Снифферы. Выбираем инструмент для перехвата чужого трафика

Ана­лиз тра­фика — важ­ней­ший этап взлома. В переда­ваемых по сети пакетах мож­но обна­ружить мно­го инте­рес­ного, нап­ример пароли для дос­тупа к раз­ным ресур­сам и дру­гие цен­ные дан­ные.

Привет, Аноним!
Ана­лиз тра­фика — важ­ней­ший этап взло­ма. В переда­ваемых по сети пакетах мож­но обна­ружить мно­го инте­рес­ного, нап­ример пароли для дос­тупа к раз­ным ресур­сам и дру­гие цен­ные дан­ные. Для перех­вата и ана­лиза тра­фика исполь­зуют­ся сниф­феры, которых челове­чес­тво при­дума­ло великое мно­жес­тво. Сегод­ня мы погово­рим о самых популяр­ных сниф­ферах под вин­ду.

ТЕОРИЯ

Что­бы перех­ватывать тра­фик, ана­лиза­торы могут исполь­зовать перенап­равле­ние пакетов или задей­ство­вать так называ­емый Promiscuous mode — «нераз­борчи­вый» режим работы сетево­го адап­тера, при котором отклю­чает­ся филь­тра­ция и адап­тер при­нима­ет все пакеты незави­симо от того, кому они адре­сова­ны. В обыч­ной ситу­ации Ethernet-интерфейс филь­тру­ет пакеты на каналь­ном уров­не. При такой филь­тра­ции сетевая кар­та при­нима­ет толь­ко широко­веща­тель­ные зап­росы и пакеты, MAC-адрес в заголов­ке которых сов­пада­ет с ее собс­твен­ным. В режиме Promiscuous все осталь­ные пакеты не отбра­сыва­ются, что и поз­воля­ет снифферу перех­ватывать дан­ные.

Те­оре­тичес­ки мож­но собирать вооб­ще все пакеты в сег­менте локаль­ной сети, где уста­нов­лен сниф­фер, одна­ко в этом слу­чае дан­ных для пос­леду­юще­го ана­лиза будет слиш­ком мно­го, да и фай­лы жур­налов быс­тро рас­пухнут до совер­шенно неп­рилич­ных раз­меров. А мож­но нас­тро­ить при­ложе­ние таким обра­зом, что­бы оно отлавли­вало тра­фик толь­ко опре­делен­ных про­токо­лов (HTTP, POP3, IMAP, FTP, Telnet) или ана­лизи­рова­ло лишь пер­вые 100 байт каж­дого пакета, где обыч­но и содер­жится самое инте­рес­ное: адрес целево­го хос­та, логины и пароли. Современ­ные сниф­феры могут слу­шать в том чис­ле и зашиф­рован­ный тра­фик.

Не­ред­ко ана­лиза­торы тра­фика при­меня­ются в «мир­ных» целях — для диаг­ности­ки сети, выяв­ления и устра­нения непола­док, обна­руже­ния вре­донос­ного ПО или что­бы выяс­нить, чем заняты поль­зовате­ли и какие сай­ты они посеща­ют. Но именно при взломе сниф­фер — незаме­нимый инс­тру­мент для раз­ведки и сбо­ра дан­ных. Сущес­тву­ют сниф­феры для раз­личных опе­раци­онных сис­тем, кро­ме того, подоб­ное ПО мож­но уста­новить на роуте­ре и иссле­довать весь про­ходя­щий через него тра­фик. Сегод­ня мы погово­рим о наибо­лее рас­простра­нен­ных популяр­ных ана­лиза­торах тра­фика для плат­формы Microsoft Windows.

WIRESHARK

• Про­изво­дитель: Wireshark Foundation
• Сайт: https://www.wireshark.org
• Ли­цен­зия: бес­плат­но

Об этой прог­рамме зна­ет, навер­ное, каж­дый, кто хотя бы раз стал­кивал­ся с задачей ана­лиза тра­фика. Популяр­ность Wireshark впол­не оправдан­на: во‑пер­вых, дан­ный про­дукт бес­пла­тен, во‑вто­рых, его воз­можнос­тей впол­не хва­тает для решения самых насущ­ных воп­росов, каса­ющих­ся перех­вата и ана­лиза переда­ваемых по сети дан­ных. Про­дукт поль­зует­ся зас­лужен­ной популяр­ностью у вирус­ных ана­лити­ков, реверс‑инже­неров, сис­темных адми­нис­тра­торов и, безус­ловно, хакеров.

