Можно ли снифить в сети на свитчах?

[bombat]

Здравствуйте!

Реально ли это делать?

Вообще интересует не этот вопрос, а противоположный: как вычислить снифера в сети если сниффинг вообще возможен?

Буду очень признателен если кто-нибудь поделится полезной информацией.

[_Daemon_]

Вычислить только управляемым оборудованием.

[Jugernault]

Здравствуйте!

Реально ли это делать?

Вообще интересует не этот вопрос, а противоположный: как вычислить снифера в сети если сниффинг вообще возможен?

Буду очень признателен если кто-нибудь поделится полезной информацией.

Да вполне реально...

Попытаться вышемить таковых индивидуумов может помоч arpwatch

[bombat]

Ок. Спасибо. Попробую скачать arpwatch и посмотреть что за зверь.

[bombat]

Еще вопрос: arpwatch только под UNIX и Linux существует. Под винду не существует такой в природе?

[Barabashka]

Я в этом не сильно разбираюсь, может, и не тот софт нужен, но пять копеек добавлю:

 

arpmonitor видел в исходниках, можно пересобрать под Win.

arpcachemonitor - видел готовый.

 

Где - не помню. Гугль в помощь. =)

[v-m-k]

А вы снифинг со спуфингом не путаете немного? На свитчах обычный снифинг не доступен, а спуфинг реален...

Есть такая штучка называется antidote

Посмотри на секьюрите лабе, должна помочь, если поставить сможешь. P.S. это под Linux.

А вообще весь взлом сводиться к подмене arp записей на фальшивые, так что факт что что-то происходит установить сможешь, но досканально до порта, где сидит хакер, не доберёшься.

[puh]

А вы снифинг со спуфингом не путаете немного?

снифинг в сети, построенной на свичах, достигается за счёт спуфинга CAM таблицы :)

[v-m-k]

Я это и имел ввиду. А почему САМ таблица? Мне всегда казалось arp... :\

Посылаются ff:ff:ff:ff:ff:ff широковещалки, которые нужный IP присваивают себе, соответственно атакуемый путается и может послать нужную информацию на фальшивый комп...

[Harmer]

Не. Нужно таблицы свитчей переполнить.

[v-m-k]

Таблицы свитчей это аттака проходит только наверное на старом оборудование.... Просто на свитчах равномерно удаляются старые записи и пишутся новые. Единственное что получится добиться, это отказ в обслуживание данным свитчём и то не всегда... А вот спуффинг, но arp таблицы должны быть динамическими, что бы сработал этот метод.

[Harmer]

При чем тут возраст оборудования? Если забить таблицу всяким хламом, то реальные адреса вытеснятся. На любом оборудовании. Соответственно, когда адреса назначения нет в таблице, пакет передается во все порты.

[ShumBor]

И как это поможет если пользователь в своем влане?

Не думаю что переполнение таблицы вызовет отключение влан модуля. К тому же на комутаторах есть возможность ограничения броадкаст/арп потока, что вприницпе тоже должно помиочь не переполниться таблице.

[Барий]

Не совсем понятно о чем идет речь.

Sniffing - пассивное прослушивание

Spoofing - обман, выдача себя за другого

Poisoning - отравление МАС/CAM кешей всяким мусором

 

Если нужно определить именно сниффер в сети, например tcpdump/ethereal, то искать нужно в сторону promiscuous mode detect. По умолчанию и тот и другой сниффер использует promiscuous режим, который, опять же, можно легко отключить, только тогда теряется смысл сниффинга, разве что для изучения или устранения локальных/сетевых проблем.

[v-m-k]

Кстати точно, 1 порт не сможет переполнить таблицу, ему контроль arp потока не даст...

 

Речь идёт о непосредственном снифинге в сети, построенном на свитчах.

Соответственно 1е не возможно без применения 2го или 3го

[Барий]

Не совсем понятно чего автор хочет добиться, толи определить узлы в promisc режиме, толи определить spoofing/poisoning.

Если уж и говорить о сниффинге с пойсонингом вместе, то какой смысл что-то сниффить с "засиранием" CAM/MAC кешей коммутаторов. Ну и будет он работать в режиме концентратора, и будет полный бардак, который сразу будет виден. Кроме всего пойсонить таблицы коммутаторов куда тяжелее (с точки зрения исходящего трафика) нежели использовать спуфинг, с обманом только двух узлов.

 

А для пойсонинга коммутаторов и не нужен АРП, поэтому контроль бродкаст/арп потока тут роли не играет. Достаточно сгенерировать необходимое количество пакетов с постоянно уникальным MAC адресом отправителя и уникальным (которого заведомо нет в сети) MAC адресом получаетля. Любой такой пакет будет передаваться на все коммутаторы сети, т.к. адрес назначения неизвестен, а по дороге, каждый src-MAC будет записываться в соответствующие таблицы коммутаторов.

[Harmer]

искать нужно в сторону promiscuous mode detect

Баловство это. Ламеров ловить.

Впрочем, в пассивном сниффинге ничего особо страшного нет.

[GateKeeper]

Если у Вас в сети достаточно имбицилов (уж иначе рука не подымается их назвать), болеющих, например, Win32.Parite.b, а диапазон адресов в сети превышает объём кеша свичей (для мыльниц достаточно будет и 23 бит, вроде как, для управляемых - битность поменьше), то "ламеру" кроме как запустить tcpdump ничего делать не надо уже. poisoning уже за него зделан.

[Nallien]

такого допускать просто нельзя. а затравить можно ЛЮБОЙ неуправляемый свитч, да и управляемый, если он соответственно не настроен. и тогда ваш прекрасный свитч превращается.... в обычный хаб. со всеми вытекающими последствиями для безопасностии конфиденциальности.

[Barsick]

Еще вопрос: arpwatch только под UNIX и Linux существует. Под винду не существует такой в природе?

Существует, но лучше-б не существовал... за пару дней работы (сетка<200 хостов) он у меня разбух до 200-от с чем-то метров в оперативке :(

[v-m-k]

А у мя по контролю самописная фигня. Нарушает нормальную работу arp протокола в целом.

Т.е.

Юзер поставил не правильный IP, не пускает (формирует фальшивые пакеты). Если всё же юзер прорвался (firewallы и прочая фигня) срабатывает второй этап при запросе (таким юзером) IP удалённой машины, формирует ответ и в mac вносит IP самого юзверя. Как следствие может просканить всю подсеть, а маки у всех ip, в его arp одинаковые. Соответственно умеет блокировать неизвестных, вносить новых, бороться с заблокированными.

 

Неплохая штуковинка для неуправляемого оборудования. Борьба с ней, это только статическая arp таблица.

[desperado]

и тогда ваш прекрасный свитч превращается.... в обычный хаб.

только очень не надолго.

[Nallien]

этого достаточно. обычно в таком случае у злоумышленника две машины. одна продолжает влудить (не зарегистрированный мак\айпи, а вторая - слушает...

[desperado]

этого достаточно. обычно в таком случае у злоумышленника две машины. одна продолжает влудить (не зарегистрированный мак\айпи, а вторая - слушает...

между соседними пакетами прослушиваемого нужно каждый раз переполнять таблицу. Или довольствоваться обрывками трафика. Для высканивания паролей от почты или ась может и прокатит, а для чего-то более серьёзного уже нет.