Sniffing Danilo Bonardi 29 Febbraio 2005 Diario delle revisioni Revisione Febbraio 2005

Transcript

1 Sommario Sniffing Danilo Bonardi 29 Febbraio 2005 Diario delle revisioni Revisione Febbraio 2005 Introduzione Modualità promiscua Socket Raw Protocolli di applicazione Protocollo http Introdurre nuovi protocolli di applicazione Note sull utilizzo di sniffer.c Introduzione La pratica del packet sniffing (letteralmente annusamento di pacchetti) consiste nel leggere tutti i pachetti che passano sul adattatore di un dispositivo introdotto in una rete. I pacchetti analizzati appartengono allo strato di collegamento, è quindi possibile per un dispositivo analizzare anche pacchetti di cui, secondo lo strato di rete e di trasporto, non dovrebbe essere a conoscienza o meglio che normalmente verrebbero scartati. Uno sniffer ha un utilizzo legittimo, ovvero individuare intrusioni in un sistema e uno illegittimo cioè impadronirsi di informazioni private. In una rete senza informazioni crittografate uno sniffer puo essere uno strumento molto pericoloso. Questo progetto ambisce alla realizzazione di un semplice sniffer in linguaggio c, fornendo anche alcune opzioni di controllo e rilevazione dei protocolli, delle porte e degli host riguardanti una trasmissione in rete. Modualità promiscua Le due parti principali per la creazione di uno sniffer sono l utilizzo di socket raw e l ipostazione in modalita promiscua dell interfaccia di rete del dispositivo su cui si vuole lanciare lo sniffer. Impostando l interfaccia di rete in pratica si dice al kernel di accettare tutti i pacchetti passanti a livello di collegamento (frame ethernet) sull interfaccia di rete. In termini di programmazzione, porre l interfaccia in modalità promiscua consiste nel settare un particolare flag. Tramite il seguente codice sock_ioctl = socket(pf_inet, SOCK_DGRAM, 0); 1

2 apro una socket che sara adibita alla gestione dell interfaccia di rete, ora inizializzo ifrifr, variabile di tipo struct ifreqstruct ifreq, che è una struttura adibita alla lettura dei flags sull interfaccia. L inizializzazione viene effettuata inserendo il nome del dispositivo (devicedevice). strncpy(ifr.ifr_name, device, sizeof(ifr.ifr_name)); Ora tramite ioctl()ioctl(), che mi permette le gestione di una generica periferica, vado a leggere in che modo è settato il dispositivo di rete. (ioctl(sock_ioctl, SIOCGIFFLAGS, &ifr); Avendo tutto cio che mi interessa per porre il dispositivo in modalità promiscua nella struttura in ifr agisco su di essa e imposto le flags del dispositivo. Socket Raw ifr.ifr_flags = IFF_PROMISC; ioctl(sock_ioctl, SIOCSIFFLAGS, &ifr); Ora Possiamo iniziare la ricezione tramite una socket raw. Alla fine delle operazioni toglieremo il flag per la primscuità della scheda di rete. Una socket raw si colloca a livello più basso di una socket normale. La socket "cruda" permette non solo di leggere senza filtro un frame ethernet ma anche di creare a nostro piacere nuovi pacchetti construendoli pezzo per pezzo. Per la creazione di uno sniffer ci serve solamente una lettura di tutto il frame ethernet. La creazione di una socket raw è semplice e analoga alla creazione di una semplice socket: fd = socket(pf_packet, SOCK_RAW, htons(eth_p_all)); Parte interessante di una socket raw è l interpretazione dei dati. Per la lettura mi affido ad un buffer di dimensione 1500 che è la massima estensione in byte di un frame ethernet. recvfrom(fd, buffer, sizeof(buffer), 0, (struct sockaddr *)&from,&addr_len); Per interpretare in modo corretto i dati e sopprattutto le intestazioni presenti sul pacchetto ci affidiamo a due strutture per la lettura del protocollo di collegamento (nel mio caso ethernet) e di quello di rete (nel mio caso Ip), mentre ne avremo tre differenti per la lettura del protocollo di trasporto (Udp, Icmp, e Tcp). La prima struttura da analizzate è ethhdrethhdr, questa contiene le poche informazioni sull header ethernet. Possiamo utilizzarla nel seguente modo. 2