Этот ана­лиза­тор име­ет рус­ско­языч­ный интерфейс, уме­ет работать с боль­шим количес­твом сетевых про­токо­лов (перечис­лять здесь их все лишено смыс­ла: пол­ный спи­сок мож­но най­ти на сай­те про­изво­дите­ля). В Wireshark мож­но разоб­рать каж­дый перех­вачен­ный пакет на час­ти, прос­мотреть его заголов­ки и содер­жимое. У при­ложе­ния очень удоб­ный механизм навига­ции по пакетам, вклю­чая раз­личные алго­рит­мы их поис­ка и филь­тра­ции, есть мощ­ный механизм сбо­ра ста­тис­тики. Сох­ранен­ные дан­ные мож­но экспор­тировать в раз­ные фор­маты, кро­ме того, сущес­тву­ет воз­можность авто­мати­зиро­вать работу Wireshark с помощью скрип­тов на Lua и под­клю­чать допол­нитель­ные (даже раз­работан­ные самос­тоятель­но) модули для раз­бора и ана­лиза тра­фика.

По­мимо Ethernet, сниф­фер уме­ет перех­ватывать тра­фик бес­про­вод­ных сетей (стан­дарты 802.11 и про­токол Bluetooth). Тул­за поз­воля­ет ана­лизи­ровать тра­фик IP-телефо­нии и вос­ста­нав­ливать TCP-потоки, под­держи­вает­ся ана­лиз тун­нелиро­ван­ного тра­фика. Wireshark отлично справ­ляет­ся с задачей декоди­рова­ния про­токо­лов, но, что­бы понять резуль­таты это­го декоди­рова­ния, надо, безус­ловно, хорошо раз­бирать­ся в их струк­туре.

К недос­таткам Wireshark мож­но отнести то, что вос­ста­нов­ленные потоки не рас­смат­рива­ются прог­раммой как еди­ный буфер памяти, из‑за чего зат­рудне­на их пос­леду­ющая обра­бот­ка. При ана­лизе тун­нелиро­ван­ного тра­фика исполь­зует­ся сра­зу нес­коль­ко модулей раз­бора, и каж­дый пос­леду­ющий в окне прог­раммы замеща­ет резуль­тат работы пре­дыду­щего — в ито­ге ана­лиз тра­фика в мно­гоуров­невых тун­нелях ста­новит­ся невоз­можен.

В целом Wireshark — не прос­то популяр­ный, но очень доб­ротный про­дукт, поз­воля­ющий отсле­дить содер­жимое гуля­ющих по сети пакетов, ско­рость их переда­чи, най­ти «проб­лемные мес­та» в сетевой инфраструк­туре. Но в отли­чие от ком­мерчес­ких при­ложе­ний здесь нет удоб­ных инс­тру­мен­тов визу­али­зации. Кро­ме того, с помощью Wireshark не так уж и прос­то, нап­ример, выловить из тра­фика логины и пароли, а это одна из типич­ных задач при взломе.

COMMVIEW

• Про­изво­дитель: TamoSoft
• Сайт: https://www.tamos.ru/products/commview/
• Ли­цен­зия: плат­ный, покуп­ка лицен­зии или под­писка

Сре­ди сущес­тву­ющих ныне сниф­феров CommView — один из самых ста­рых и зас­лужен­ных ветера­нов. Про­ект жив и по сей день, активно раз­вива­ется и обновля­ется: пос­ледняя на текущий момент вер­сия датиро­вана 2020 годом. Нес­мотря на то, что про­дукт плат­ный, про­изво­дитель пред­лага­ет ска­чать три­ал, который поз­воля­ет пос­мотреть работу при­ложе­ния на прак­тике — проб­ная вер­сия сниф­фера перех­ватыва­ет тра­фик в течение пяти минут, пос­ле чего про­сит денег.

