Операция «Вулкан-5: Перехват»

Докучаев Дмитрий aka Forb

Хакер, номер #078, стр. 078-068-5

* Dsniff (www.datanerds.net/~mike/binaries/dsniff-1.8-win32-static.tgz) – консольный снифер. Состоит из нескольких компонентов. Если говорить кратко, то программа умеет логировать пароли на WWW, POP3/IMAP, FTP и Telnet. Также можно использовать программу для отлова информации, переданной в HTTP-формах.

* Netasyst (www.netasyst.ru/downloads/Netasyst1.0.zip) – платный и громоздкий снифер. Его вес составляет 43 мегабайта, и применим он разве что для просмотра сетевой активности. Вместо информации о пакетах можно увидеть великолепные графики, диаграммы и спидометры с пропускной способностью сети.

* ICQ Sniffer (www.securitylab.ru/tools/download/44256.html)– еще один снифер для перехвата переписки по ICQ. Правда, его возможности несравнимы с продуктом от UfaSoft с похожим названием. Перехватчик умеет выцеплять все ICQ-сообщения и группировать их по номерам.

* Ettercap (http://download.kappa.ro/action__download/id__1353)– этот снифер уже как-то описывали на страницах журнала, поэтому я намеренно не поместил его в обзор. Портированная версия под Windows почти не отличается от *nix-релиза. Перехватчик может использовать различные технологии, начиная от ARP и заканчивая методами пассивного перехвата :).

* Iris (http://softportal.com/download/download.php?id=2304&t=2) – очередной платный снифер. В демоверсии существуют ограничения по фильтрации и логированию данных, а также отсутствуют механизмы расшифровки паролей. Если заплатить, разработчики обещают полнофункциональный перехватчик. Однако учитывая, что Iris не умеет осуществлять ARP, можно легко найти ему альтернативу.

Кратко об ARP Poisoning

Технология Arp Poisoning (или «Отравление ARP-таблиц») относится к классу атак Man-In-the-Middle. Атака осуществляется посредством обмена ложными ARP-запросами. Рассмотрим простой пример. У нас в сети имеются три машины: омпьютер Пети, Васи и хакера Миши. Задача взломщика – перехватить данные между двумя машинами пользователей. В первую очередь Михаил проверяет, имеется ли в ARP-кэше на его машине MAC-адрес компьютера Пети. Если да, то он будет его использовать. Если нет – посредством ARP он отправляет широковещательный запрос с IP-адресом для поиска нужного MAC’а. То же самое происходит и для второй машины. В момент, когда оба MAC-адреса найдены, взломщик выдаст себя за Васю для Пети и наоборот. Это легко сделать, так как ARP-обмен происходит безо всякой аутентификации. Когда операционная система получает IP, уже находящийся в ARP-таблице и соотносящийся с другим MAC-адресом, она просто затрет эту запись, что только на руку хакеру. Теперь злоумышленник будет ждать передачи данных от одной машины к другой. Вся информация уйдет совершенно на другой порт коммутатора – на комп хакера. Просмотрев пакет и сохранив его для дальнейшего изучения, Михаил перенаправит его на машину Васи. Таким образом, данные будут проходить по верному маршруту, но только через третью машину. Следует напомнить, что рассылку ложных MAC-адресов нужно проводить раз в 30 секунд, иначе операционная система принудительно обновит таблицу и получит правильный MAC-адрес.