Как администраторы и хакеры могут использовать приложения для отслеживания трафика

Содержание:

Содержание
Веб-сервер
Классификация снифферов (sniffers)
Пассивный и активный нюхающий
Как предотвратить атаки сетевых перехватчиков
Хемули.
Scapy
Как защититься от снифферов
Обычная атака
Шаг 6. Что делать, если трафик зашифрован и используется HTTPS?
Unix’овые снифферы
Пассивный и активный нюхающий
Отчёт: география и посещаемость сайта
Пассивный и активный нюхающий
Фильтрация
Как предотвратить атаки сетевых перехватчиков
HTML верстка и анализ содержания сайта

Содержание

Заголовки для www.snif-f.ru

Веб-сервер

Информация о дата-центре
Время загрузки веб-сервера составляет 0.14 секунды
«приложения для отслеживания транспорта» AS13335 CloudFlare, Inc. Phoenix Arizona United States 33.4484, -112.074

Серверами доменных имён являются ray.ns.cloudflare.com (173.245.59.138), rachel.ns.cloudflare.com (173.245.58.215). ИП адрес сайта 104.18.55.215
ИП:	104.18.55.215
Тип сервера:	cloudflare-nginx
Кодировка:	UTF-8

ПИНГ www.snif-f.ru (104.18.55.215) Размер пакета составляет 39 байт.
39 байт для 104.18.55.215: seq_num=1 TTL=56	37.0 мс
39 байт для 104.18.55.215: seq_num=2 TTL=56	36.5 мс
39 байт для 104.18.55.215: seq_num=3 TTL=56	36.9 мс

— www.snif-f.ru результаты пинга —
4 запроса отправлено, 4 пакета получено, 0 потеряно (0% потерь)
Средний пинг до сервера составляет 27.6 мс, и среднее время загрузки сайта 0.14 секунды.

Конфигурация веб-сервера
Контроль кеша:	no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Тип содержания:	text/html; charset=utf-8
Дата:	Mon, 27 Mar 2017 23:18:48 GMT
Истекает срок:	Thu, 19 Nov 1981 08:52:00 GMT
Прагма:	no-cache
Веб-сервер:	cloudflare-nginx
Х-поддержка:	PHP/5.4.45
Добавление куки:	+
П3П:	—
Разное:	—
Е-тэг:	—
Содержание MD5:	—
Штифты открытого ключа:	—

Данные являются приблизительными*
Последнее обновление: 05.04.2017 20:58:39

Классификация снифферов (sniffers)

Как включить экономию трафика на андроид: актуальные способы сбережения трафика

Перехватывать потоки данных можно легально и нелегально. Понятие «сниффер» применяется именно по отношению к нелегальному сценарию, а легальные продукты такого рода называют «анализатор трафика».

Решения, применяемые в рамках правового поля, полезны для того, чтобы получать полную информацию о состоянии сети и понимать, чем заняты сотрудники на рабочих местах. Помощь таких программ оказывается ценной, когда необходимо «прослушать» порты приложений, через которые могут отсылаться конфиденциальные данные. Программистам они помогают проводить отладку, проверять сценарии сетевого взаимодействия. Используя анализаторы трафика, можно своевременно обнаружить несанкционированный доступ к данным или проведение DoS-атаки.

Нелегальный перехват подразумевает шпионаж за пользователями сети: злоумышленник сможет получить информацию о том, какие сайты посещает пользователь, и о том, какие данные он пересылает, а также узнать о применяемых для общения программах. Впрочем, основная цель незаконного «прослушивания» трафика — получение логинов и паролей, передаваемых в незашифрованном виде.

Снифферы различаются следующими функциональными особенностями:

Поддержка протоколов канального уровня, а также физических интерфейсов.
Качество декодирования протоколов.
Пользовательский интерфейс.
Доступ к статистике, просмотру трафика в реальном времени и т.д.

Пассивный и активный нюхающий

Как узнать остаток трафика на билайне

Прежде чем мы рассмотрим пассивный и активный сниффинг, давайте рассмотрим два основных устройства, используемых для сетевых компьютеров; концентраторы и коммутаторы.

