Introduzione allo sniffing

Transcript

1 Università degli Studi di Milano Facoltà di Scienze Matematiche, Fisiche e Naturali Corso di Laurea in Informatica November 30, 2005

2 Sommario Introduzione alle chiamate socket 1 Introduzione alle chiamate socket 2 3

3 Sommario Introduzione alle chiamate socket 1 Introduzione alle chiamate socket 2 3

4 Sommario Introduzione alle chiamate socket 1 Introduzione alle chiamate socket 2 3

5 Introduzione alle chiamate socket Per poter comunicare inviare dati attraverso la rete i sistemi operativi forniscono delle interfacce di comunicazione, chiamate socket. Le socket possono essere definite a qualsiasi livello del stack TCP/IP, a livello transporto, rete e data link.

6 Le socket in Linux In linux esiste la chiamata socket, i cui parametri stabiliscono i protocolli di comunicazione e quindi il livello di posizionamento all interno dello stack TCP/IP: int socket(int domain, int type, int protocol); domain: Definisce il dominio di comunicazione (famiglie di protocolli): e.g. PF UNIX, PF INET e PF PACKET. type: Definisce il tipo di socket, (semantica di comunicazione) SOCK STREAM, SOCK DGRAM, SOCK PACKET. protocol: Definisce il protocollo su cui agire e.g. icmp, tcp,udp etc.

7 Esempi di chiamate socket Nei seguenti tre esempi, si vede rispettivamente la creazione di una socket TCP, di una socket a livello NETWORK e di una socket di livello DATA LINK, maggior dettagli possono essere reperite nelle pagine di manuale della chiamata socket (man 7 socket). socket(pf INET, SOCK STREAM, TCP) socket(pf INET, SOCK RAW, Protocol) socket(pf PACKET, SOCK RAW, Protocol)

8 Per poter sniffare bisogna avere i permessi di amministratore. Funzionamento delle socket raw, viene passata una copia del pacchetto. L attività di sniffing è utilizzata per monitorare e diagnosticare delle problematiche di rete, oppure da un punto di vista maligno per poter reperire informazioni sensibili senza autorizzazione.

9 Tipologie di Sniffing Esistono due tipi principali di attività di sniffing: sniffing attivo e sniffing passivo, quello passivo limita a leggere le informazioni (tool tcpdump), quello attivo invece mira anche a modificare i dati all interno dei pacchetti (tool ettercap). Le informazioni che riceviamo dipendono dalla topologia della rete in cui siamo immersi, (rete con switch o reti con hub) dai possibili attacchi che si possono fare. Per poter abilitare la lettura delle informazioni di rete non relative al nostro indirizzo dobbiamo impostare la modalità promiscua sulla scheda di rete ( ifconfig eth0 promisc).

10 : introduzione Uno degli sniffer più avanzati per la cattura e registrazione dei pacchetti di rete sito ufficiale Utilizza per poter leggere i dati dalla rete le librerie pcap che trovate al sito: Esiste una versione anche per Windows sviluppata dal Politecnico di Torino che si chiama Windump, notizie utili le trovate:

11 : introduzione Permette sia di catturare le informazioni in tempo reale in formato sintetico, visualizzando soltanto gli indirizzi i protocolli etc., sia di catturare l intero contenuto del pacchetto in formato esadecimale. La caratteristica piu potente è quella di fornire una completa sintassi di espressioni per poter impostare filtri capaci di discriminare ogni singolo campo del pacchetto catturato.

12 : Sintassi Sintassi: tcpdump [ -adeflnnopqrstuvxx ] [ -c count ] [ -C file_size ] [ -F file ] [ -i interface ] [ -m module ] [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ] [ -E algo:secret ] [ expression ]

13 : Sintassi # tcpdump -i eth0 Questo comando mostra sullo standard output tutto il traffico passante dall interfaccia eth0. # tcpdump -n -i eth0 Come sopra ma non risolve gli indirizzi, lasciandoli nel formato numerico. # tcpdump -x -i eth0 Emette la prima parte dei dati del pacchetto (fino ai primi 68 byte), per poter specificare più byte da considerare l opzione -s n byte

14 : Espressioni Elementi delle espressioni: Gli indirizzi di origine o di destinazione, riferiti al suite TCP/IP chiamati anche nodi. Le porte di comunicazione a livello applicazione. I protocolli ether, fddi, ip, arp, rarp, decnet, tcp, udp.

15 : Primitive (1) Primitive espressioni: dst host nodo: nodo destinazione. src host nodo: nodo sorgente. host nodo: indifferenza su origine e destinazione. ether dst nodo ethernet: nodo destinazione ether src nodo ethernet: nodo sorgente ether host nodo ethernet: indifferenza tra src. e dest. dst net rete: rete destinazione src net rete: rete sorgente net rete: indifferenza tra rete src. e rete dest.

16 : Primitive (2) dst port porta: porta destinazione src port porta: porta sorgente port porta: indifferenza tra porta src. e porta dest. ether proto protocollo: protocollo può essere ip, arp, rarp. ip proto protocollo: protocollo può essere: icmp, udp, tcp, icmp. tutte le primitive possono essere legate fra loro attraverso gli operatori logici AND OR e NOT.

17 : Esempi di espressioni (1) Ascoltare i pacchetti destinati a un certo host e.g : # tcpdump -ni eth0 host Ascoltare i pacchetti destinati ad una certa rete e.g /24: # tcpdump -i eth0 net /24 Ascoltare i pacchetti destinati a un certo host su una certa porta e.g port 80: # tcpdump -ni eth0 host and port 80

18 : Esempi di espressioni (2) Ascoltare i pacchetti mostrando il campo dati in esadecimale: # tcpdump -x -ni lo host and port 80 Ascoltare i pacchetti mostrando 1500 byte del campo dati: # tcpdump -s x -ni lo host and port 80 Ascoltare i pacchetti mostrando il data-link: # tcpdump -e -s x -ni lo host and port 80