El problema con la LAN es ¿por qué sólo una o dos de las más de 20 computadoras pueden acceder a Internet?

Consulte a continuación para obtener información más detallada, pero debe tener paciencia.

Los rastreadores existen desde casi tanto tiempo como Internet. Sniffer es una forma común de recopilar datos útiles, que pueden ser cuentas de usuario y contraseñas, datos comerciales confidenciales, etc. Con la creciente popularidad de Internet y el comercio electrónico, la seguridad en Internet está recibiendo cada vez más atención. Sniffer, que desempeña un papel importante en los riesgos de seguridad de Internet, está recibiendo cada vez más atención, por lo que hoy me gustaría presentarles una introducción a Sniffer y cómo bloquearlo.

La mayoría de los piratas informáticos sólo quieren detectar hosts en la intranet y obtener el control. Sólo aquellos piratas informáticos "ambiciosos" querrán controlar toda la red, instalar troyanos y puertas traseras y borrar registros. Este método requiere que el host que ejecuta el programa rastreador y el host monitoreado estén en el mismo segmento de Ethernet, por lo que ejecutar el rastreador en un host externo no es efectivo. Además, el programa rastreador debe usarse como root para escuchar el tráfico en un segmento de Ethernet. Para hablar sobre los rastreadores de Ethernet, primero debemos analizar el rastreo de Ethernet.

Entonces, ¿qué es un rastreador de Ethernet?

El rastreo de Ethernet es el proceso de escuchar paquetes transmitidos en un dispositivo Ethernet y descubrir paquetes de interés. Si se encuentra un paquete coincidente, se almacena en el archivo de registro

. Estas condiciones normalmente se establecen para paquetes que contienen "nombre de usuario" o "contraseña". El propósito es poner la capa de red en modo promiscuo para que pueda hacer otra cosa.

El modo promiscuo significa que todos los dispositivos de la red escuchan los datos del bus, no solo sus propios datos. Desde la introducción básica a cómo funciona Ethernet en el Capítulo 2, podemos ver claramente que cuando un dispositivo desea enviar datos a un destino, los está transmitiendo a Ethernet. Los dispositivos conectados al bus Ethernet están recibiendo datos en todo momento. Pero simplemente pasa sus propios datos a la aplicación en esa computadora.

Al usar esto, el rastreador se puede habilitar configurando la conexión de red de la computadora para aceptar datos de todos los buses de red Ethernet

.

Los rastreadores generalmente se ejecutan en enrutadores o hosts con capacidades de enrutador.

Los rastreadores normalmente se ejecutan en enrutadores o hosts con capacidades de enrutador, lo que les permite monitorear grandes cantidades de datos. Normalmente, un atacante obtiene acceso a un sistema objetivo y luego utiliza un rastreador como medio de ataque para obtener información adicional.

Además de obtener contraseñas o nombres de usuario, los sniffers también pueden obtener más información, como otra información importante, información financiera transmitida a través de Internet, etc. Un rastreador puede detectar casi cualquier paquete transmitido a través de Ethernet. Los piratas informáticos pueden utilizar varios métodos para hacerse con el control de un sistema y dejar una puerta trasera para volver a entrar y garantizar que el rastreador pueda ejecutarse. En las plataformas Solaris 2.x, los programas rastreadores normalmente se instalan en los directorios /usr/bin o /dev. Los piratas informáticos también pueden modificar inteligentemente la hora para que el programa rastreador parezca estar instalado al mismo tiempo que otros programas del sistema.

La mayoría de los programas rastreadores de Ethernet se ejecutan en segundo plano y envían los resultados a un archivo de registro. Los piratas informáticos suelen modificar el programa ps para dificultar que los administradores del sistema detecten programas rastreadores en ejecución.

El programa rastreador de Ethernet configura la interfaz de red del sistema en modo mixto. De esta manera, puede escuchar todos los paquetes que fluyen a través del mismo segmento de Ethernet, independientemente de si el destinatario o el remitente del paquete es el host que ejecuta el rastreador. El programa almacena nombres de usuario, contraseñas y otros datos de interés para los piratas informáticos en archivos de registro. El pirata informático esperará un período de tiempo -----, como una semana, y luego volverá a descargar el archivo de registro.

