Sniffing For Dummies - .:: HVAOnline ::.

English | Vietnamese

Nội Quy

Diễn đàn

Portal

Danh sách thành viên

Thống kê

Tìm kiếm

Phòng đọc

Đăng ký

Đăng nhập [ | https ]

Diễn đàn chính

Thảo luận thâm nhập

Sniffing For Dummies

[Hỏi đáp] Re: Sniffing For Dummies	01/09/2007 11:10:45 (+0700) \| #41 \| 82729

blackrose80
Member

Joined: 29/06/2007 11:59:05
Bài gởi: 7
Offline

Các bác cho em hỏi 1 tý, mạng LAN của em dùng switch. Vậy làm thế nào để biết được nội dung các gói tin đi và đến 1 máy nào đó trong LAN. Cám ơn các bác nhiều

[Hỏi đáp] Re: Sniffing For Dummies	08/09/2007 09:15:24 (+0700) \| #42 \| 83978

PhuongDT
Member

Joined: 19/04/2005 02:36:42
Bài gởi: 39
Đến từ: HVA
Offline

Qua các thảo luận của mọi người mình cũng biết thêm được 1 số điều. Thanks

Thư giãn, nghe nhạc online bitrate >=128Kbps mời vào: [url]http://phuongvd.homeip.net[/url]

[Hỏi đáp] Re: Sniffing For Dummies	07/01/2008 20:47:40 (+0700) \| #43 \| 108994

kenji
Member

Joined: 24/09/2003 13:20:28
Bài gởi: 76
Offline

nhân tiện đọc bài này mình thấy giống trường hợp mình gặp quá. Post lên đây share với mọi người thông tin tham khảo vụ ARP posioning này.
LAN có con cisco 837 cấu hình adsl và nối vào con sw 2960 ra các máy con. con 837 cấu hình đơn giản adsl thui, con sw2960 thì ko config gì hết. Một hôm đẹp trời, cái symantect tự nhiên nó dectect cái vật thế lạ ko bit ở đâu, thông báo đại loại là ARP Cache Posion và một cái MAC, mình dùng phần mên scan network vẫn hay use để xem bao nhiêu IP đang online thì truy ra MAC này dang dùng cho IP của cisco router???? hiện tượng là mạng LAN hơi chậm so với mọi hôm. Vào router show cái bảng CAM lên thì thấy cái MAC mà symantec cảnh báo lại là IP của chính router nhưng port kết nối với router lại là port khác trong khi cái MAC giả này lại đến từ một port khác (khi show mac address-table sẽ có thông tin IP và MAC cùng port lun). Từ đây truy ra từ từ tới đúng cái máy có cái MAC giả này và...bụp. Hết phim!!!
Nhưng mình lại thắc mắc là tại sao MAC của router lại bị biến thành MAC của máy giả đó và trên router ko bit có lệnh gì để ngăn chăn chuyện này xảy ra lần nữa ko ta???

waiting you....!

[Hỏi đáp] Re: Sniffing For Dummies	07/01/2008 21:26:07 (+0700) \| #44 \| 108999

StarGhost
Elite Member

Joined: 29/03/2005 20:34:22
Bài gởi: 423
Đến từ: The Queen
Offline

kenji wrote:

nhân tiện đọc bài này mình thấy giống trường hợp mình gặp quá. Post lên đây share với mọi người thông tin tham khảo vụ ARP posioning này.
LAN có con cisco 837 cấu hình adsl và nối vào con sw 2960 ra các máy con. con 837 cấu hình đơn giản adsl thui, con sw2960 thì ko config gì hết. Một hôm đẹp trời, cái symantect tự nhiên nó dectect cái vật thế lạ ko bit ở đâu, thông báo đại loại là ARP Cache Posion và một cái MAC, mình dùng phần mên scan network vẫn hay use để xem bao nhiêu IP đang online thì truy ra MAC này dang dùng cho IP của cisco router???? hiện tượng là mạng LAN hơi chậm so với mọi hôm. Vào router show cái bảng CAM lên thì thấy cái MAC mà symantec cảnh báo lại là IP của chính router nhưng port kết nối với router lại là port khác trong khi cái MAC giả này lại đến từ một port khác (khi show mac address-table sẽ có thông tin IP và MAC cùng port lun). Từ đây truy ra từ từ tới đúng cái máy có cái MAC giả này và...bụp. Hết phim!!!
Nhưng mình lại thắc mắc là tại sao MAC của router lại bị biến thành MAC của máy giả đó và trên router ko bit có lệnh gì để ngăn chăn chuyện này xảy ra lần nữa ko ta???