Концентратор работает, отправляя широковещательные сообщения на все выходные порты, кроме того, который отправил широковещание . Компьютер получателя отвечает на широковещательное сообщение, если IP-адрес совпадает. Это означает, что при использовании концентратора все компьютеры в сети могут видеть широковещательное сообщение. Он работает на физическом уровне (уровень 1) модели OSI.

Диаграмма ниже иллюстрирует работу концентратора.

Переключатель работает по-другому; он сопоставляет IP / MAC-адреса с физическими портами на нем . Широковещательные сообщения отправляются на физические порты, которые соответствуют конфигурации IP / MAC-адреса компьютера получателя. Это означает, что широковещательные сообщения видны только на компьютере получателя. Коммутаторы работают на канальном уровне (уровень 2) и сетевом уровне (уровень 3).

На приведенной ниже схеме показано, как работает коммутатор.

Пассивный анализатор перехватывает пакеты, передаваемые по сети, которая использует концентратор . Это называется пассивным анализом, потому что его трудно обнаружить. Это также легко выполнить, так как концентратор отправляет широковещательные сообщения на все компьютеры в сети.

Активный сниффинг перехватывает пакеты, передаваемые по сети, использующей коммутатор . Существует два основных метода, используемых для обнаружения связанных сетей: отравление ARP и затопление MAC.

Как предотвратить атаки сетевых перехватчиков

Если вы обеспокоены тем, что программное обеспечение для слежения за сетью отслеживает сетевой трафик, исходящий от вашего компьютера, есть способы защитить себя.

Существуют этические причины, по которым кому-то может понадобиться использовать сетевой сниффер, например, когда сетевой администратор отслеживает поток сетевого трафика.

Когда сетевые администраторы обеспокоены злонамеренным использованием этих инструментов в своей сети, они используют анти-снифф-сканирование для защиты от атак сниффера. Это означает, что корпоративные сети обычно безопасны.

Тем не менее, легко получить и использовать сетевой сниффер со злыми намерениями, что делает его незаконное использование в вашем домашнем интернете поводом для беспокойства. Для кого-то может быть легко подключить такое программное обеспечение даже к корпоративной компьютерной сети.

Если вы хотите защитить себя от того, кто шпионит за вашим интернет-трафиком, используйте VPN, который шифрует ваш интернет-трафик.

Хемули.

«Хемули достигают

почти двойной высоты обычного папоротника. У них вытянутые и немного

угнетенные лица. Розовые глаза. Нет ушей, но вместо них несколько

пучков синих или цвета имбири волос. Хемули — вовсе не выдающиеся

интеллектуалы и легко становятся фанатиками. Их ноги ужасно большие

и плоские. Они не могут научиться свистеть, и поэтому не любят любой

свист.» — Муми-папа, «Мемуары папы Муми-тролля«.

Коллекционер насекомых.

Все Хемули довольно

занудны. Любят командовать и никогда не признают своей неправоты.

Как правило, что-нибудь

коллекционируют. Этот Хемуль

присутствует в книге «Муми-тролль и комета» и впервые появляется в

пятой главе.

Филателист\ботаник.

Этот Хемуль впервые

появляется в десятой главе книги «Муми-тролль и комета». Он

присутствует в книгах «Муми-тролль и комета», «Шляпа волшебника» и в

рассказе «Секрет хатифнаттов».

Хемулиха — директриса дома для подкидышей

муми-троллей.

У этой Хемулихи есть

тётя. Она присутствует в книге «Мемуары папы Муми-тролля» и впервые

появляется в первой главе Барышня с

ужасным характером, а ещё педагог… Эх, вот такие и «съели»

Макаренко.

Тётка Хемулихи.

Тётя

Хемулихи-директрисы. Она присутствует в книге «Мемуары папы

Муми-тролля» и впервые появляется в третьей

главе Её чуть не съела ,

а потом она нашла своё призвание в воспитании клипдассов.

Хемуль на Садовом празднике.

Этот Хемуль

появляется в пятой главе книги «Мемуары папы Муми-тролля».

Хемули из гвардии Самодержца.

