È possibile filtrare i pacchetti in base alla porta Ad esempio specificando la porta 80 ascolto il traffico web di un host

Transcript

1 Sniffer con libreria Pcap 1 Realizzazione di uno Sniffer con la libpcap Sistemi per l elaborazione dell informazione: Sicurezza su Reti A.A. 2001/2002 Prof. Alfredo De Santis Giovanni Lovisi Nicola Rossi Francesco Sorrentino Una breve introduzione Gli sniffer sono nati come risposta alla necessità di avere uno strumento che eseguisse il debug delle comunicazioni in rete. Catturano i pacchetti che circolano sulla rete, li interpretano e li memorizzano per un analisi successiva. Sniffer con libreria Pcap 2 Consultando il traffico di rete nella forma primordiale è possibile risalire all origine dei problemi ma come spesso accade, anche questo è diventato indispensabile per gli hacker più smaliziati. Uno sniffer può facilmente intercettare: coppie di nome utente e password; messaggi di posta elettronica; file contenenti informazioni finanziarie;... Sniffer con libreria Pcap 3 Sniffer con libreria Pcap 4 Quello che abbiamo fatto, è realizzare uno sniffer chiamato LRSSniffer. Per farlo abbiamo fatto le seguenti scelte progettuali: Linguaggio c Indice Topologie di rete e il protocollo TCP/IP libpcap libpcap libreria che fornisce funzioni adatte allo sniffer Xforms libreria per realizzare interfacce user-friendly Sniffer con libreria Pcap 5 LRSSniffer: Implementazione Il cattura password La veste grafica Al lavoro Sniffer con libreria Pcap 6

2 Sniffer con libreria Pcap 7 Topologie di rete e protocollo TCP/IP La Rete può essere vista come un insieme di nodi interlacciati che si scambiano informazioni Topologie di rete e protocollo TCP/IP I nodi possono accedere anche ai dati destinati ad altri, settando la propria scheda di rete in una particolare modalità detta modalità promiscua Ciò può essere fatto solo da chi possiede permessi di amministratore Sniffer con libreria Pcap 8 Topologie di rete e protocollo TCP/IP Il principale protocollo di rete è TCP/IP non offre nessun meccanismo di protezione dei dati i dati viaggiano in chiaro sulla rete Topologie di rete e protocollo TCP/IP TCP/IP è basato su cinque livelli: Livello Applicazione Livello trasporto (TCP o UDP) Livello rete (IP) Accesso alla rete Livello fisico Sniffer con libreria Pcap 9 Sniffer con libreria Pcap 10 Topologie di rete e protocollo TCP/IP Con il protocollo TCP/IP i dati viaggiano sotto forma di pacchetti nel seguente formato : Indice Topologie di rete e il protocollo TCP/IP libpcap MAC Destinazione MAC Sorgente Info IP Info UDP o TCP DATI CRC LRSSniffer: Implementazione Il cattura password La veste grafica Al lavoro Sniffer con libreria Pcap 11 Sniffer con libreria Pcap 12

3 Sniffer con libreria Pcap 13 libpcap Libreria che fornisce funzioni utili per implementare dei tools di network- monitoring. libpcap (acronimo di Packet CAPture library). Permette agli utenti di accedere direttamente ai pacchetti. libpcap È stata sviluppata da: Van Jacobson, Craig Leres, Steve McCanne del Lawrence Berkeley National Laboratory of California nel 1993 Sniffer con libreria Pcap 14 libpcap Le applicazioni che usano la libpcap devono girare con i privilegi di root. La libpcap ha una licenza di tipo BSD (un programma sottoposto a tale licenza, può essere modificato e distribuito usando qualunque licenza) Sniffer con libreria Pcap 15 libpcap L ultima versione sviluppata è la (dicembre 2002) Scaricabile da Al seguente sito è disponibile il PCAP man page in pdf: /~cs622/pcap/pcap.pdfpcap.pdf o ancora un tutorial al sito: Sniffer con libreria Pcap 16 Indice Topologie di rete e il protocollo TCP/IP libpcap LRSSniffer: Implementazione Il cattura password La veste grafica Al lavoro Vediamo i passi che realizza uno sniffer: ricerca della scheda di rete (spesso chiamata interfaccia) scelta di una sessione on line oppure off line e impostazione della modalità promiscua compilazione e installazione dell'espressione filtro (passo necessario a selezionare il tipo di traffico da catturare) cattura dei pacchetti Sniffer con libreria Pcap 17 analisi dei pacchetti catturati 18