Прог­рамма име­ет рус­ско­языч­ный интерфейс, что может стать опре­деля­ющим фак­тором при выборе сниф­фера для поль­зовате­лей, не вла­деющих англий­ским. Глав­ное пре­иму­щес­тво CommView — воз­можность гиб­ко нас­тро­ить пра­вила филь­тра­ции пакетов: мож­но выб­рать отдель­ные про­токо­лы, которые будет отсле­живать при­ложе­ние, сор­тировать пакеты по ряду приз­наков, нап­ример по раз­меру или заголов­ку. Ассорти­мент под­держи­ваемых про­токо­лов так­же весь­ма велик: сниф­фер уме­ет работать с самыми рас­простра­нен­ными прик­ладны­ми про­токо­лами, а так­же выпол­нять реконс­трук­цию TCP-сес­сии и UDP-потока. При этом CommView поз­воля­ет ана­лизи­ровать тра­фик вплоть до пакетов про­токо­лов самого низ­кого уров­ня — TCP, UDP, ICMP, а так­же прос­матри­вать «сырые» дан­ные. Прог­рамма показы­вает заголов­ки перех­вачен­ных пакетов, собира­ет под­робную ста­тис­тику IP-тра­фика. Сох­ранен­ные дан­ные мож­но экспор­тировать в 12 раз­личных фор­матов, начиная с .txt и .csv и закан­чивая фай­лами дру­гих ана­лиза­торов вро­де Wireshark.

По­мимо тра­фика на сетевой кар­те, CommView может монито­рить соеди­нения по VPN, а так­же тра­фика, про­ходя­щего через модемы — ана­лого­вые, мобиль­ные, ADSL, ISDN и дру­гие, для чего в сис­тему уста­нав­лива­ется спе­циаль­ный драй­вер. Есть воз­можность перех­вата VoIP-тра­фика и сес­сий SIP-телефо­нии. В сос­тав при­ложе­ния вхо­дит генера­тор пакетов, с помощью которо­го мож­но отпра­вить на задан­ный Ethernet-интерфейс пакет ука­зан­ной дли­ны, с про­изволь­ными заголов­ками и содер­жимым. Есть так­же доволь­но удоб­ный прос­мот­рщик лог‑фай­лов, поз­воля­ющий откры­вать фай­лы жур­налов в отдель­ном окне сниф­фера и выпол­нять поиск по их содер­жимому.

Тул­за, вне вся­ких сом­нений, край­не удоб­ная и полез­ная, если бы не «кусачие» цены на лицен­зию. Для про­фес­сиональ­ного хакера покуп­ка такого инс­тру­мен­та навер­няка будет оправдан­на, но ради того, что­бы разок «гля­нуть сеть», мож­но поис­кать аль­тер­натив­ные — более дешевые или бес­плат­ные решения.

INTERCEPTER-NG

• Про­изво­дитель: неиз­вес­тно
• Сайт: http://sniff.su
• Ли­цен­зия: бес­плат­но

Это тоже очень ста­рый и убе­лен­ный седина­ми инс­тру­мент. C тех пор разрабатываемый нашими сооте­чес­твен­никами про­ект не толь­ко не исчез с прос­торов интерне­та, как мно­гие его кон­курен­ты, но даже активно раз­вивал­ся и совер­шенс­тво­вал­ся — пос­ледняя акту­аль­ная редак­ция сниф­фера датиро­вана 2020 годом. Сущес­тву­ет вер­сия прог­раммы для Android в виде .APK-фай­ла и даже кон­соль­ная вер­сия это­го инс­тру­мен­та для Unix.

В сво­ей работе Intercepter-NG исполь­зует ути­литу NPcap, пор­табель­ную вер­сию которой, по завере­ниям раз­работ­чиков, тас­кает с собой. Одна­ко прак­тика показа­ла, что ее либо забыли туда положить, либо в Windows 10 она не работа­ет — для запус­ка сниф­фера мне приш­лось качать NPcap с сай­та https://nmap.org/npcap/ и уста­нав­ливать его вруч­ную.

Intercepter-NG име­ет доволь­но сим­патич­ный поль­зователь­ский интерфейс и поз­воля­ет прос­матри­вать тра­фик в нес­коль­ких режимах. Есть обыч­ный прос­мотр пакетов и их содер­жимого, в котором мож­но филь­тро­вать пакеты с помощью пра­вил pcap или исполь­зовать фун­кцию Follow TCP stream для деталь­ного ана­лиза какой‑либо сес­сии. Есть режим Messengers Mode, в котором тул­за пыта­ется перех­ватить тра­фик мес­сен­дже­ров — преж­де все­го иско­паемых ICQ, MSN, Yahoo и AIM, но есть там под­дер­жка про­токо­ла Jabber. С Telegram фокус не удал­ся: сниф­фер поп­росту его не уви­дел.