Dicho todo esto, ¿podemos hablar de sniffers en un lenguaje sencillo?

Las redes informáticas se diferencian de las líneas telefónicas y disfrutan de canales de comunicación. ****El disfrute es cuando una computadora es capaz de recibir información enviada a otras computadoras. La captura de datos transmitidos a través de una red se llama rastreo.

Ethernet es la forma más utilizada por los ordenadores para conectarse a Internet. El protocolo Ethernet envía paquetes de información a todos los hosts en la misma línea. El encabezado del paquete contiene la dirección correcta del host de destino. Por lo general, sólo el host con esa dirección aceptará el paquete. Si un host puede recibir todos los paquetes independientemente de los encabezados de los paquetes, esto a menudo se denomina modo "promiscuo".

Debido a que en un entorno de red normal, la información de cuenta y contraseña se transmite en texto claro a través de Ethernet, una vez que un intruso obtiene acceso raíz a uno de los hosts y lo coloca en modo "Promiscuo" para espiar el red, entonces es posible invadir todas las computadoras de la red.

En resumen, un rastreador es un dispositivo de piratería y una herramienta de escucha ilegal.

2. Cómo funciona el sniffer

Normalmente, todas las interfaces de red en el mismo segmento de red tienen la capacidad de acceder a todos los datos transmitidos en el medio físico, y cada interfaz de red también debería hacerlo. tener una dirección de hardware que sea diferente de las direcciones de hardware de otras interfaces de red presentes en la red. Cada red también debe tener al menos una dirección de transmisión. (En circunstancias normales, una interfaz de red legítima solo debe responder a los dos tipos siguientes de tramas de datos:

1. El área de destino de la trama tiene una dirección de hardware que coincide con la interfaz de red local.

2. El área objetivo del marco tiene una "dirección de transmisión"

Al recibir un paquete de datos, el sistema CNC generará una interrupción de hardware a través de la computadora para atraer la atención. del sistema operativo Los datos contenidos en el marco se transmiten al sistema para su posterior procesamiento.

Sniffer es un software que establece el estado del sistema CNC local en "sincronizado". está en el estado "sincronizado", el sistema CNC tendrá una "dirección de transmisión" que generará una interrupción de hardware por cada cuadro que encuentre para alertar al sistema operativo sobre cada paquete que fluye a través del medio físico (

Como puede ver, el rastreador funciona en la parte inferior del entorno de la red, intercepta todos los datos transmitidos en la red y analiza el contenido de los datos en tiempo real mediante el procesamiento de software adecuado para analizar el estado y el diseño general de la red. Tenga en cuenta que el sonido del rastreador es extremadamente pequeño, es un ataque de seguridad pasivo.

Por lo general, el contenido que preocupa a los rastreadores se puede dividir en las siguientes categorías:

1. Contraseña

I. Esta se considera la razón de la gran mayoría de los usos ilegales de los rastreadores. El sniffer puede registrar el ID de usuario y la contraseña transmitidos en texto claro, incluso si utiliza datos cifrados durante la transmisión de la red. El rastreador también puede permitir que un intruso descubra su algoritmo mientras come kebabs en casa.

2. Cuentas financieras

A muchos usuarios les gusta usar sus tarjetas de crédito. números de cuentas en línea o en efectivo, pero los rastreadores pueden interceptar fácilmente nombres de usuario, contraseñas, números de tarjetas de crédito, fechas de vencimiento, números de cuentas y contraseñas transmitidas a través de Internet

3. . >

Al interceptar paquetes, un intruso puede registrar fácilmente el nombre, la contraseña, el número de tarjeta de crédito, la fecha de vencimiento, el número de cuenta y la contraseña de alguien. Un intruso puede registrar fácilmente la transmisión de información confidencial entre otros, o simplemente interceptar la totalidad. transacciones por correo electrónico

4. Espiar información de protocolo de bajo nivel

El autor cree que esto es algo muy aterrador al registrar el protocolo de información subyacente, como grabar entre dos. hosts Dirección de interfaz de red, dirección IP de interfaz de red remota, información de enrutamiento IP y número de secuencia de bytes de la conexión TCP.

