Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Для новичков
Страницы: 1
RSS
Сниферы, на уровне драйвера
 
#1
Это нравится:0Да/0Нет
14.04.2007 13:22:47
Собсвенно вопрос что это такое? что такое снифер я знаю, но слышал что существуют сниферы которые только слушают (т.е. обнаружить их невозможно)
Расскажите пожалуйста о некоторых безопастных сниферах и о способах их эксплуатации.

в недавнем прошлом пользовался снифером icqsnif. при каждом использовании сеть в моем раене (300-400компов) падалала, (как потом мне сообщил админ, это как раз было из-за меня  :)  ) Помогите избежать ошибок прошлого, наделите пожалуйста некоторыми знанинями и личным опытом по вопросу. Как действовать безопастно?
 
 
 
#2
Это нравится:0Да/0Нет
14.04.2007 16:12:36
Цитата
SecurityLameR пишет:
сниферы которые только слушают (т.е. обнаружить их невозможно)
Те сниферы, которые ТОЛЬКО слушают для локалки, построенной на свитчах не пойдют: без arp-спуфинга ну никак.

Любой снифер для прослушивания трафика не только который предназначен твоему компу, но и пакетов, изначально предназначавшиеся другим, должен перевести карточку в режим promiscous.
Поэтому суждение о невозможности обнаружить, не верно, т.к. режим promiscous вполне обнаруживаемый

А локалка падала из-за того, что весь трафик 300-400 компов шёл через тебя, создавая очень неслабую нагрузку на канал.
Чтоб этого не было - просто не прослушивай всё и вся: не стоит сразу хватать огромный кусок пирога.
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#3
Это нравится:0Да/0Нет
16.04.2007 02:22:31
вот те сниферы
http://www.securitylab.ru/software/1220/
 
 
 
#4
Это нравится:0Да/0Нет
16.04.2007 08:28:13
Безопасно для себя, чтоб никто не заметил, перехватывать пакеты пакеты можно только обчным снифером, то есть без arp-спуфинга. Правдо перехватывать ты сможешь только свои пакеты,  так как на хабах щас мало кто сидит. Короче правильно тебе сказали не надо перехватывать пакеты сразу со всех копмьютеров, в програме icqsnif насколько я помню есть такая возможность, перехватывать пакеты только с избраных хостов.
 
 
 
#5
Это нравится:0Да/0Нет
16.04.2007 08:29:17
Мне вот интересно как тебя админ вычислил, там ведь постоянно идёт подмена ip и mac адреса.
 
 
 
#6
Это нравится:0Да/0Нет
16.04.2007 10:18:40
Цитата
MainKaif пишет:
Мне вот интересно как тебя админ вычислил, там ведь постоянно идёт подмена ip и mac адреса.
я слышал что есть специальный софт, который ищет сниферы в сети. так же при использовании снифера пинг на определенном участке сети повышается т.е.  впринципе вычислить на какой машине сниферят можно, или я не прав?
 
 
 
#7
Это нравится:0Да/0Нет
16.04.2007 22:14:16
Цитата
MainKaif пишет:
Мне вот интересно как тебя админ вычислил, там ведь постоянно идёт подмена ip и mac адреса.
На скольк я помню, icqsniff отравляет arp-кэш удалённых компьютеров без всякой подмены IP и MAC.

Собственно, по куче ложных arp-ответов, посылаемых icqsnif и видно всё. Тем более: arp-запросов не было, а ответы идут и идут себе. Не странно ли? Вот таким образом Outpost сразу видит подобную атаку и сообщает юзеру

Цитата
SecurityLameR пишет:
так же при использовании снифера пинг на определенном участке сети повышается
Во время нагрузки на канал - да. А так - нет.
Т.е. пинг у тебя повысится, если трафик через тебя чужой пойдёт
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#8
Это нравится:0Да/0Нет
17.04.2007 07:59:00
Цитата
На скольк я помню, icqsniff отравляет arp-кэш удалённых компьютеров без всякой подмены IP и MAC
Покрайней мере админ на работе меня вычислить несмог, Outpost атаку фиксировал, но показывал какие то левые ip и mac адреса. Узнал о том что именно я снифингом занимаюсь, только тогда когда я сам пришол и ему сказал что это я.
 
 
 
#9
Это нравится:0Да/0Нет
17.04.2007 08:06:35
Цитата
я слышал что есть специальный софт, который ищет сниферы в сети. так же при использовании снифера пинг на определенном участке сети повышается т.е. впринципе вычислить на какой машине сниферят можно, или я не прав?
Обычный снифер можно сравнить , с радиоприёмником, то есть в сеть сам снифер ничего не посылает, а только принимает чужие пакеты, которые предназначены для других компьютеров, как его по твоем можно вычислить ?. Правдо такие сниферы в нынешних условиях практически бесполезны, так как даже в самой захудалой фирме используються маршрутизаторы. Снифер с arp-спуфингом работает по другой схеме, вот такой снифер согласем, можно вычислить, только я не знаю как.
 