Име­ется Passwords Mode, в котором на экра­не демонс­три­руют­ся вылов­ленные из тра­фика логины и пароли, переда­ваемые по про­токо­лам FTP, HTTP, SMTP, POP3, IMAP, LDAP, Telnet и дру­гим. Режим Resurrection mode поз­воля­ет вос­ста­нав­ливать фай­лы, переда­ваемые через HTTP, FTP, SMB, IMAP, POP3 и SMTP, — при этом удач­но вос­ста­нав­лива­ются толь­ко фай­лы из завер­шенных TCP-сес­сий.

В сос­таве Intercepter-NG име­ется допол­нитель­ный и очень полез­ный инс­тру­мен­тарий. Это прос­той DHCP-сер­вер, служ­ба NAT, поз­воля­ющая тран­сли­ровать пакеты ICMP/UDP/TCP меж­ду раз­личны­ми Ethernet-сег­мента­ми сети. Есть нес­коль­ко сетевых ска­неров: ARP, DHCP, реали­зован «умный» поиск шлю­зов. Еще один полез­ный инс­тру­мент — модуль для орга­низа­ции MiTM-атак. Под­держи­вают­ся методы Spoofing (с под­дер­жкой про­токо­лов DNS/NBNS/LLMNR), ICMP Redirect, DNS over ICMP Redirect, SSL MiTM, SSLStrip и некото­рые дру­гие.

С помощью прог­раммы мож­но прос­каниро­вать задан­ный диапа­зон пор­тов в поис­ках работа­ющих на них при­ложе­ний, про­вес­ти ана­лиз свя­зан­ных с эти­ми пор­тами про­токо­лов. Мож­но перек­лючить сниф­фер в экс­тре­маль­ный режим, при котором он будет перех­ватывать все TCP-пакеты без про­вер­ки пор­тов, что поз­волит обна­ружить в сети при­ложе­ния, работа­ющие на нес­тандар­тных и пере­опре­делен­ных адми­нис­тра­тором пор­тах. Прав­да, в этом режиме при­ложе­ние нещад­но тор­мозит и пери­оди­чес­ки зависа­ет намер­тво.

В акту­аль­ной вер­сии Intercepter-NG появи­лась встро­енная тул­за для экс­плу­ата­ции уяз­вимос­ти Heartbleed — ошиб­ки в крип­тогра­фичес­ком прог­рам­мном обес­печении OpenSSL, с помощью которой мож­но несан­кци­они­рован­но читать память на сер­вере или на кли­енте, в том чис­ле для извле­чения зак­рытого клю­ча сер­вера. Еще в сос­тав пакета был добав­лен инс­тру­мент для брут­форса и мно­гопо­точ­ный ска­нер уяз­вимос­тей X-Scan. Ины­ми сло­вами, из прос­того при­ложе­ния сетево­го ана­лиза Intercepter-NG понем­ногу прев­раща­ется в эда­кий ком­байн, поз­воля­ющий не отхо­дя от кас­сы прос­каниро­вать сеть на наличие откры­тых пор­тов и незак­рытых уяз­вимос­тей, перех­ватить логины с пароля­ми и чего‑нибудь сбру­тить.

К минусам Intercepter-NG сле­дует отнести то, что прог­рамма рас­позна­ется как вре­донос­ная анти­виру­сом Кас­пер­ско­го и Windows Defender, из‑за чего при­бива­ется еще на эта­пе заг­рузки с сай­та про­изво­дите­ля. Так что для работы со сниф­фером при­дет­ся отклю­чать анти­виру­сы, но это доволь­но скром­ная пла­та за воз­можность поль­зовать­ся столь мно­гофун­кци­ональ­ным инс­тру­мен­том.

SMARTSNIFF

• Про­изво­дитель: Nirsoft
• Сайт: http://www.nirsoft.net/utils/smsniff.html
• Ли­цен­зия: бес­плат­но

Прос­тень­кий сниф­фер, работа­ющий с про­токо­лами TCP, UDP и ICMP. Тре­бует уста­нов­ки драй­вера WinPcap и Microsoft Network Monitor Driver вер­сии 3.