3 struct ethhdr *ethernet = (struct ethhdr *)&buffer[0]; Questo perchè so che i primi dati contenuti sul buffer riguardano ethernet. Il passaggio seguente è esaminare ip, questo avverà in modo simile : struct iphdr *ip = (struct iphdr *)&buffer[sizeof(struct ethhdr)]; Per ip consideriamo sempre i dati sul buffer con un spiazzamento dato dalla dimensione dell intestazione ethernet. Come è facile intuire l impacchettamento inteso come pratica di aggiungere informazioni ad un pacchetto dati man mano che quest scende la pila protocollare è visibile da come è strutturato il buffer e da come noi andremo ad estrapolarne i dati. Quindi è intuibile che per un pacchetto tcp, potremo far riferimento al suo header tramite struct tcphdr *tcp = (struct tcphdr *)&buffer[sizeof(struct ethhdr) + sizeof(struct iphdr)]; Per come è strutturato il mio sniffer si decide a seconda del procollo di traspoto indicato dall header ip, quale struttuta utilizzare per quel livello (tcphdrtcphdr, udphdrudphdr, icmphdricmphdr). I differenti protocolli di trasporto fanno variare l indirizzo del campo dati all interno del buffer. Comunque per i dati si usa una tecnica di spiazzamento analoga a quelle viste per i vari header con la sola differenza che questa cambia a seconda del trasporto. Per capire la dimensione del campo dati di un pacchetto, si utilizza un proprietà del protocollo ip, o meglio un campo del suo header. d_size = htons(ip->tot_len) - (sizeof(struct iphdr) + sizeof(struct tcphdr)); Tramite tot_lentot_len, che è la lunghezza complessiva del pacchetto ip, è possibile sottraendogli la dimensione dell header ip e dell header di trasporto (in questo caso tcp), ottenere la dimensione effettiva del campo dati. Protocolli di applicazione All interno dello sniffer è possibile filtrare alcuni pacchetti appartenti a protocolli applicativi (http, ftp,...). Le vie per fare questo sono due, il controllo tramite le porte su cui "solitamente" un protocollo agisce (e.g 80 per httt o 20 e 21 per ftp) oppure cercarre di interpretare il contenuto del campo dati di un pacchetto. La prima opzione non è sempre efficace, avvero le porte standard di un protocollo possono cambiare (basti pensare per quando riguarda ad http l introduzione di un proxy che agisce sulla porta 8080). Il secondo metodo è quindi piu efficace. Nei successivi paragrafi analizzero l analisi fatta da me per stabilire l appartenenza di un pacchetto al protocollo http e come introdurre nel codice nuovi controlli. Protocollo http 3

4 Analizzare http è un procedimento abbastanza semplice, brevemente ogni pacchetto http di richiesta avra questa forma GET HTTP/1.0 Accept: text/html User-Agent: Netscape 1.1N PPC naturalmente puo essere piu o meno ricco di contenuti e di richieste ma quello che interessa è la prima riga, se il campo dati inizia con GET o POST. Un pacchetto di risposta ha questa forma HTTP/ OK Date: Fri, 31 Dec :59:59 GMT Content-Type: text/html Content-Length: 1354 Anche in questo caso quello che mi interessa è la prima riga. Selezionando tutti i pacchetti che contengono nella prima riga del campo dati le parole "GET" o "POST" avremo tutti i pacchetti di richiesta http, se il pacchetto non rientra in questa categoria ma contiene la parola "HTTP" allora possimo dedurre che sia una risposta. Introdurre nuovi protocolli di applicazione Per introdurre applicazioni nel spieghero brevemente il funzionamento di questa sezione del codice. Quando viene lanciata l opzione -L-L il programma cerca il nome del protocollo nella seguente matrice, conposta da un protocollo e dalle porte su cui solitamente agisce. char* suppapproto[suppap][3] = { "http", "80", "0", "ftp", "20", "21", "telnet", "23", "0", "smtp", "25", "0", "nntp", "119", "0", "snmp", "161", "0", "pop3", "110", "0", "ssh", "22", "0"}; Non trovando la voce nella prima colonna della matrice il programma segnala errore e termina. Se si vuole aggiungere un nuovo protocollo lo si aggiunga alla matrice (incrementando la costante SUPPAP). A questo punto si puo creare una funzione di controllo per il nuovo protocollo questa avrà come parametri un puntatore a char e ritornerà 0 se il pacchetto non è appartenente al protocollo e 1 atrimenti. Fatta la funzione di controllo si puo inserire nella funzione char approtocontrol (char* data)char approtocontrol (char* data) un riga del tipo 4

5 if (!strcmp(approtocol, "ftp")) return ftp(data); Intriducento una nuova riga nella matrica si ha automaticamente anche la funzione di rilevazione su porte per quel protocollo applicativo. Note sull utilizzo di sniffer.c In questo paragrafo si darà una breve panoramica sulle opzioni da me introdotte per lo sniffer. Come primo punto è bene precisare la neccessita dell opzione -d "nome dispositivo" per il funzionamento dello sniffer. Questo è cio che si presenta tramite l opzione -h. sniffer -h :Help -v :Modalità verbosa, informazioni aggiuntive (Ip/Tcp/Mac) -d device :Device su cui eseguire lo sniffing -c num :Limite al numero di pacchettia controllare -i ip :Indirizzo Ip (Ipv4/Ipv6) di destinazione -I ip :Indirizzo Ip (Ipv4/Ipv6) della sorgente -x ip :Indirizzo Ip (Ipv4/ipv6) di destinazione o sorgente -p port :Porta di destinazione -P port :Porta della sorgente -X port :Porta di destinazione o porta della sorgente -t type :Protocollo di trasporto (Tcp,Udp e Icmp) -a type :Protocollo di applicazione (http,ftp,...), controllo effettuato a livello di porte -L <type> :Protocollo di applicazione (http,ftp,...), controllo sui dati del pacchetto Senza considerare nel dettaglio le voci (poichè l elenco è auto-esplicativo), porrò l attenzione sul comportamento con composizioni particolari di voci. Comporre in seguenza -p 1 e -P 2 comporta la selezione di tutti i pacchetti che hanno come destinazione 1 o sorgente 2. Componendo -p 1 -P 2 con -X 3, l ultima istruzione ha la precedenza sulle precedenti. Il comportamento è analogo anche per -I, -i e -x. Nel caso in cui le selezioni un numero di porta è seguito da -a, questa ultima opzione annulla i precendenti comandi sulle porte. Allo stesso modo se si pone -a seguito da -p o -P queste ultime opzioni ne annulleranno l effetto di -a. Ogni volta che si seleziona una porta o l opzione -L vengono esclusi a priori i pacchetti icmp dalla selezione. 5