Si esta información es controlada por intrusos ilegales, causará un gran daño a la seguridad de la red. Por lo general, solo hay una razón por la que alguien usa rastreadores para recopilar esta información: está cometiendo fraude (generalmente el fraude de direcciones IP requiere que se inserte con precisión la secuencia de bytes). número de la conexión TCP, esto se indicará en la organización del artículo más adelante) Si a alguien le importa mucho este tema, ¡entonces el sniffer es adecuado para él! Si a alguien le importa esto, el rastreador es sólo el preludio de un problema mucho mayor. (Para los piratas informáticos avanzados, creo que esta es la única razón para usar un rastreador)

Entorno de trabajo del rastreador

Un rastreador es un dispositivo que puede capturar información de la red del equipo. El uso adecuado de un rastreador es analizar el tráfico de la red para descubrir problemas potenciales en la red de interés. Por ejemplo, si una parte de la red no funciona correctamente y la información se envía lentamente y no sabemos cuál es el problema, podemos utilizar un rastreador para determinar exactamente cuál es el problema.

Los rastreadores varían ampliamente en funcionalidad y diseño. Algunos rastreadores pueden analizar sólo un protocolo, mientras que otros pueden analizar cientos de protocolos. En términos generales, la mayoría de los rastreadores son capaces de analizar al menos los siguientes protocolos:

1. Ethernet estándar

2 TCP/IP

3. p>

4. DECNet

Sniffer suele ser una combinación de hardware y software. Los rastreadores especializados son muy caros. Los rastreadores gratuitos, por otro lado, no cuestan nada pero reciben poco apoyo.

Los rastreadores son diferentes de los programas de captura de teclado comunes. Los programas de captura de teclado capturan las pulsaciones de teclas escritas en el terminal, mientras que los rastreadores capturan información real de la red. Un rastreador hace esto colocándose en una interfaz de red, por ejemplo, configurando una tarjeta Ethernet en modo promiscuo. (Para entender qué es el modo promiscuo, primero explique cómo funciona LAN).

Los datos se transmiten en la red en unidades extremadamente pequeñas llamadas tramas (FTames). (Por ejemplo, los primeros 12 bytes de una trama Ethernet contienen las direcciones de origen y destino; estos bits le dicen a la red de dónde provienen los datos y hacia dónde van). El resto de la trama Ethernet contiene los datos reales del usuario, el TCP /encabezado IP o IPX Prime).

Las tramas se forman mediante un software especial llamado controlador de red y luego se envían al cable de red a través de la tarjeta de red. A través del cable de red llegan a la máquina de destino, donde se realiza el proceso inverso en un extremo de la máquina de destino. La tarjeta Ethernet en el extremo receptor de la máquina captura las tramas, le dice al sistema operativo que están llegando y luego las almacena. Es durante este proceso de transmisión y recepción cuando los rastreadores pueden causar problemas de seguridad.

Cada estación de trabajo de la LAN tiene su propia dirección de hardware. Estas direcciones representan de forma única máquinas en la red (similar al sistema de direcciones de Internet). Cuando los usuarios envían mensajes, los mensajes se envían a todas las máquinas disponibles en la red de área local.

En términos generales, todas las máquinas de la red pueden "escuchar" el tráfico que pasa, pero no responderán a la información que no les pertenece (en otras palabras, la estación de trabajo A no captará el tráfico que les pertenece). a los datos de la estación de trabajo A B, pero simplemente ignórelo).

Si la interfaz de red de una estación de trabajo está en modo promiscuo, entonces puede capturar todos los mensajes y marcos en la red. Si la estación de trabajo está configurada de esta manera, entonces (incluido su software) es un rastreador.

Daño potencial causado por rastreadores:

1.

