докучаев Дмитрий aka Forb

Хакер, номер #078, стр. 078-068-3

[Каин и Авель]

Я уже говорил, что в моей сети до маршрутизатора присутствует повторитель и коммутатор. Если данные на повторителе мне удалось отлавливать, то с коммутатором не все так просто. Сама технология коммутации пакетов подразумевает гарантированную доставку данных на станцию с конкретным MAC-адресом. Однако существует ряд сниферов, которые способны вклиниться в обмен данными между двумя машинами и перезаписать ARP-таблицу на обоих узлах. Иными словами, для компьютера A снифер представляется как машина B и наоборот. Ты понимаешь, что при таком раскладе можно не только читать содержимое пакетов, но и изменять информацию на лету. Эта атака получила название Man-In-Middle (MIM) и широко применяется в хакерских кругах.

Один из хороших сканеров, который способен реализовать MIM, называется Cain & Abel (www.oxid.it/downloads/ca_setup.exe). Весит он целых пять метров и требует установки библиотеки WinPCAP. Причем лучше установить именно версию, находящуюся в дистрибутиве. В противном случае перехватчик данных откажется формировать список адаптеров. По крайней мере, так случилось у меня.

После запуска программы можно легко затеряться в кнопках и разделах снифера. Похоже, разработчики засунули в софтину все, что только можно. Сперва это, конечно, пугает, но потом начинаешь привыкать и думать, что это действительно нужно :). Если быть кратким, то в этой программе можно встретить множество брутфорсов хэшей (MD3, MD4, MD5, DES, Cisco, MySQL, SHA1, SHA2 и т.п.). Все эти типы можно найти во вкладке Cracker. Помимо этого, существует возможность сгенерировать любой хэш по заданному паролю.

Но меня пока не интересуют добавочные возможности. Сперва следует разобраться с самим перехватом данных. Я иду в раздел Sniffer и выбираю внизу вкладку Hosts. Затем вижу подсказку, что мне необходимо добавить хосты для слежения. Делаю это нажатием кнопки «+» на верхней панельке. Тут же генерируются все адреса из моей подсети. Теперь программа готова к перехвату паролей. Но пока что только через концентратор.

Для того чтобы воспользоваться фичей Arp Poisoning Routing, я выбираю внизу соответствующую вкладку. Затем мне необходимо выбрать два узла, между которыми я буду осуществлять перехват. Один из них, разумеется, будет шлюзом. Второй – компьютером некого делового человека, живущего в соседнем доме. Я нажимаю универсальную кнопку «+», а затем выделяю два IP-адреса. Остается лишь активировать снифер и ARP. Для этого нажимаются две кнопки в верхнем левом углу.

Теперь остается только ждать и наблюдать за проходящими пакетами в нижнем поле программы. Признаком того, что таблицы ARP перезаписаны, является надпись «Poisoning» возле IP-адреса. Чтобы наверняка проверить работу снифера, я зацепился с рабочего шелла на FTP-сервер соседа и увидел успешно залогированный пароль. Причем разработчики перехватчика сделали так, чтобы все пароли автоматически переносились в раздел Cracker (его я описывал ранее). Не пожалев времени, я соотнес все айпишники из моей сети со шлюзом и стал наблюдать за сетевой активностью. На свитче сидят 20 пользователей, и уже через полминуты парольный список стал быстро пополняться.