Про­ект изна­чаль­но раз­рабаты­вал­ся под Windows 2000/XP (что, в общем‑то, замет­но по его интерфей­су), но жив и по сей день — пос­ледняя вер­сия сниф­фера датиро­вана 2018 годом. Ути­лита поз­воля­ет перех­ватывать тра­фик, про­ходя­щий через локаль­ную машину, и прос­матри­вать содер­жимое пакетов — боль­ше она, собс­твен­но, ничего не уме­ет.

TCPDUMP

• Про­изво­дитель: Tcpdump Group
• Сайт: tcpdump.org
• Ли­цен­зия: бес­плат­но (модифи­циро­ван­ная лицен­зия BSD)

На­писан­ная на С кон­соль­ная ути­лита, изна­чаль­но раз­работан­ная под Unix, но позже пор­тирован­ная на Windows, в которой исполь­зует­ся WinPcap. Для нор­маль­ной работы тре­бует наличия адми­нис­тра­тив­ных при­виле­гий. Сре­ди поль­зовате­лей Windows более популяр­на вер­сия tcpdump с откры­тым исходным кодом под наз­вани­ем WinDump, которую мож­но бес­плат­но ска­чать с сай­та https://www.winpcap.org/windump/.

BURP SUITE

• Про­изво­дитель: Portswigger
• Сайт: https://portswigger.net/burp
• Ли­цен­зия: бес­плат­но (Community Edition)

Еще один популяр­ный у хакеров инс­тру­мент, пред­назна­чен­ный для взлома веб‑при­ложе­ний. Burp вхо­дит в сос­тав Kali Linux, есть вер­сия под Windows с 64-бит­ной архи­тек­турой. Этот фрей­мворк недаром называ­ют «швей­цар­ским ножом хакера» — в пла­не поис­ка уяз­вимос­тей и взлома веб‑при­ложе­ний ему нет равных. Burp Suite вклю­чает воз­можнос­ти для отправ­ки на уда­лен­ные узлы модифи­циро­ван­ных зап­росов, брут­форса, фаз­зинга, поис­ка фай­лов на сер­вере и мно­гое дру­гое.

Собс­твен­но, в качес­тве сниф­фера Burp сов­сем не уни­вер­сален — он уме­ет толь­ко отсле­живать тра­фик меж­ду бра­узе­ром и уда­лен­ным веб‑при­ложе­нием с исполь­зовани­ем перех­ватыва­юще­го прок­си, для работы которо­го с про­токо­лом HTTPS тре­бует­ся уста­новить в сис­теме допол­нитель­ный сер­тификат. Но для опре­делен­ных целей это­го может ока­зать­ся дос­таточ­но.

Burp перех­ватыва­ет все пакеты, которые отправ­ляет и получа­ет бра­узер и, соот­ветс­твен­но, поз­воля­ет ана­лизи­ровать тра­фик раз­личных веб‑при­ложе­ний, вклю­чая онлайн‑мес­сен­дже­ры или соц­сети. Если в атакуемой хакером инфраструк­туре име­ются работа­ющие через HTTP или HTTPS сер­висы, луч­шего инс­тру­мен­та для их взлома, пожалуй, не най­ти. Но исполь­зовать Burp толь­ко в качес­тве сниф­фера HTTP/HTTPS-тра­фика — это все рав­но, что возить с дач­ного учас­тка кар­тошку на «Лам­бор­джи­ни»: он пред­назна­чен сов­сем для дру­гих задач.

ЗАКЛЮЧЕНИЕ

Ес­ли переф­разиро­вать популяр­ную пес­ню, сниф­феры быва­ют раз­ные — и каж­дый из них луч­ше под­ходит для сво­их задач. В целях взлома веб‑при­ложе­ний и перехвата локаль­ного HTTP-тра­фика нет ничего луч­ше Burp Suite, для поис­ка проб­лемных мест в собс­твен­ной локаль­ной сети или получе­ния спис­ка уда­лен­ных узлов, к которым обра­щает­ся какая‑либо прог­рамма, отлично подой­дет Wireshark. А для атак на сетевую инфраструк­туру мож­но исполь­зовать Intercepter-NG — эта тул­за рас­полага­ет целым набором полез­ных инс­тру­мен­тов для тес­тирова­ния на про­ник­новение.

На сегодня у меня все. Спасибо за внимание!

👉Да, хочу!ᅠ