4 Sniffer con libreria Pcap 19 Vediamo adesso come realizzare i passi con l ausilio della libpcap Individuazione di una o più interfacce di rete pcap_lookupdev() restituisce il nome della prima interfaccia di rete trovata nel sistema o in alternativa pcap_findalldevs() restituisce una lista delle interfacce disponibili (si potrebbe voler sniffare su eth0, eth1, lo.) Impostazione dei parametri pcap_open_live() setta l interfaccia in modalità promiscua imposta alcuni parametri come la dimensione massima dei pacchetti da catturare Sniffer con libreria Pcap 20 Scelta del traffico. In questo senso è possibile fare varie scelte: Si può limitare il numero di byte da catturare per ogni pacchetto Ad esempio l utente vuole i primi 100 byte di ogni pacchetto (anche se il frame è di 1000 byte l applicazione passerà solo i primi 100 byte all utente) È possibile filtrare i pacchetti in base al protocollo (arp, rarp, ip, tcp, udp, icmp) Ad esempio potrei voler analizzare solo il traffico arp (comunicazioni ethernet) o solo il traffico icmp (per controllare attacchi tipo attacchi tipo ping evil) È possibile filtrare i pacchetti in base alla porta Ad esempio specificando la porta 80 ascolto il traffico web di un host Sniffer con libreria Pcap 21 Sniffer con libreria Pcap 22 È possibile filtrare i pacchetti e catturare solo quelli più piccoli di e più grandi di Ad esempio specificando pacchetti più piccoli di 60 byte LRSSniff non passerà all utente i pacchetti del ping (grandi all incirca 98 byte) È possibile filtrare i pacchetti in base all host sorgente o destinazione Ad esempio mi interessa conoscere solo il traffico di un host dove opera l utente di cui voglio conoscere la password Queste scelte del tipo di traffico, a livello implementativo, sono realizzate dalle funzioni: pcap_compile() e pcap_setfilter() la pcap_compile() prende tra i parametri l'espressione filtro e un puntatore ad una struct bpf_program,, che al termine della funzione conterrà l'espressione filtro compilata in BPF (BSD Packet Filter) la pcap_setfilter() applica l'espressione filtro appena compilata all interfaccia di rete Sniffer con libreria Pcap 23 Sniffer con libreria Pcap 24

5 Sniffer con libreria Pcap 25 Lancio di una o più sessioni di sniffing pcap_loop() (), che specifica: quanti pacchetti debbano essere catturati la callback da invocare per ogni pacchetto catturato Alternative a pcap_loop(): pcap_dispatch() ha un parametro in più, il read-timeout pcap_next() cattura solo il prossimo pacchetto Manipolazione dei dati ottenuti dipende dall utilizzo che si fa dello sniffer: cercare di individuare malfunzionamenti o colli di bottiglia all interno della rete stilare statistiche del traffico di rete carpire informazioni dai pacchetti (password, numeri carte di credito,...) Sniffer con libreria Pcap 26 Indice Topologie di rete e il protocollo TCP/IP libpcap LRSSniffer: Implementazione Il cattura password La veste grafica Al lavoro Sniffer con libreria Pcap 27 Ricerca della scheda di rete Punterà al nome dell'interfaccia trovata if(dev=pcap_lookupdev(err)) printf("device: %s\n",dev); else printf("errore lookupdev: %s\n",err); exit(0); Sniffer con libreria Pcap 28 e rilevamento indirizzo e netmask scelta di una sessione on line if(pcap_lookupnet(dev,&netaddr,&netmask,err)== )==-1) printf("errore lookupnet: %s\n", n",err); exit(0); Indirizzo di rete else /* Stampa gli indirizzi in forma di ottetti */ address.s_addr=netaddr; netad=(char *)inet_ntoa(address); Netmask printf("network address: %s\n", n",netad); address.s_addr=netmask; netm=(char *)inet_ntoa(address); printf("subnet mask: %s\n", n",netm); Sniffer con libreria Pcap 29 if(!(handle=pcap_open_live(dev,max_byte_to_capture,1,0,err)) ) printf("errore open_live: %s\n",err); Imposta la modalità exit(0); promiscua oppure off line Puntatore a pcap_t, contenente informazioni sulla sessione Nome del file if( (handle=pcap_open_offline(fname,err)) == NULL ) da aprire printf("errore pcap_open_offline: %s\n", n",pcap_geterr(handle)); exit(0); Sniffer con libreria Pcap 30

