Píšeme jednoduchý sniffer pro Windows. Čichač - jaké zvíře Dobré úmysly a zlomyslné cíle

Mnoho uživatelů počítačových sítí obecně nezná pojem „sniffer“. Zkusme definovat, co je to sniffer, jednoduchým jazykem netrénovaného uživatele. Nejprve se ale ještě musíte ponořit do předdefinice samotného pojmu.

Sniffer: co je to sniffer z pohledu anglického jazyka a výpočetní techniky?

Ve skutečnosti není vůbec těžké určit podstatu takového softwarového nebo hardwarově-softwarového komplexu, pokud tento termín jednoduše přeložíte.

Tento název pochází z anglického slova sniff (sniff). Odtud pochází význam ruského výrazu „čichač“. Co je to sniffer v našem chápání? „Sniffer“ schopný monitorovat využití síťového provozu, nebo jednodušeji, špión, který může zasahovat do provozu místních nebo internetových sítí a získávat informace, které potřebuje, na základě přístupu přes protokoly přenosu dat TCP/IP.

Dopravní analyzátor: jak to funguje?

Udělejme rezervaci hned: sniffer, ať už se jedná o softwarovou nebo sharewarovou komponentu, je schopen analyzovat a zachycovat provoz (vysílaná a přijímaná data) výhradně prostřednictvím síťových karet (Ethernet). Co se stalo?

Síťové rozhraní není vždy chráněno firewallem (opět softwarovým nebo hardwarovým), a proto se zachycení přenášených či přijímaných dat stává pouze technologickou záležitostí.

V rámci sítě jsou informace přenášeny napříč segmenty. V rámci jednoho segmentu mají být datové pakety odesílány absolutně všem zařízením připojeným k síti. Segmentované informace jsou předávány směrovačům (routerům) a poté přepínačům (přepínačům) a koncentrátorům (hubům). Odesílání informací se provádí rozdělením paketů tak, aby koncový uživatel obdržel všechny části balíčku spojené dohromady ze zcela odlišných cest. „Poslouchání“ všech potenciálních cest od jednoho předplatitele k druhému nebo interakce internetového zdroje s uživatelem tedy může poskytnout nejen přístup k nešifrovaným informacím, ale také k některým tajným klíčům, které mohou být také zaslány v takovém procesu interakce. . A zde se ukazuje, že síťové rozhraní je zcela nechráněné, protože do něj zasahuje třetí strana.

Dobré úmysly a zlé úmysly?

Sniffery lze použít pro dobré i špatné. Nemluvě o negativním dopadu, stojí za zmínku, že takové softwarové a hardwarové systémy jsou poměrně často využívány systémovými administrátory, kteří se snaží sledovat akce uživatelů nejen na síti, ale také jejich chování na internetu z hlediska navštívených zdrojů, aktivované stahování do počítačů nebo odesílání z nich .

Metoda, kterou síťový analyzátor funguje, je poměrně jednoduchá. Čichač detekuje odchozí a příchozí provoz stroje. Nemluvíme o interní nebo externí IP. Nejdůležitějším kritériem je tzv. MAC adresa, jedinečná pro jakékoli zařízení připojené ke globálnímu webu. Používá se k identifikaci každého stroje v síti.

Typy čichačů

Ale podle typu je lze rozdělit do několika hlavních:

• Hardware;
• software;
• hardware a software;
• online applety.

Behaviorální detekce přítomnosti snifferu v síti

Stejný WiFi sniffer poznáte podle zatížení sítě. Pokud je zřejmé, že datový přenos nebo připojení není na úrovni udávané poskytovatelem (nebo router umožňuje), měli byste tomu okamžitě věnovat pozornost.

Na druhou stranu může poskytovatel spustit i softwarový sniffer pro sledování provozu bez vědomí uživatele. Ale uživatel o tom zpravidla ani neví. Ale organizace poskytující služby komunikace a připojení k internetu tak uživateli zaručuje úplnou bezpečnost z hlediska zachycení záplav, samoinstalace klientů různých trojských koní, špionů atd. Takové nástroje jsou však spíše softwarové a nemají velký dopad na síť nebo uživatelské terminály.