2 Capaz de capturar información confidencial o de propiedad exclusiva

3. la seguridad de sus vecinos de red o obtener un mayor nivel de acceso

De hecho, si hay un rastreador no autorizado en su red, se puede considerar que su sistema ha estado expuesto a otros. (Puedes probar la función de rastreo de Skywalker 2)

Normalmente, solo rastreamos los primeros 200 a 300 bytes de cada paquete. Esta parte incluye el nombre de usuario y la contraseña, y es la parte que realmente nos importa.

Si hay suficiente espacio para almacenar esta información y suficiente espacio para procesarla, entonces el mismo trabajador que puede olfatear toda la información en una interfaz determinada encontrará otras cosas muy interesantes….

Simplemente poner un rastreador en cualquier lugar no servirá de nada. Colocar un rastreador cerca de la máquina o red comprometida capturará una gran cantidad de contraseñas; un mejor enfoque es colocarlo en la puerta de enlace. Si hace esto, puede capturar el proceso de identificación de una red con otras redes. Este enfoque aumentará exponencialmente nuestro rango de ataque.

III. ¿Quién usará un sniffer?

Quizás alguien sepa quién usará un sniffer, pero no todos los que lo usan son expertos en redes, porque ahora muchos sniffer se han vuelto tontos. -Existencias similares El rastreador más utilizado hace algún tiempo era el rastreador oicq. Creo que aquellos amigos a los que les gusta comprobar las IP de sus amigos deberían recordarlo. Jaja, lo he usado antes, ¡pero por supuesto que no lo necesito ahora!

Por supuesto, los administradores de sistemas utilizan rastreadores para analizar el tráfico de la red y encontrar dónde ocurren los problemas en la red. Los administradores de seguridad pueden utilizar varios rastreadores simultáneamente, colocándolos por toda la red para formar un sistema de alerta de intrusión. Sniffer es una gran herramienta para administradores de sistemas, pero también es una herramienta que suelen utilizar los piratas informáticos. Los piratas informáticos instalan rastreadores para obtener nombres de usuario y números de cuenta, números de tarjetas de crédito, información personal y otra información, que puede causarle un daño enorme a usted o a su empresa si algo sale mal. Una vez que tienen esta información, los piratas informáticos pueden utilizar las contraseñas para atacar otros sitios de Internet e incluso vender números de tarjetas de crédito.

3. Cómo implementar sniffers en la red

Al hablar de este tema, también deberíamos hablar primero de la comunicación Ethernet. Normalmente, todas las interfaces de red en el mismo segmento de red pueden acceder a todos los datos transmitidos en el medio, y cada interfaz de red también debe tener una dirección de hardware que sea diferente de la dirección de hardware de otras interfaces de red en la red. al menos Una dirección de transmisión. En circunstancias normales, una interfaz de red legítima sólo debería responder a dos de estos marcos de datos:

1?

2? El área de destino de la trama tiene una "dirección de transmisión".

Cuando se recibe un paquete en ambos casos, la NIC genera una interrupción de hardware a través de la CPU. Esta interrupción se informa al sistema operativo, que luego transfiere los datos contenidos en el marco al sistema para su posterior procesamiento. Un rastreador es un software que puede configurar el estado de la tarjeta de red local en modo promiscuo. Cuando la tarjeta de red está en modo promiscuo, tiene una "dirección de transmisión" que genera una interrupción de hardware cada vez que se encuentra una trama, alertando al sistema operativo para que procese cada paquete. (La mayoría de las NIC se pueden configurar en modo promiscuo.

Como puede ver, el rastreador funciona en la parte inferior del entorno de red e intercepta todos los datos transmitidos en la red. Con el procesamiento de software correspondiente, puede analizar el contenido de estos datos y luego analizar el estado y el diseño general de la red. Vale la pena señalar que el rastreador tiene muy poco ruido y es un método de ataque de seguridad pasivo.

IV. Sniffer

El sniffer del que estamos hablando se utiliza principalmente en el sistema Unix. En cuanto al sniffer oicq, no está dentro del alcance de nuestra discusión.