1. Khái niệm CAM table không phải dùng cho router.
2. Bồ viết "...thì thấy cái MAC mà symantec cảnh báo lại là IP của chính router..." không hiểu nghĩa là gì
3. Không có cách nào để có thể thay đổi MAC của router, trừ phi router bị compromised.
4. Không thể có chuyện ARP poisoning khi có sự xuất hiện của router ở giữa.

Mind your thought.

[Hỏi đáp] Re: Sniffing For Dummies	08/01/2008 10:07:30 (+0700) \| #45 \| 109091

kenji
Member

Joined: 24/09/2003 13:20:28
Bài gởi: 76
Offline

1. Khái niệm CAM table không phải dùng cho router.
--> ý mình là vào switch show cái mac address table lên
2. Bồ viết "...thì thấy cái MAC mà symantec cảnh báo lại là IP của chính router..." không hiểu nghĩa là gì
--> Ý mình là Symantec nó alarm ra một bảng thông báo (rất tiếc bằng tiếng Nhật dọc ko hiểu) nó chỉ hiện ra cái cột ghi là MAC, một cột tương ứng ghi ARP Cache Posion và mấy cái cột tiếng Nhật đọc ko hiểu.
3. Không có cách nào để có thể thay đổi MAC của router, trừ phi router bị compromised.
--> Mình nghĩ là router mình bị dính "chưởng" vụ này rùi smilie

4. Không thể có chuyện ARP poisoning khi có sự xuất hiện của router ở giữa.
--> vậy trường hợp của mình bạn có bit thông tin gì giải thích giúp mình với. Mình ko hiểu lắm về vụ này

waiting you....!

[Hỏi đáp] Re: Sniffing For Dummies	08/01/2008 12:24:09 (+0700) \| #46 \| 109118

pnco
Moderator

Joined: 24/06/2005 16:33:48
Bài gởi: 505
Offline

Bro StarGhost đọc không kỹ rồi, không phải router xuất hiện ở giữa mà là router được nối vào 1 cái switch.

@kenji: vấn đề này cũng được bàn khá nhiều rồi, để chống lại thì 1 là dùng ARP tĩnh, 2 là dùng VLAN, còn tại sao "MAC của router bị biến thành MAC của cái máy giả đó" thì google với từ khóa "ARP poison" nó ra 1 rổ smilie

Edit: chủ đề này đã bàn rất kỹ, kenji hình như chưa đọc, tui mới vừa đọc smilie

[Hỏi đáp] Re: Sniffing For Dummies	08/01/2008 14:18:16 (+0700) \| #47 \| 109144

kenji
Member

Joined: 24/09/2003 13:20:28
Bài gởi: 76
Offline

mình có đọc và như mình đã post ở trên là mình share cho mọi người tham khảo thêm thui. Nếu ai bit rõ thì có thể chỉ cách solve vấn đề cho từng trường hợp, như mình thì chỉ có cách tháo dây mạng máy đó ra smilie

waiting you....!

[Hỏi đáp] Re: Sniffing For Dummies	08/01/2008 16:45:00 (+0700) \| #48 \| 109174

StarGhost
Elite Member

Joined: 29/03/2005 20:34:22
Bài gởi: 423
Đến từ: The Queen
Offline

pnco wrote:

Bro StarGhost đọc không kỹ rồi, không phải router xuất hiện ở giữa mà là router được nối vào 1 cái switch.

@kenji: vấn đề này cũng được bàn khá nhiều rồi, để chống lại thì 1 là dùng ARP tĩnh, 2 là dùng VLAN, còn tại sao "MAC của router bị biến thành MAC của cái máy giả đó" thì google với từ khóa "ARP poison" nó ra 1 rổ

Edit: chủ đề này đã bàn rất kỹ, kenji hình như chưa đọc, tui mới vừa đọc

Hì hì, sorry vì chưa đọc kỹ.

@kenji: bồ nên xem lại bài viết trước khi post nhé, về mặt kĩ thuật thì có quá nhiều lỗi đấy. Chính vì thế mình mới bị nhầm.

Nếu trong trường hợp của bồ thì có thể cấu hình port security cho 2960. Bồ có thể đặt MAC của router vào cái port mà switch nối với router, ví dụ FA0/10 chẳng hạn. Sau đó đặt chế độ bảo vệ ở tình trạng shutdown (default), nó sẽ chặn truy cập của attacker nếu phát hiện attack, rồi thông báo cho bồ. Chi tiết có thể dùng help của switch, hoặc search google với từ khóa port security.