Эти Хемули появляются

в шестой главе книги «Мемуары папы Муми-тролля».

Добровольный оркестр Хемулей.

Оркестр появляется в

седьмой главе книги «Мемуары папы Муми-тролля».

Полицейский Хемуль.

Этот Хемуль

присутствует в книге «Опасное лето» и впервые появляется в седьмой

главе.

Хемуль — надзиратель тюрьмы.

У этого Хемуля есть

кузина, которая, по всей видимости, не является Хемулихой. Хемуль

присутствует в книге «Опасное лето» и впервые появляется в

одиннадцатой главе.

Самодеятельный оркестр Хемулей.

Оркестр появляется в

двенадцатой главе книги «Опасное лето».

Хемули, сдающие напрокат лодки и проверяющие

билеты.

Эти Хемули появляются

в двенадцатой главе книги «Опасное лето».

Хемульские полицейские силы.

Эти Хемули появляются

в двенадцатой главе книги «Опасное лето».

Хемуль — лыжник.

Этот Хемуль

присутствует в книге «Волшебная зима» и впервые появляется в пятой

главе.

Организатор.

Этот Хемуль

присутствует в книге «В конце ноября», где впервые упоминается в

первой главе, а появляется в пятой главе.

Хемуль, который переодевался перед едой.

Этот Хемуль

упоминается в рассказе «Весенняя песня».

Хемуль, который продал Филифьонке её летний

дом.

Этот Хемуль

упоминается в рассказе «Филифьонка, которая верила в

катастрофы».

Хемуль — рыбак.

Этот Хемуль забрал

дракона у Снусмумрика в рассказе «Повесть о последнем в мире

драконе».

Хемуль, который любил тишину.

Этот Хемуль

появляется в рассказе «Хемуль, который любил тишину».

Родственники Хемуля.

Доброжелательные

родственники Хемуля, который любил тишину из рассказа «Хемуль,

который любил тишину».

Малыши Хемули.

Малыши Хемули, о

которых заботился Хемуль, который любил тишину из рассказа «Хемуль,

который любил тишину».

Хемуль.

Появляется в рассказе

«Ёлка», так же, как и его тётя.

Тётя Хемуля.

Появляется в рассказе

«Ёлка» со своим племянником.

Огромный Хемуль.

Появляется в книге

«Маленькие тролли и большое наводнение». Именно он отобрал у

кресло, на котором они плавали.

Ý Ý

Scapy

Сайт: www.secdev.org/projects/scapy

Must-have для любого хакера, представляющий собой мощнейшую тулзу для интерактивной манипуляции пакетами. Принять и декодировать пакеты самых различных протоколов, ответить на запрос, инжектировать модифицированный и собственноручно созданный пакет — все легко! С ее помощью можно выполнять целый ряд классических задач, вроде сканирования, tracorute, атак и определения инфраструктуры сети. В одном флаконе мы получаем замену таких популярных утилит, как: hping, nmap, arpspoof, arp-sk, arping, tcpdump, tetheral, p0f и т.д. В то же самое время Scapy

позволяет выполнить любое, даже самое специфическое задание, которое никогда не сможет сделать уже созданное другим разработчиком средство. Вместо того чтобы писать целую гору строк на Си, чтобы, например, сгенерировать неправильный пакет и сделать фаззинг какого-то демона, достаточно накидать пару строчек кода с использованиемScapy ! У программы нет графического интерфейса, а интерактивность достигается за счет интерпретатора Python. Чуть освоишься, и тебе уже ничего не будет стоить создать некорректные пакеты, инжектировать нужные фреймы 802.11, совмещать различные подходы в атаках (скажем, ARP cache poisoning и VLAN hopping) и т.д. Разработчики сами настаивают на том, чтобы возможности Scapy использовались в других проектах. Подключив ее как модуль, легко создать утилиту для различного рода исследования локалки, поиска уязвимостей, Wi-Fi инжекции, автоматического выполнения специфических задач и т.д.

