Удар по сниферу

Докучаев Дмитрий aka Forb

Хакер, номер #079, стр. 079-046-2

2. Провокация с помощью ARP

Второй метод поиска нюхачей заключается в посылке ARP-запроса на обычный, не широковещательный адрес. Когда система хочет узнать IP-адрес машины, она посылает на broadcast-ip запрос who has, который направлен на выявление MAC по известному IP. Исходя из факта, что машина с запущенным снифером примет все пакеты, можно послать ARP-запрос на конкретный IP-адрес. После того как пришел ARP-ответ, необходимо посмотреть айпишник отправителя. В случае, когда он не соответствует адресу, на который был послан запрос, можно судить, что на машине запущен снифер.

Рассмотрим этот прием на конкретном примере. Допустим, ты находишься за компьютером A с IP-адресом 192.168.0.5 и шлешь ARP-запрос на IP-адрес 192.168.0.6. После этого тебе возвращается ответ с MAC-адресом, но уже от 192.168.0.13. Это означает, что за последним хостом скрывается злоумышленник, вооруженный пассивным снифером :).

3. DNS — твой друг, товарищ и брат

При приеме данных снифер сразу же пытается резолвнуть IP-адрес в удобочитаемый hostname. Именно за эту зацепку можно ухватиться и таким образом выявить перехватчик. Если ты являешься администратором сети, то твои действия упрощаются. Необходимо лишь выполнить команду tail -f /var/log/named/queries.log и пингануть машинку, которой в данный момент нет в сети. В этот момент снифер умеючи перехватит ICMP-пакет и попытается резолвнуть адрес отправителя и получателя. В логе DNS-запросов сразу же появятся сведения об этом, и ты быстро уличишь хакера.

Сложнее, если ты обычный пользователь локалки. Но даже в таком случае можно воспользоваться этим приемом. Тебе нужно лишь отплатить врагу той же монетой. Запусти любой снифер, установи в нем фильтр на DNS-запросы и пингуй какой-нибудь узел. Если в логе перехватчика появятся сведения об обращении к DNS-серверу, пришедшие с левого IP-адреса, знай: в сегменте завелся хакер. Кстати, этот метод является универсальным и работает даже в том случае, если злоумышленник пользуется сторонним DNS-сервером без логирования запросов.

Однако может случиться так, что взломщик намеренно отключит трансляцию IP-адресов в символьные значения. В этом случае можно прибегнуть к более изощренным способам отлова.

4. Ловушка

В наше время становятся модными сниферы, которые отображают только важную информацию. Сейчас уже мало кто будет пользоваться простыми анализаторами сети типа tcpdump. Хакер лучше скачает умную программу ZXSniffer, умеющую отлавливать пароли к различным сервисам. На таких взломщиков мы и будем искать управу.

Самый простой способ этого метода заключается в следующем: допустим, у тебя есть свой FTP-сервер, на котором ты хранишь различные фильмы и музыку. Твоя задача — заинтересовать хакера, чтобы он зашел на твой FTP’шник. Причем не под обычным логином, а под привилегированным. Для этого создай пользователя root со сложным паролем. Затем зайди с тачки, не принадлежащей твоей локалке, на собственный FTP. Ловушка готова! Теперь, если хакер отловил «привилегированный» аккаунт, он обязательно зайдет посмотреть на твой архив. А ты по логам определишь IP, за которым скрывается злоумышленник.