|
|
Те, кто имеет отношение к сетевой безопасности, наверняка знают слова вроде "спуфинга", "сниффинга" и прочих
хакингов нетворкинга :-) Достаточно эффективным средством в взломе сетей был (и остается)
этот самый "сниффинг" - "прослушивание" сегмента локальной сети в поисках паролей - не секрет, что
пароли для telnet, ftp, pop3, и много чего еще, передаются открытым текстом, и потому легко вылавливаются
в общем траффике сети.
До сих пор я считал, что засечь "сниффера" в локалке невозможно - как узнать, что кто-то слушает
сеть, если сам он при этом ничего не говорит? Оказывается,
это не всегда так. Хакерской группой l0pht heavy industries выпущен антисниффер - программа, обнаруживающая прослушивание сети. Принципы используются самые разные.
Например, синтезируются пакеты с "фальшивыми" адресами, и проверяется, не ломанулся ли кто-нибудь
к DNS, выяснять соответствие адреса циферками адресу буковками. Или сеть "заваливается"
потоком левых пакетов, и на их фоне анализируется время реакции машин в сети -
машина, перегруженная анализом пакетов, будет заметно тормозить.
Плюс - специфические для отдельных систем тесты, в которых слушающую машину
провоцируют признаться, что она всех слушает :-)
Для линукса, например, создается корректный icmp echo request, "завернутый" в кадр ethernet
на "левый" адрес. При обычных условиях такой кадр просто не доходит до системы, фильтруясь внутри
сетевой карты, в случае же запущеного сниффера - линукс сам "сдает" себя, генерируя icmp echo reply.
Аналогичные, хотя и чуть более запутанные игры с "почти некорректными" кадрами работают
в случае NetBSD и Windows 9x/NT.
Впрочем, спастись от обнаружения антисниффером несложно - достаточно кусачками перерезать
"передающие" провода у витой пары. В этом случае что бы там система со сниффером не делала -
ее не будет слышно, и ее, соответственно, нельзя будет обнаружить.
Но не каждый, способный разобраться в ключах tcpdump, рискнет кусать витую пару на офисной машинке :-)
Тем более, что не каждый знает, что сниффинг теперь можно обнаружить. Я, например, не знал.
| |
| |