Thân.

Mind your thought.

[Hỏi đáp] Re: Sniffing For Dummies	27/04/2008 01:25:38 (+0700) \| #49 \| 127805

manhlan99
Member

Joined: 26/06/2006 23:45:53
Bài gởi: 33
Offline

MAC router vẫn bị giả như thường.Đã kiểm chứng bằng Cain và WireSark.
Giả sử mang có 10 máy A1,A2,....,A10,máy hacker là máy A1 sẽ tiến hành sniff bằng Cain,sau khi xem kỹ các bản tin ra vào mạng thì em nhận thấy 1 điều là MAC của A2,....,A10 trong bảng ARP của Router đều giống nhau và giống A2
Mỗi địa chỉ MAC của một thiết bị là duy nhất,tạo sao router lại có thể có MAC Table như vậy?
Mong các bác giải thích?

[Hỏi đáp] Re: Sniffing For Dummies	20/07/2008 01:16:21 (+0700) \| #50 \| 142438

thaovn
Elite Member

Joined: 21/08/2003 21:10:57
Bài gởi: 18
Offline

Nguồn tổng hợp:

Bài viết này Lovelinux đưa ra chỉ để các quản trị viên tham khảo, vì Lovelinux đã từng là 1 tay sniffer cách đây khá lâu rồi và hồi đó gặp nhiều cao thủ quá - nên tắt điện - ngủ đông luôn. Có một số cách phòng thủ mà Lovelinux hiểu (các cao thủ nào biết rồi thì xin góp ý cho)

1. Tay admin vào command (shell của linux) gõ:
Code:

arp -a

nó sẽ hiện ra các máy có MAC Address trùng với Mac của Gateway hay modem.
Khi đó họ chỉ cần sử dụng phần mềm tìm Mac 1 phát
ví dụ tớ sử dụng lanlook Look@LAN Network Monitor download and review - network monitor from SnapFiles
thế là phát hiện ra kẻ tấn công, sợ wé :eek:.

Cách chống lại "cách phòng thủ trên": Đơn giản nhưng hiệu nghiệm
A. Cài vmwave, sử dụng hệ điều hành này để sniff smilie

B. MAC Flooding: Sử dụng đa hệ thống - send khoảng 20.000 cái Mac - máy này giả mac máy này, máy kia giả mac gate, máy nọ giả mác máy ... mình smilie

. Cho dữ liệu chạy loạn lên smilie

). Cách này có tác dụng làm ... đơ luôn mạng và nếu máy bạn không quá mạnh - cũng đơ luôn smilie

. (có thể dùng Cain để tấn công Flood).
C. Remote vào 1 thằng nào đó sau đó tấn công smilie

- Xóa log. - Hữu hiệu nhất và rất khó phát hiện smilie

.

2. Tắt ARP đi - disable ARP
Trong linux sử dụng:
Code:

ifconfig eth0 -ARP

để disable ARP protocol trên interface eth0
Trên Windows sử dụng:
Code:

arp -d inet- addr
 Thí dụ: arp -d 192.168.1.60 00-AA-00-26-09-B5

hoặc:
To disable gratuitous ARPs after applying this hotfix:
1. Click Start, click Run, type regedt32, and then click OK.
2. On the Windows menu, click HKEY_LOCAL_ MACHINE on Local Machine.
3. Click the \System\CurrentControlSet\Services\TcpIp\Parameters folder.
4. Double-click the ArpRetryCount value, type 0, (for Windows 2000, type 1) and then click OK.
5. Quit Registry Editor, and then restart the computer.
(nếu ko có key này thì add thêm vào).

3. ARP Static - Đặt ARP tĩnh cho máy cần bảo vệ (personal)

Linux:
Code:

arp -a

để liệt kê các entries có sắn,
Code:

arp -d 192.168.X.X

để delete lần lượt các entries tìm thấy
sau đó thêm vào các arp entries bằng tay:
Code:

sudo arp -s 192.168.1.60 XXXXXXXXXX

hiện tại chỉ cần add vào một số entries cần thiết nhất như của Gateway chẳng hạn hoặc citrix smilie