6 Sniffer con libreria Pcap 31 Sessioni on / off line Tutto il codice seguente è praticamente identico per entrambe le sessioni Le funzioni della libpcap opereranno in maniera corretta sull interfaccia di rete o su di un file grazie alle informazioni contenute nell handle link_layer = pcap_datalink(handle ); Stampa_link_layer(); void Stampa_link_layer(void) char *type=null; switch(link_layer) Determinazione del link layer case DLT_NULL: type="link_layer assente"; length_header_frame=4; case DLT_EN10MB: type="ethernet 10Mb"; length_header_frame=14; case DLT_SLIP: type:"serial Line IP"; case DLT_PPP: type="point-to-point protocol"; case DLT_RAW: type="raw IP"; case DLT_PPP_SERIAL: type="ppp o Cisco PPP in HDLC framing"; case DLT_PPP_ETHER: type="pppoe"; case DLT_CHDLC: type="cisco HDLC"; case DLT_LOOP: type="openbsd loopback encapsulation"; case DLT_LINUX_SLL: type="linux \"cooked\" capture encapsulation"; /* ed altri */ default: type="link layer sconosciuto"; printf("link layer: %s\n\n",type); Conoscendo il tipo di link layer è possibile calcolare il punto preciso (offset) del framenel quale è memorizzato il primo byte del datagram IP length_header_frame=0; length_header_frame=4; length_header_frame=16 " capture encapsulation"; length_header_frame=16; "; length_header_frame=0; Sniffer con libreria Pcap 32 Espressione filtro Permette di scegliere dei pattern di traffico ben precisi da catturare; ad esempio: solo il traffico TCP solo i pacchetti destinati alla porta 80 (HTTP) solo i pacchetti con un certo indirizzo sorgente e/o destinazione È possibile specificare combinazioni di traffico ben più complesse Sniffer con libreria Pcap 33 Espressione filtro All applicazione sono passati tutti e soli quei pacchetti che sod- disfano le proprietà specificate nell espressione Lavora tra il driver della scheda e il livello di rete lo smistamento del traffico avviene in kernel mode per migliori prestazioni Sniffer con libreria Pcap 34 Compilazione e installazione dell'espressione filtro Apertura di un file (1) if(pcap_compile(handle,&filtro_compilato,filtro,0,,&filtro_compilato,filtro,0,netmask)== -1) printf("errore compile: %s\n",pcap_geterr(handle)); Espressione close_all(0); filtro inserita dall utente Filtro compilato in BPF Se specificato, viene aperto un file da cui leggere i pacchetti (sessione off line) oppure in cui scrivere i pacchetti (sessione on line) if(pcap_setfilter(handle,&filtro_compilato)== -1) printf("errore setfilter: %s\n", n",pcap_geterr(handle)); close_all(0); È la pcap_dump_open() che svolge questa operazione Sniffer con libreria Pcap 35 Sniffer con libreria Pcap 36