Online zdroje

Ale online analyzátor provozu může být obzvláště nebezpečný. Primitivní počítačový hackerský systém je postaven na použití snifferů. Technologie ve své nejjednodušší podobě se scvrkává na skutečnost, že útočník se nejprve zaregistruje na určitém zdroji a poté na stránku nahraje obrázek. Po potvrzení stažení je vydán odkaz na online sniffer, který je potenciální oběti zaslán např. ve formě emailu nebo stejné SMS zprávy s textem jako „Dostali jste gratulaci od so-a -tak. Chcete-li otevřít obrázek (pohlednici), klikněte na odkaz.“

Naivní uživatelé kliknou na zadaný hypertextový odkaz, v důsledku čehož se aktivuje rozpoznání a externí IP adresa se předá útočníkovi. Pokud má příslušnou aplikaci, bude moci nejen prohlížet všechna data uložená v počítači, ale také snadno zvenčí měnit nastavení systému, což si místní uživatel ani neuvědomí, přičemž takovou změnu bude považovat za vliv viru. Ale skener při kontrole neukáže žádné hrozby.

Jak se chránit před zachycením dat?

Ať už se jedná o WiFi sniffer nebo jakýkoli jiný analyzátor, stále existují systémy na ochranu před neoprávněným skenováním provozu. Existuje pouze jedna podmínka: musí být instalovány pouze tehdy, pokud jste si zcela jisti „odposlechem“.

Takové softwarové nástroje se nejčastěji nazývají „antisniffers“. Ale pokud se nad tím zamyslíte, jedná se o tytéž čichací programy, které analyzují provoz, ale blokují jiné programy, které se snaží přijímat

Z toho plyne legitimní otázka: vyplatí se instalovat takový software? Možná jeho hackování hackery způsobí ještě větší škody, nebo samo zablokuje to, co by mělo fungovat?

V nejjednodušším případě se systémy Windows je lepší použít jako ochranu vestavěný firewall. Někdy může dojít ke konfliktům s nainstalovaným antivirem, ale to se často týká pouze bezplatných balíčků. Profesionální zakoupené nebo měsíčně aktivované verze takové nedostatky nemají.

Místo doslovu

To je vše o konceptu „sniffer“. Myslím, že mnoho lidí již přišlo na to, co je sniffer. Nakonec zůstává otázka: jak správně bude běžný uživatel takové věci používat? Jinak mezi mladými uživateli lze občas zaznamenat sklon k počítačovému chuligánství. Myslí si, že hacknutí cizího počítače je něco jako zajímavá soutěž nebo sebepotvrzení. Bohužel nikdo z nich ani nepřemýšlí o důsledcích, ale identifikovat útočníka pomocí stejného online snifferu je velmi snadné podle jeho externí IP například na webu WhoIs. Je pravda, že jako umístění bude uvedeno umístění poskytovatele, země a město však budou určeny přesně. Pak je to otázka maličkostí: buď výzva poskytovateli, aby zablokoval terminál, ze kterého byl neoprávněný přístup, nebo trestní řízení. Udělejte si vlastní závěry.

Pokud je nainstalován program, který určuje umístění terminálu, ze kterého se provádí pokus o přístup, je situace ještě jednodušší. Důsledky však mohou být katastrofální, protože ne všichni uživatelé používají tyto anonymizátory nebo virtuální proxy servery a nemají ani ponětí o internetu. Stálo by za to se naučit...

Program Wireshark bude vynikajícím pomocníkem pro ty uživatele, kteří potřebují provést podrobnou analýzu síťových paketů - provozu počítačové sítě. Sniffer snadno spolupracuje s takovými běžnými protokoly jako netbios, fddi, nntp, icq, x25, dns, irc, nfs, http, tcp, ipv6 a mnoho dalších. Během analýzy umožňuje rozdělit síťový paket na příslušné komponenty podle konkrétního protokolu a zobrazit na obrazovce čitelné informace v číselné podobě.
podporuje velké množství různých formátů přenášených a přijímaných informací a je schopen otevřít soubory, které používají jiné nástroje. Princip činnosti spočívá v tom, že síťová karta přejde do režimu vysílání a začne zachycovat síťové pakety, které jsou v oblasti její viditelnosti. Může fungovat jako program pro zachytávání wifi paketů.

Jak používat wireshark

Program studuje obsah informačních paketů, které procházejí sítí. Ke spuštění a používání výsledků snifferu nepotřebujete žádné specifické znalosti, stačí jej otevřít v nabídce „Start“ nebo kliknout na ikonu na ploše (spuštění se neliší od jakéhokoli jiného programu Windows) . Speciální funkce nástroje umožňuje zachytit informační pakety, pečlivě dešifrovat jejich obsah a vrátit je uživateli k analýze.

Po spuštění wireshark uvidíte na obrazovce hlavní nabídku programu, která se nachází v horní části okna. Používá se k ovládání utility. Pokud potřebujete načíst soubory, které ukládají data o paketech zachycených v předchozích relacích, a také uložit data o dalších paketech zachycených v nové relaci, budete k tomu potřebovat kartu „Soubor“.