4. Sử dụng 1 số tool sau:
a. Nhận biết & chống MAC Flooding: Cách này dễ nhận biết.
MACManipulator: tool này cho phép thiết lập 1 phiên MAC Flood, giúp admin test xem switch có chịu nổi khi bị flood hay không. MAC Flooding chỉ có tác dụng đối với các loại switch rẻ tiền (ít port).
b. Chống ARP Spoofing: hơi khó do khi đó network traffic không có biến đổi gì nhiều. Một dấu hiệu là khi 1 host bị spoof thì máy attack sẽ có MAC giống với máy đó. Vì vậy admin chỉ cần query MAC từ các host trong network, nếu có 2 MAC giống nhau thì coi như network under attack.
Các tool ARP analyzer:
Công cụ xARP có chức năng phát hiện ARP Spoofing trên windows
tools dùng cho Linux: ARPSpoofDetector, ARP - GUARD, SGUIL, ARP Watch cho hệ thống company (tuy nhiên ko phù hợp khi sử dụng DHCP).

5.> Cách khác
> OS x has a patch y which helps preventing ARP spoofing (like antidote)
> or
> -OS x in version y has a small built in ARP prevention (like SunOS)
> or
> -Firewall/IDS x is able to prevent/detect ARP spoofing

tham khảo một số nguồn:
[thảo luận] virus ARP spoofing - .:: HVAOnline ::.
ARP spoofing HTTP infection malware - Security Labs Blog
Defending ARP Spoofing
comp.os.ms-windows.nt.admin.security: Re: Defending ARP Spoofing
How to Disable the Gratuitous ARP Function
Defending ARP Spoofing
http://www.acsac.org/2003/papers/111.pdf
http://hackingart.com/bao_mat_tren_centos/109-sniff_server_how_prevent_arp_poison_arp_spoofing_mac_flooding.html

Tin tặc có 2 loại: Hắc cơ và Bạch cơ smilie

. IM NGAY! << Đây là loại "ÁT" cơ smilie

[Hỏi đáp] Re: Sniffing For Dummies	07/09/2008 14:39:52 (+0700) \| #51 \| 150203

hoangm
Member

Joined: 01/05/2008 17:01:06
Bài gởi: 3
Offline

Cho em hỏi 2 trường hợp này.
PC Sniff - Switch 8ports - Switch 24ports - Modem & PC Sniffed
PC Sniff - Switch 24ports - Modem & PC Sniffed

Trường hợp nối qua 2 switch em sniff lúc được lúc không. Trường hợp còn lại thì sniff rất tốt.

Mấy huynh có thể giúp em hiểu tại sao không ạh?

[Hỏi đáp] Re: Sniffing For Dummies	23/09/2008 08:18:56 (+0700) \| #52 \| 152608

dmr
Member

Joined: 20/09/2008 03:23:57
Bài gởi: 12
Offline

Em tò mò muốn biết trên Wireless có thể sniff được k nhỉ?và nếu được thì nó sẽ dựa trên nguyên tắc như thế nào?

[Hỏi đáp] Re: Sniffing For Dummies	25/09/2008 05:46:41 (+0700) \| #53 \| 152946

conmale
Administrator

Joined: 07/05/2004 23:43:15
Bài gởi: 6134
Đến từ: down under
Offline

dmr wrote:

Em tò mò muốn biết trên Wireless có thể sniff được k nhỉ?và nếu được thì nó sẽ dựa trên nguyên tắc như thế nào?

Tìm thử thông tin trên diễn đàn chưa?

Il est interdit d’interdire!

[Hỏi đáp] Sniffing For Dummies	17/02/2009 12:25:28 (+0700) \| #54 \| 169801

lagger
Member

Joined: 05/09/2005 08:23:44
Bài gởi: 7
Offline

zeno wrote:

Wellcome HVA come back again! )
=========================================

[root@localhost]# macof

77:6b:e1:6e:5e:8c 93:2d:ed:45:f9:e3 0.0.0.0.45702 > 0.0.0.0.11000: S 1847390231:1847390231(0) win 512 84:a4:d3:57:ef:8 12:56:52:42:dc:95 0.0.0.0.16630 > 0.0.0.0.3031: S 1484147693:1484147693(0) win 512 88:f0:9:3f:18:89 d:86:53:53:d7:f8 0.0.0.0.15535 > 0.0.0.0.7466: S 293820390:293820390(0) win 512

Trong khi chúng ta chạy macof thì cái switch cũng như cái hub mà thôi Lúc này chúng ta dễ dàng sniff trong mạng đó.
------------------------------------
zeno

Cho tôi hỏi: Macro này chạy trên UNIX/LINUX còn nếu để chạy trên WindowsXP thì phải làm thế nào ??? smilie

Chuyển đến:

Các thành viên đang hiện diện ở đây
1 Khách