Как защититься от снифферов

Вот несколько советов, которые помогут обычным юзерам обезопасить себя от снифф-атаки:

1Используйте шифрование. Это наиболее простой и очевидный, но работающий метод. Все очень просто. Установите в браузер расширение VPN или такую же программу на компьютер и пользуйтесь интернетом только с ним. Секрет в том, что ваши пакеты будут настолько зашифрованными и их путь будет настолько непонятным, что никакой сниффер их не перехватит. Другие типы шифрования, с которыми вы можете столкнуться и работать: SSH, S/MIME, S/Key, SHTTP, SSL и так далее.

2Используйте программу AntiSniff for Windows. Это очень удобная и бесплатная программа, которую легко найти в интернете (например, здесь). Работает она крайне просто – сканирует сеть на предмет всевозможных шпионов и сообщает, если таковые будут обнаружены. Это самый простой и понятный принцип, который позволяет обезопасить себя от кибератак.

Рис. 6. AntiSniff for Windows

3Используйте PromiScan. По своим свойствам и выполняемым задачам эта программа очень схожа с AntiSniff for Windows, поэтому выберете что-то одно. В сети тоже есть множество ссылок на скачивание (). Это инновационная программа, которая позволяет отдаленно контролировать компьютеры, подключенные к одной сети. Принцип ее работы состоит в определении узлов, которых не должно быть в сети. Собственно, это, скорее всего, и есть снифферы. Программа выявляет их и сигнализирует об этом красноречивым сообщением. Очень удобно!.

Рис. 7. PromiScan

4Используйте криптографию, а если развернуто, криптографическую систему с открытым ключом. Это специальная система шифрования или электронной подписи. Ее «фишка» в том, что ключ открытый и все могут его видеть, но изменить данные невозможно, так как это нужно сделать на всех компьютерах сети одновременно. Прекрасный метод – как приманка для вора. В данной статье вы можете прочитать про блокчейн, где используется именно такая система.

5Не скачивайте подозрительные программы, не заходите на подозрительные сайты и так далее. Об этом знает каждый современный пользователь и все же именно этот путь является основным для попадания троянов и других пакостей в вашу операционную систему. Поэтому очень ответственно относитесь к использованию интернета в принципе!

Надеемся, мы смогли все объяснить простым и понятным языком.

Рекомендовать

Обычная атака

Для начала нам нужно скачать программу. Некоторые браузеры могут ругаться, если вы попытаетесь скачать приложение с официального сайта – sniff.su. Но можете попробовать. Если вам лень проходить данную защиту, то вы можете скачать приложение с GitHub.

Скачиваем архив с версией или «v». Далее устанавливать ничего не нужно и достаточно просто разархивировать содержимое.

В зависимости от того как вы подключены к сети, в левом верхнем углу будет отображаться соответствующий значок – нажимаем по нему;

Нужно выбрать свой работающий сетевой модуль. Я выбрал с тем, у которого уже присвоен локальны IP, то есть мой IP адрес;

На пустой области нажимаем правой кнопочкой и далее запускаем «Smarty Scan»;

Далее вы увидите список IP адресов, а также MAC и дополнительную информацию об устройствах в сети. Достаточно выбрать одну из целей атаки, нажать по ней и далее из списка выбрать «Add as Target», чтобы программа закрепила устройство. После этого нажимаем на кнопку запуска в правом верхнем углу окна;

Заходим в раздел «MiTM mode» и нажимаем на значок радиации;

Процесс запуска запущен, теперь, чтобы посмотреть логины и пароли – перейдите в третью вкладку;

На второй вкладке вы увидите все переданные данные;

Как видите тут можно только увидеть и засечь перехваченные ключи и имена пользователей, а также те сайты, которые посетила цель.

Шаг 6. Что делать, если трафик зашифрован и используется HTTPS?

Для ответа на этот вопрос есть несколько вариантов.

Вариант 1. Подключиться в разрыв соединения между пользователем и сервером и захватить трафик в момент установления соединения (SSL Handshake). В момент установки соединения можно перехватить сеансовый ключ.