Pro spuštění funkce zachytávání síťových paketů musí uživatel kliknout na ikonu „Zachytit“ a poté najít speciální sekci nabídky nazvanou „Rozhraní“, pomocí které můžete otevřít samostatné okno „Rozhraní zachytávání Wireshark“, kde by měla být všechna dostupná síťová rozhraní pomocí kterého budou zachyceny potřebné datové pakety. V případě, že program (sniffer) dokáže detekovat pouze jedno vhodné rozhraní, zobrazí o něm na obrazovce všechny důležité informace.

Výsledky práce utility jsou přímým důkazem toho, že i když uživatelé nejsou samostatně (v daný čas) zapojeni do přenosu jakýchkoli dat, výměna informací v síti se nezastaví. Koneckonců, princip fungování místní sítě spočívá v tom, že aby se udržela v provozním režimu, každý z jejích prvků (počítač, přepínač a další zařízení) si navzájem nepřetržitě vyměňují servisní informace, proto jsou takové síťové nástroje navrženy tak, aby zachytily takové balíčky.

Existuje i verze pro systémy Linux.

Je třeba poznamenat, že Sniffer je velmi užitečný pro správce sítě a služby počítačové bezpečnosti, protože nástroj vám umožňuje identifikovat potenciálně nechráněné uzly sítě – pravděpodobné oblasti, které mohou být napadeny hackery.

Kromě svého přímého účelu může být Wireshark použit jako nástroj pro sledování a další analýzu síťového provozu za účelem organizace útoku na nechráněné oblasti sítě, protože zachycený provoz lze použít k dosažení různých cílů.

Každý člen týmu ][ má své vlastní preference týkající se softwaru a utilit pro
test perem. Po konzultaci jsme zjistili, že výběr se liší natolik, že je to možné
vytvořit opravdovou gentlemanskou sadu osvědčených programů. A je to
rozhodl. Abychom z toho nebyli žvásty, rozdělili jsme celý seznam do témat – a do
Tentokrát se dotkneme nástrojů pro čichání a manipulaci s pakety. Použijte jej
zdraví.

Wireshark

Netcat

Pokud mluvíme o odposlechu dat, pak Network Miner budou staženy ze vzduchu
(nebo z předem připraveného výpisu ve formátu PCAP) soubory, certifikáty,
obrázky a další média, stejně jako hesla a další informace pro autorizaci.
Užitečnou funkcí je vyhledávání těch částí dat, které obsahují klíčová slova
(například přihlášení uživatele).

Scapy

Webová stránka:
www.secdev.org/projects/scapy

Povinná výbava každého hackera, je to mocný nástroj
interaktivní manipulaci s pakety. Přijímat a dekódovat pakety většiny
různé protokoly, odpovědět na požadavek, vložit upravené a
balíček vytvořený sami - vše je snadné! S jeho pomocí můžete provést celek
řadu klasických úkolů jako skenování, tracorute, útoky a detekce
síťové infrastruktury. V jedné láhvi získáme náhradu za tak oblíbené nástroje,
jako: hping, nmap, arpspoof, arp-sk, arping, tcpdump, tetheral, p0f atd. Při tom
už je čas Scapy umožňuje provádět jakýkoli úkol, i ten nejkonkrétnější
úkol, který nikdy nemůže provést jiný již vytvořený vývojář
prostředek. Místo psaní celé hory řádků v C např.
stačí vygenerovat špatný paket a fuzzovat nějakého démona
hodit pár řádků kódu pomocí Scapy! Program nemá
grafické rozhraní a interaktivity je dosaženo prostřednictvím tlumočníka
Krajta. Jakmile to pochopíte, nebude vás nic stát vytvoření nesprávného
pakety, vložit potřebné rámce 802.11, kombinovat různé přístupy v útocích
(řekněme otrava mezipaměti ARP a přeskakování VLAN) atd. Sami vývojáři na tom trvají
aby bylo zajištěno, že schopnosti Scapy budou využívány v jiných projektech. Připojování
jako modul je snadné vytvořit nástroj pro různé typy místního výzkumu,
vyhledávání zranitelností, injekce Wi-Fi, automatické spouštění specifických
úkoly atd.

balíček

Webová stránka:
Platforma: *nix, existuje port pro Windows

Zajímavý vývoj, který umožňuje na jedné straně generovat jakékoli
ethernetový paket, a na druhé straně posílat sekvence paketů s účelem
kontroly šířky pásma. Na rozdíl od jiných podobných nástrojů, balíček
má grafické rozhraní, které vám umožňuje vytvářet balíčky tím nejjednodušším způsobem
formulář. Dále více. Speciálně propracované je vytvoření a odeslání
sekvence paketů. Můžete nastavit zpoždění mezi odesláním,
posílat pakety maximální rychlostí pro testování propustnosti
části sítě (ano, to je místo, kde se budou podávat) a co je ještě zajímavější -
dynamicky měnit parametry v paketech (například IP nebo MAC adresu).