7 Sniffer con libreria Pcap 37 Apertura di un file (2) Se tra le opzioni si è indicato il nome di un file lo si apre in lettura o in scrittura, in base al tipo di sessione che si sta eseguendo ( eseguito in automatico dalla funzione ) if(fname!=null) if((file =pcap_dump_open(handle,fname))==null) printf("errore dump_open: %s\n",pcap_geterr(handle )); close_all(0); Ciclo di cattura dei pacchetti if(pcap_loop( ( handle, NUMBER_OF_PACKET_TO_CAPTURE, process_packet, (u_char *)file ) == -1) Handle della sessione Massimo numero di pacchetti da catturare printf("errore loop: %s\n",pcap_geterr(handle)); close_all(0); Callback da invocare per ogni pacchetto catturato Puntatore al file aperto in precedenza Sniffer con libreria Pcap 38 Analisi dei pacchetti catturati La pcap_loop() cattura i pacchetti e per ognuno di essi invoca la funzione process_packet() si occupa di leggere le informazioni presenti nel pacchetto La process_packet() richiede 3 parametri: un puntatore ad u_char, corrispondente al terzo parametro passato alla pcap_loop() contiene il nome del file in cui memorizzare i pacchetti catturati ti o dal quale leggere i pacchetti un puntatore ad una struct di tipo pcap_pkthdr contiene le dimensioni del pacchetto catturato e il timestamp un puntatore ad u_char punta al primo byte del pacchetto catturato, che comprende anche i vari header Process_packet() (1) La prima cosa da controllare è il tipo di link layer in base al quale è possibile calcolare l effettiva posizione all interno del frame in cui è memorizzato il primo byte del pacchetto sono gestiti: Ethrnet RAW IP Linux "cooked" capture encapsulation CiscoHDLC (solo il protocollo che lo usa) pcap_loop() Cattura un pacchetto Header frame Pacchetto process_packet () Elaborazione iniziale sul pacchetto Elaborazioni successive 39 Frame Sniffer con libreria Pcap 40 Process_packet() (2) Process_packet() (3) I link layer gestiti sono: Le operazioni successive dipendono dal link layer ottenuto in precedenza: nel caso di Ethernet: si verifica se il pacchetto sia: un datagram IP un ARP o RARP Requst / Reply nel caso di RAW IP: si è certi che il pacchetto inizia con un header IP nel caso di Linux "cooked" capture encapsulation: si passa a esaminare il datagram IP in esso contenuto Sniffer con libreria Pcap 41 Ethernet IP ARP RARP Linux "cooked" IP RAW IP Cisco HDLC Sniffer con libreria Pcap 42 IP Protocollo

8 43 Process_packet() (4) Il maggiore interesse è per i datagram IP che viaggiano su reti Ethernet al loro interno trasportano datagram UDP o segmenti TCP entrambi, nei rispettivi campi dati, contengono informazioni dirette a programmi applicativi in esecuzione su macchine connesse alla rete 14 byte length_header_frame calcolato in base al linklayer Header frame Datagram IP Leggi_IP() (1) Quindi, nel caso di datagram IP, process_packet() chiama la funzione Leggi_IP(), che dermina varie informazioni di controllo estrapolate dall header: versione lunghezza dell header tipo di servizio (Type Of Service, TOS) lunghezza totale del datagram tempo di vita del datagram (Time-To-Live, TTL) indirizzi IP sorgente e destinazione protocollo di livello superiore che ha richiesto ad IP di inviare questo datagram sulla rete Version H. Len. TOS Lunghezza totale ID Flags Fragment offset TTL Protocol Header checksum Indirizzo IP sorgente Indirizzo IP destinazione Opzioni (facoltativo) Dati (lunghezza variabile) Frame Ethernet Formato dei datagram IP 44 Leggi_IP() (2) Leggi_ICMP() /* Controlliamo il protocollo */ Viene poi chiamata una delle seguenti funzioni che switch(iph->protocol) si occupano di mostrare le case 1: Leggi_ICMP(data+iph->ihl*4); informazioni inserite dai rispettivi protocolli di livello successivo: /* altri protocolli */ case 6: Leggi_TCP(data + iph->ihl*4, Leggi_ICMP() Leggi_UDP() Leggi_TCP() Nel caso di altri protocolli si mostra solo il nome data_length); /* altri protocolli */ case 17: Leggi_UDP(data + iph- >ihl*4); /* altri protocolli */ default: printf("pacchetto IP sconosciuto\n"); Sniffer con libreria Pcap 45 Si occupa di mostrare informazioni riguardanti il messaggio di errore ICMP: echo request / reply timestamp request / reply porta, host o rete non raggiungibile redirect Type (1 byte) Code (1 byte) Checksum (2 byte) Dati (dipende dal messaggio; di solito 20 byte dell header IP + i primi 8 byte di dati del datagram IP che ha generato il messaggio) Formato dei messaggi ICMP 46 Leggi_UDP() Mostra le informazioni dell header porta sorgente e destinazione lunghezza del datagram e il campo dati Leggi_TCP() Mostra le informazioni dell header del segmento: porta sorgente e destinazione sequence number acknowledgment number lunghezza dell header dimensione della window e il campo dati Source port Destination port Sequence number Acknowledgement number Source port Destination port H. Len. Reserved Flags Window Lunghezza Checksum Checksum Urgent pointer Dati (lunghezza variabile) Formato dei datagram UDP 47 Opzioni (facoltativo) Dati (lunghezza variabile) Formato dei segmenti TCP Padding 48