Es uno de los. Técnicas de piratería más comunes utilizadas por los piratas informáticos. Puede ejecutar un rastreador en una red permitida para ver con qué eficacia puede comprometer la seguridad de su computadora local.

Los rastreadores también pueden ser software. Actualmente, los más utilizados y diversos son los rastreadores de software, que son los que utilizan la mayoría de los piratas informáticos.

Aquí se muestran algunas herramientas de rastreo que se utilizan ampliamente para depurar fallos de red:

(a. ). Rastreadores comerciales:

1. Network General

Network General ha desarrollado una variedad de productos, el más importante de los cuales es Expert Sniffer, que no solo puede olfatear, sino también. También envíe/reciba paquetes a través de un sistema dedicado de alto rendimiento para ayudar a diagnosticar fallas.

Además, existe un producto mejorado, el Distrbuted Sniffer System, que puede utilizar una estación de trabajo UNIX como consola rastreadora y distribuir agentes rastreadores a hosts remotos.

2. Net Monitor de Microsoft

Para algunos sitios comerciales, puede ser necesario ejecutar varios protocolos (NetBEUI, IPX/SPX, TCP/IP, 802.3 y SNA) al mismo tiempo. tiempo. Puede resultar difícil encontrar un rastreador que ayude a resolver problemas de red porque muchos rastreadores tienden a tratar algunos paquetes de protocolo correctos como paquetes incorrectos. Net Monitor de Microsoft (anteriormente conocido como Bloodhound) resuelve este problema distinguiendo correctamente entre paquetes únicos, como los paquetes de control Netware y las transmisiones del servicio de nombres NT NetBios. (Etherfind sólo reconoce estos paquetes como paquetes de difusión de tipo 0000). Esta herramienta se ejecuta en la plataforma MS Windows. Incluso puede monitorear las estadísticas de la red y la información de la sesión por dirección MAC (o nombre de host). Simplemente haga clic en la sesión para obtener la salida estándar de tcpdump. La configuración del filtro también es la más simple: simplemente haga clic en el host que desea monitorear en el cuadro de diálogo.

(ii). Sniffer gratuito

1. Sniffit fue desarrollado por Lawrence Berkeley Laboratory y puede ejecutarse en plataformas como Solaris, SGI y Linux. Puede seleccionar una dirección de origen y de destino o un conjunto de direcciones, así como un puerto, protocolo e interfaz de red para escuchar. De forma predeterminada, SNIFFER solo acepta los primeros 400 bytes de paquetes, lo que es suficiente para iniciar sesión.

2.SNORT: este SNIFFER tiene muchas opciones para su uso, es fácil de transportar y también puede registrar cierta información de conexión para rastrear algunas actividades de la red.

3.TCPDUMP: Este SNIFFER es muy famoso. También se usa en sistemas Linux y FREEBSD. Muchos expertos en UNIX lo consideran una herramienta de administración de redes profesional. Recuerdo que Tsutomu Shimomura (debería llamarse Shimomura) lo usaba. su propia versión modificada de TCPDUMP para grabar KEVINMITNESS. Tsutomu Shimomura registró por primera vez el ataque de KEVINMITNICK a su sistema usando su propia versión modificada de TCPDUMP, y luego cooperó con el FBI para capturar a KEVINMITNICK, y luego escribió un artículo: "Use estos registros LOG para describir el ataque, cómo Mitnick pirateó a Tsutomu Shimomura con un ataque de secuencia IP ".

( /~lspitz/snoop.html

(4). Herramienta Sniffer en Linux

Herramienta Sniffer en Linux, I Recomiendo usar Tcpdump

[1]. Instalación de tcpdump

Instalar tcpdump en Linux es instalarlo como un paquete rpm. la forma de programa fuente.

1. Instalar en forma de paquete rpm

Esta forma de instalación es el método de instalación más simple. En formato binario, puedes instalarlo directamente a través del comando rpm sin modificar nada. Inicia sesión como superusuario y utiliza el siguiente comando:

#rpm -ivh tcpdump-3_4a5.rpm