Čichač není vždy zlomyslný. Ve skutečnosti se tento typ softwaru často používá k analýze síťového provozu za účelem zjištění a odstranění anomálií a zajištění hladkého provozu. Sniffer však může být použit se zlým úmyslem. Sniffery analyzují vše, co jimi prochází, včetně nešifrovaných hesel a přihlašovacích údajů, takže hackeři s přístupem k snifferu mohou získat osobní údaje uživatelů. Sniffer lze navíc nainstalovat na jakýkoli počítač připojený k lokální síti, aniž by bylo nutné jej instalovat na samotné zařízení – jinými slovy, nelze jej detekovat po celou dobu připojení.

Odkud pocházejí čichači?

Hackeři používají sniffery ke krádeži cenných dat sledováním síťové aktivity a shromažďováním osobních údajů o uživatelích. Útočníci se obvykle nejvíce zajímají o uživatelská hesla a přihlašovací údaje, aby získali přístup k online bankovnictví a účtům online obchodů. Nejčastěji hackeři instalují sniffery na místa, kde jsou distribuována nezabezpečená Wi-Fi připojení, například v kavárnách, hotelech a na letištích. Sniffery se mohou maskovat jako zařízení připojené k síti v takzvaném spoofingovém útoku, aby ukradli cenná data.

Jak poznat čichače?

Neautorizované sniffery je velmi obtížné virtuálně rozpoznat, protože je lze nainstalovat téměř kdekoli, což představuje velmi vážnou hrozbu pro bezpečnost sítě. Běžní uživatelé často nemají šanci rozpoznat, že sniffer sleduje jejich síťový provoz. Teoreticky je možné nainstalovat vlastní sniffer, který by monitoroval veškerý DNS provoz na přítomnost jiných snifferů, ale pro běžného uživatele je mnohem jednodušší nainstalovat antisniffovací software nebo antivirové řešení, které obsahuje ochranu síťové aktivity pro zastavení jakékoli neoprávněné vniknutí nebo skrytí vašich síťových aktivit.

Jak odstranit sniffer

Můžete použít vysoce účinný antivirus k detekci a odstranění všech typů malwaru nainstalovaného ve vašem počítači pro účely sniffování. Chcete-li však sniffer úplně odstranit z počítače, musíte odstranit absolutně všechny složky a soubory, které se k němu vztahují. Důrazně se také doporučuje používat antivirus se síťovým skenerem, který důkladně prověří lokální síť na zranitelnosti a v případě jejich nalezení dá pokyn k dalšímu postupu.

Jak se nestát obětí sniffera

• Šifrujte všechny informace, které odesíláte a přijímáte
• Prohledejte místní síť, zda neobsahuje zranitelnosti
• Používejte pouze ověřené a zabezpečené sítě Wi-Fi

Chraňte se před čichači

První věc, kterou může uživatel udělat, aby se ochránil před sniffery, je použít vysoce kvalitní antivirus, jako je bezplatný antivirus Avast, který je schopen důkladně prohledat celou síť kvůli bezpečnostním problémům. Dalším a vysoce účinným způsobem ochrany informací před sniffováním je šifrování všech dat odeslaných a přijatých online, včetně e-mailů. pošta. Avast SecureLine vám umožňuje bezpečně šifrovat všechny výměny dat a provádět online akce ve 100% anonymitě.

SmartSniff umožňuje zachytit síťový provoz a zobrazit jeho obsah v ASCII. Program zachycuje pakety procházející síťovým adaptérem a zobrazuje obsah paketů v textové podobě (protokoly http, pop3, smtp, ftp) a jako hexadecimální výpis. K zachycení paketů TCP/IP používá SmartSniff následující techniky: raw sockets - RAW Sockets, WinCap Capture Driver a Microsoft Network Monitor Driver. Program podporuje ruský jazyk a je snadno použitelný.

Program Sniffer pro zachycení paketů

SmartSniff zobrazuje následující informace: název protokolu, místní a vzdálenou adresu, místní a vzdálený port, místní uzel, název služby, objem dat, celkovou velikost, čas zachycení a čas posledního paketu, trvání, místní a vzdálenou MAC adresu, země a datový paket obsah . Program má flexibilní nastavení, implementuje funkci zachytávacího filtru, rozbalování http odpovědí, převod IP adres, utilita je minimalizována na systémovou lištu. SmartSniff generuje zprávu o tocích paketů jako HTML stránku. Program umí exportovat TCP/IP streamy.