9 Sniffer con libreria Pcap 49 LRSSniffer: il cattura password Sia nei datagram UDP che nei segmenti TCP i dati veri e propri sono memorizzati dopo l header Avendo libero accesso a tutto il pacchetto si possono cercare informazioni particolari : password numeri di carte di credito Due opzioni di LRSSniff permettono di ricercare coppie di user name e password che transitano sulle connessioni FTP connessioni HTTP LRSSniffer: il cattura password FTP Il protocollo FTP gestisce l autenticazione di un utente con una coppia costituita da uno user name e una password Queste informazioni viaggiano, in chiaro, sulla connessione di controllo FTP (porta 21), con i comandi USER e PASS Server FTP Richiede user name USER: <user name client > Richiede password PASS: <password client > Client FTP 50 LRSSniffer: il cattura password FTP LRSSniffer: il cattura password HTML LRSSniff esegue la scansione della prima riga dei dati presenti nei segmenti TCP destinati alla porta 21, cercando: prima l occorrenza del comando USER successivamente quella del comando PASS memorizzando le stringhe che seguono la prima è lo user name, la seconda è la password Sniffer con libreria Pcap 51 In rete, esistono pagine non accessibili a chiunque Per visualizzarle, è necessario farsi autenticare dal server che le gestisce una delle forme più semplici di autenticazione è tramite l uso di user name e password Sniffer con libreria Pcap 52 LRSSniffer: il cattura password HTML Il browser presenta all utente una finestra in cui inserire user name e password Queste informazioni sono inviate al server per la verifica Nelle forme più semplici, questi dati viaggiano in chiaro all interno di pacchetti destinati alla porta 80 (HTTP) Sniffer con libreria Pcap 53 LRSSniffer: il cattura password HTML User name e password sono inviate usando la codifica Base64 molto usata per codificare le informazioni che viaggiano in rete non è una cifratura Queste informazioni si trovano subito dopo la direttiva HTTP Authorization: Basic nella forma user name:password LRSSniff cerca l occorrenza di tale direttiva all interno dei pacchetti destinati alla porta 80 (HTTP) e quindi memorizza le informazioni succesive Sniffer con libreria Pcap 54

10 Sniffer con libreria Pcap 55 LRSSniffer: la veste grafica Così si presenta il programma appena lanciato E già pronto a sniffare dalla scheda Ethernet, catturando tutto il traffico Finestra principale in cui si sono visualizzate le informazioni degli header dei pacchetti Interfaccia da cui sniffare LRSSniffer: la veste grafica Espressione filtro per scegliere un tipo di traffico Sessione on line = Rete Sessione off line = File Output della sessione: video o file Elimina tutte le impostazioni Sniffer con libreria Pcap 56 LRSSniffer: la veste grafica Cliccando sul pulsante Filtro si accede alla finestra in cui inserire l espressione e atre due opzioni Finestra in cui si sono visualizzati i dati dei pacchetti e le password trovate Opzione per le password HTML Opzione per le password FTP LRSSniffer: la veste grafica Opzione per mostrare tutti i dati presenti nei pacchetti Massimo numero di pacchetti da catturare durante la sessione Massimo numero di byte per pacchetto da catturare Espressione filtro 57 Sniffer con libreria Pcap 58 LRSSniffer: al lavoro LRSSniffer: al lavoro Settiamo l opzione di ricerca password FTP Premiamo il pulsante START nella finestra principale Sniffer con libreria Pcap 59 LRSSniff è alla ricerca di password FTP Contemporaneamente cattura anche gli altri pacchetti che viaggiano sulla rete (si sta eseguendo Ping) 60

11 Sniffer con libreria Pcap 61 LRSSniffer: al lavoro LRSSniffer: al lavoro Da una shell lanciamo un client FTP Ci vengono richieste user name e password Inseriamo come user name: anonymous password: prova password Nella seconda finestra ecco che appare la coppia appena immessa Sniffer con libreria Pcap 62