Вариант 2. Вы можете расшифровать трафик HTTPS, используя файл журнала сеансовых ключей, записываемый Firefox или Chrome. Для этого браузер должен быть настроен на запись этих ключей шифрования в файл журнала (пример на базе FireFox), и вы должны получить этот файл журнала. По сути, необходимо похитить файл с ключом сессии с жесткого диска другого пользователя (что является незаконным). Ну а далее захватить трафик и применить полученный ключ для его расшифровки.

Уточнение.
Мы говорим о веб-браузере человека, у которого пытаются украсть пароль. Если же мы подразумеваем расшифровку нашего собственного HTTPS трафика и хотим потренироваться, то эта стратегия будет работать. Если вы пытаетесь расшифровать HTTPS трафик других пользователей без доступа к их компьютерам, это не сработает — на то оно и шифрование, и личное пространство.

После получения ключей по варианту 1 или 2 необходимо прописать их в WireShark:

Идем в меню Edit — Preferences — Protocols — SSL.
Ставим флаг «Reassemble SSL records spanning multiple TCP segments».
«RSA keys list» и нажимаем Edit.
Вводим данные во все поля и прописываем путь в файлу с ключом

WireShark может расшифровывать пакеты, которые зашифрованы с использованием алгоритма RSA. В случае если используются алгоритмы DHE/ECDHE, FS, ECC, сниффер нам не помощник.

Вариант 3. Получить доступ к web-серверу, которым пользуется пользователь, и получить ключ. Но это является еще более сложной задачей. В корпоративных сетях с целью отладки приложений или контент фильтрации этот вариант реализуется на легальной основе, но не с целью перехвата паролей пользователей.

Unix’овые снифферы

Все снифферы данного обзора можно найти на packetstorm.securify.com.

linsniffer Это простой сниффер для перехвата логинов/паролей. Стандартная компиляция (gcc -o linsniffer linsniffer.c). Логи пишет в tcp.log.

linux_sniffer Linux_sniffer требуется тогда, когда вы хотите детально изучить сеть. Стандартная компиляция. Выдает всякую шнягу дополнительно, типа isn, ack, syn, echo_request (ping) и т.д.

Sniffit Sniffit — продвинутая модель сниффера написанная Brecht Claerhout. Install(нужна libcap): #./configure #make Теперь запускаем сниффер: #./sniffit usage: ./sniffit (-t<Target IP> | -s<Source IP>) | (-i|-I) | -c<config file>] Plugins Available: 0 — Dummy Plugin 1 — DNS Plugin

Как видите, сниффит поддерживает множество опций. Можно использовать сниффак в интерактивном режиме. Сниффит хоть и довольно полезная прога, но я ей не пользуюсь. Почему? Потому что у Sniffit большие проблемы с защитой. Для Sniffit’a уже вышли ремоутный рут и дос для линукса и дебиана! Не каждый сниффер себе такое позволяет:).

HUNT Это мой любимый сниффак. Он очень прост в обращении, поддерживает много прикольных фишек и на данный момент не имеет проблем с безопасностью. Плюс не особо требователен к библиотекам (как например linsniffer и Linux_sniffer). Он может в реальном времени перехватывать текущие соединения и под чистую дампить с удаленного терминала. В общем, Hijack rulezzz:). Рекомендую всем для усиленного юзания:). Install: #make Run: #hunt -i

READSMB Сниффер READSMB вырезан из LophtCrack и портирован под Unix (как ни странно:)). Readsmb перехватывает SMB пакеты.

TCPDUMP tcpdump — довольно известный анализатор пакетов. Написанный еще более известным челом — Вэн Якобсоном, который придумал VJ-сжатие для PPP и написал прогу traceroute (и кто знает что еще?). Требует библиотеку Libpcap. Install: #./configure #make Теперь запускаем ее: #tcpdump tcpdump: listening on ppp0 Все твои коннекты выводит на терминал. Вот пример вывода на пинг

В общем, снифф полезен для отладки сетей, нахождения неисправностей и т.д.