 
 
#10
Это нравится:0Да/0Нет
17.04.2007 08:50:52
Цитата
Shanker пишет:
Те сниферы, которые ТОЛЬКО слушают для локалки, построенной на свитчах не пойдют: без arp-спуфинга ну никак.
Ну почему же. Можно настроить mirrow порт на коммутаторе, на который будет идти весь трафик. или там к SPAN порту подключиться. Никакой спуфинг для этого не требуется.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#11
Это нравится:0Да/0Нет
17.04.2007 08:59:34
Способов обнаружить сниффер - очень много. Да и материала по этой теме в сети предостаточно.
обнаружение снифферов в сети
 
 
 
#12
Это нравится:0Да/0Нет
17.04.2007 15:58:07
Цитата
Александр Антипов пишет:
Можно настроить mirrow порт на коммутаторе, на который будет идти весь трафик
Т.е. ломать и перенастраивать коммутатор - я правильно понял? А если там свитч не управляемый?

Цитата
MainKaif пишет:
в сеть сам снифер ничего не посылает, а только принимает чужие пакеты, которые предназначены для других компьютеров, как его по твоем можно вычислить
Сетевуха такой машинки, на которой снифер запущен, для приёма пакетов, которые ей не предназначены, должна перевестись в режим promiscous. Этот режим легко вычислить - достаточно послать на этот комп пакет с левым MAC, но настоящим IP того компа, на котором функционирует снифер. Если комп ответит - значит, он принял пакет (а не отфильтровал, как должен был) и его карточка действительно в режиме promiscous. Если комп с карточкой с таким режимом не является каким-нибудь маршрутизатором,можно выдвигать серьёзные подозрения о снифере.
Конечно, можно запретить компьютеру-сниферу отвечать на пакеты. Тогда мы не сможем определить снифер посылая кривые пакеты. Но это не единственный способ обнаружения.

Цитата
MainKaif пишет:
Снифер с arp-спуфингом работает по другой схеме
Схема та же. Просто добавится ещё периодический arp-спуфинг.

Цитата
MainKaif пишет:
Покрайней мере админ на работе меня вычислить несмог, Outpost атаку фиксировал, но показывал какие то левые ip и mac адреса.
Возможно, такая ситуация была из-за того, что в пакете от снифера поля "источник" и "получатель" отличались в заголовках ethernet и в заголовках самого IP-пакета. Outpost "ведётся" на такие штучки.

Цитата
MainKaif пишет:
можно вычислить, только я не знаю как.
Если у админа есть соответствия реальных MAC/IP то вычислить просто, увидев arp-запросы/ответы, которые не отвечают таблице соответствий.
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#13
Это нравится:0Да/0Нет
18.04.2007 08:00:03
Цитата
Если у админа есть соответствия реальных MAC/IP то вычислить просто, увидев arp-запросы/ответы, которые не отвечают таблице соответствий.
Вычеслить то можно что кто то сниферит, но как вычислить кто именно, если допустим одновременно подменяеться и mac и ip ?
 
 
 
#14
Это нравится:0Да/0Нет
18.04.2007 08:56:35
грамотный админ поставит управляемый свитч с port-security. Тогда злоумышленник не сможет работать, если подменит MAC/IP.

А так... Тогда определяется сегмент нарушителя и потом уже вычисляется сам компьютер. Особенно если у админа есть список компов с их IP/MAC для разных сегментов (т.е. "карта" с расположением компьютеров и их настройками) - тогда это вообще не проблема
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#15
Это нравится:0Да/0Нет
24.04.2007 22:56:10
Извините за лемерский вопрос, но помойму я попал по адресу:

У меня установлена программа. Хочу понять что она собственно делает, может даже её взломать.
Для этого необходимо проследить , что она получает по сети и что отправляет.
Мне нужна пргорамма, которая фиксирует весь трафик от и к этой программе и сохраняет все переданные и полученные пакеты, так чтоб можно было прочитать их побайтно.

Подскажите, если знаете.
 
 
 
#16
Это нравится:0Да/0Нет
25.04.2007 02:02:57
Матвей Егорович,
смотри тут: http://www.securitylab.ru/software/1239/
"Красота - как специи, которые хорошую еду делают ещё вкуснее, а без еды есть невозможно."
 
 
 
#17
Это нравится:0Да/0Нет
27.04.2007 12:10:32
А что можете предложить в таком случае:
есть список IP (допустип конкуренты)
нужно отследить кто из небольшой локалки заходит на эти адреса.
В случае попытки доступа отправлялось письмо на адрес админа  и сообщение (типа netsend) на определенную консоль.
Локалка на свиче, выход в инет через adsl-роутер

Получаются такие требования к сниферу:
1) работает как служба или вообще скрытый (если на каждый комп локалки)
2) не сильно грузит машину
3) ведет лог запросов-ответов только "неправильных" обращений
4) умеет вызывать внешнюю программу либо сам умеет отправлять почту
5) работает под Виндой  :D
6) умеет делать арп-спуфинг, если на одгой машине

EtherPeek НЕ подходит по п.1 и 6
Ettercap -  п2 и п4 (под Виндой у меня не пошло)

Я понимаю, что лучше написать самому локальный перехватчик и расставить на машины, но я не спец в системном программировании.
 
 
 
#18
Это нравится:0Да/0Нет
02.02.2010 00:03:33
Цитата
SecurityLameR пишет:
MainKaif пишет:
Мне вот интересно как тебя админ вычислил, там ведь постоянно идёт подмена ip и mac адреса.
у меня на работе подобное было... когда железки не "умные" были. вычислили методом исключения... просто поочередно отключали все компы на свиче, и смотрели прекратится "безобразие" или нет ))
собственно потому и поставили новое железо, чтоб не париться в следующий раз))
 
 
 
Страницы: 1
Читают тему