Dsniff Dsniff требует libpcap, ibnet, libnids и OpenSSH. Записывает только введенные команды, что очень удобно. Вот пример лога коннекта на unix-shells.com:

03:58:04 tcp my.ip.1501 -> handi4-145-253-158-170.arcor-ip.net.23 (telnet) stalsen asdqwe123 ls pwd who last exit

Вот dsniff перехватил логин с паролем (stalsen/asdqwe123). Install: #./configure #make #make install

Пассивный и активный нюхающий

Диаграмма ниже иллюстрирует работу концентратора.

На приведенной ниже схеме показано, как работает коммутатор.

Отчёт: география и посещаемость сайта

Отчёт в графической форме показывает объём посещений сайта snif-f.ru, в динамике, с привязкой к географическому размещению активных пользователей данного сайта.
Отчёт доступен для сайтов, входящих в TOP-100000 рейтинга Alexa. Для всех остальных сайтов отчёт доступен с некоторыми ограничениями.

Alexa Rank – рейтинговая система оценки сайтов, основанная на подсчете общего количества просмотра страниц и частоты посещений конкретного ресурса. Alexa Rank вычисляется исходя из показателей за три месяца. Число Alexa Rank – это соотношение посещаемости одного ресурса и посещаемости прочих Интернет-порталов, поэтому, чем ниже число Alexa Rank, тем популярнее ресурс.

Пассивный и активный нюхающий

Диаграмма ниже иллюстрирует работу концентратора.

На приведенной ниже схеме показано, как работает коммутатор.

Фильтрация

В Charles Proxy очень много вариантов фильтрации запросов.

Начнем с вкладки Structure. Самое примитивное — скопировать хост и вставить в поле Filter. Так мы увидим только запросы с этого хоста. Примерно того же результата можно добиться, если в контекстном меню хоста выбрать Focus. Остальные запросы будут собраны в Other Hosts. Если при этом перейти на закладку Sequence и отметить настройку Focused, то в списке окажется информация только о тех запросах, которые были выбраны на вкладке Structure.

На вкладке Sequence есть аналогичный фильтр.

Charles Proxy умеет работать с регулярными выражениями. Для этого на вкладке Sequence выбираем Settings и отмечаем пункт Filter uses regex. И вписываем в поле поиска элементарную регулярку.

Например, вот так

можно выбрать все запросы, в которых в начале имени хоста находится четыре буквы, а потом идет точка.

Там же можно включить Autoscroll списка запросов или указать максимальное количество строк.

В Charles Proxy можно фильтровать не только отображение, но и запись запросов. Для этого надо зайти в Proxy -> Record settings и задать условия на одной из вкладок — Include или Exclude — так мы включаем или выключаем запись запросов данного хоста.

Похожего результата можно добиться, используя блок-листы. Включить хост в блок лист можно из контекстного меню (команда Block list) или через добавление в Tools -> Block list, где следует отметить Enable Block list.

Блокируемый запрос можно прервать двумя способами (подходящий надо выбрать в настройках):

сбросить соединение;
вернуть ошибку 403.

От выбранного способа блокировки зависит, какой ответ мы получим.

Можно провести эксперимент. Включим наш тестовый стенд в Block list, выбрав простой сброс соединения. С помощью контекстного меню запроса повторим его (команда Repeat) и получим такой ответ:

Статус запроса — Failed, а в описании ошибки указано, что Connection dropped.

Как предотвратить атаки сетевых перехватчиков

HTML верстка и анализ содержания сайта

Размещённая в данном блоке информация используется оптимизаторами для контроля наполнения контентом главной страницы сайта, количества ссылок, фреймов, графических элементов, объёма теста, определения «тошноты» страницы.
Отчёт содержит анализ использования Flash-элементов, позволяет контролировать использование на сайте разметки (микроформатов и Doctype).

IFrame – это плавающие фреймы, которые находится внутри обычного документа, они позволяет загружать в область заданных размеров любые другие независимые документы.

Flash — это мультимедийная платформа компании для создания веб-приложений или мультимедийных презентаций. Широко используется для создания рекламных баннеров, анимации, игр, а также воспроизведения на веб-страницах видео- и аудиозаписей.

Микроформат — это способ семантической разметки сведений о разнообразных сущностях (событиях, организациях, людях, товарах и так далее) на веб-страницах с использованием стандартных элементов языка HTML (или XHTML).