Đạo đức Hacking - Đánh hơi

Sniffing là quá trình theo dõi và nắm bắt tất cả các gói đi qua một mạng nhất định bằng cách sử dụng các công cụ đánh hơi. Đây là một hình thức “chạm vào dây điện thoại” và tìm hiểu về cuộc trò chuyện. Nó còn được gọi làwiretapping áp dụng cho các mạng máy tính.

Có rất nhiều khả năng là nếu một tập hợp các cổng chuyển mạch doanh nghiệp đang mở, thì một trong các nhân viên của họ có thể đánh hơi toàn bộ lưu lượng của mạng. Bất kỳ ai ở cùng một vị trí thực tế đều có thể cắm vào mạng bằng cáp Ethernet hoặc kết nối không dây với mạng đó và đánh hơi tổng lưu lượng.

Nói cách khác, Sniffing cho phép bạn xem tất cả các loại lưu lượng truy cập, cả được bảo vệ và không được bảo vệ. Trong các điều kiện thích hợp và với các giao thức phù hợp, một bên tấn công có thể thu thập thông tin có thể được sử dụng cho các cuộc tấn công tiếp theo hoặc gây ra các vấn đề khác cho mạng hoặc chủ sở hữu hệ thống.

Cái gì có thể đánh hơi được?

Người ta có thể đánh hơi thông tin nhạy cảm sau đây từ một mạng:

Lưu lượng email
Mật khẩu FTP
Lưu lượng truy cập web
Mật khẩu Telnet
Cấu hình bộ định tuyến
Phiên trò chuyện
Lưu lượng DNS

Làm thế nào nó hoạt động

Một trình đánh giá thường biến NIC của hệ thống thành promiscuous mode để nó lắng nghe tất cả dữ liệu được truyền trên phân đoạn của nó.

Chế độ Promiscuous đề cập đến cách thức độc nhất của phần cứng Ethernet, cụ thể là các card giao diện mạng (NIC), cho phép NIC nhận tất cả lưu lượng trên mạng, ngay cả khi nó không được định địa chỉ tới NIC này. Theo mặc định, NIC bỏ qua tất cả lưu lượng không được định địa chỉ đến nó, điều này được thực hiện bằng cách so sánh địa chỉ đích của gói Ethernet với địa chỉ phần cứng (hay còn gọi là MAC) của thiết bị. Mặc dù điều này có ý nghĩa hoàn hảo cho việc kết nối mạng, nhưng chế độ không quảng cáo gây khó khăn cho việc sử dụng phần mềm giám sát và phân tích mạng để chẩn đoán các sự cố kết nối hoặc tính toán lưu lượng.

Một trình thám thính có thể liên tục theo dõi tất cả lưu lượng truy cập vào máy tính thông qua NIC bằng cách giải mã thông tin được gói gọn trong các gói dữ liệu.

Các kiểu đánh hơi

Đánh hơi có thể là Chủ động hoặc Bị động.

Đánh hơi thụ động

Trong đánh hơi thụ động, lưu lượng truy cập bị khóa nhưng nó không bị thay đổi theo bất kỳ cách nào. Đánh hơi thụ động chỉ cho phép nghe. Nó hoạt động với các thiết bị Hub. Trên thiết bị trung tâm, lưu lượng được gửi đến tất cả các cổng. Trong một mạng sử dụng các trung tâm để kết nối các hệ thống, tất cả các máy chủ trên mạng đều có thể nhìn thấy lưu lượng. Do đó, kẻ tấn công có thể dễ dàng nắm bắt được lưu lượng đi qua.

Tin tốt là ngày nay các trung tâm gần như đã lỗi thời. Hầu hết các mạng hiện đại đều sử dụng thiết bị chuyển mạch. Do đó, đánh hơi thụ động không còn hiệu quả.

Đánh hơi tích cực

Trong hoạt động đánh hơi tích cực, lưu lượng truy cập không chỉ bị khóa và theo dõi mà còn có thể bị thay đổi theo một cách nào đó do cuộc tấn công xác định. Đánh hơi tích cực được sử dụng để đánh hơi một mạng dựa trên chuyển mạch. Nó liên quan đến việc tiêmaddress resolution packets (ARP) vào một mạng mục tiêu để tràn vào chuyển đổi content addressable memory(CAM) bảng. CAM theo dõi máy chủ nào được kết nối với cổng nào.

Sau đây là các kỹ thuật đánh hơi chủ động -

MAC Flooding
Tấn công DHCP
Ngộ độc DNS
Tấn công giả mạo
Ngộ độc ARP

Các giao thức bị ảnh hưởng

Các giao thức như TCP / IP đã được thử nghiệm và thực sự không bao giờ được thiết kế với tính bảo mật và do đó không cung cấp nhiều khả năng chống lại những kẻ xâm nhập tiềm năng. Một số quy tắc cho phép bạn dễ dàng đánh hơi -

HTTP - Nó được sử dụng để gửi thông tin dưới dạng văn bản rõ ràng mà không có bất kỳ mã hóa nào và do đó là mục tiêu thực.
SMTP(Giao thức chuyển thư đơn giản) - Về cơ bản, SMTP được sử dụng để chuyển email. Giao thức này hiệu quả, nhưng nó không bao gồm bất kỳ biện pháp bảo vệ nào chống lại việc đánh hơi.
NNTP (Network News Transfer Protocol) - Nó được sử dụng cho tất cả các loại hình truyền thông, nhưng nhược điểm chính của nó là dữ liệu và thậm chí cả mật khẩu được gửi qua mạng dưới dạng văn bản rõ ràng.
POP(Post Office Protocol) - POP được sử dụng nghiêm ngặt để nhận email từ máy chủ. Giao thức này không bao gồm bảo vệ chống đánh hơi vì nó có thể bị bẫy.
FTP(Giao thức truyền tệp) - FTP được sử dụng để gửi và nhận tệp, nhưng nó không cung cấp bất kỳ tính năng bảo mật nào. Tất cả dữ liệu được gửi dưới dạng văn bản rõ ràng có thể dễ dàng nhận ra.
IMAP (Giao thức truy cập tin nhắn Internet) - IMAP giống như SMTP trong các chức năng của nó, nhưng nó rất dễ bị đánh cắp.
Telnet - Telnet gửi mọi thứ (tên người dùng, mật khẩu, tổ hợp phím) qua mạng dưới dạng văn bản rõ ràng và do đó, nó có thể dễ dàng bị phát hiện.

Sniffers không phải là tiện ích ngu ngốc cho phép bạn chỉ xem giao thông trực tiếp. Nếu bạn thực sự muốn phân tích từng gói, hãy lưu bản chụp và xem lại bất cứ khi nào thời gian cho phép.

Máy phân tích giao thức phần cứng

Trước khi chúng ta đi vào chi tiết hơn về trình đánh hơi, điều quan trọng là chúng ta phải thảo luận về hardware protocol analyzers. Các thiết bị này cắm vào mạng ở cấp độ phần cứng và có thể giám sát lưu lượng mà không cần thao tác.

Bộ phân tích giao thức phần cứng được sử dụng để theo dõi và xác định lưu lượng mạng độc hại được tạo ra bởi phần mềm hack được cài đặt trong hệ thống.
Họ nắm bắt một gói dữ liệu, giải mã nó và phân tích nội dung của nó theo các quy tắc nhất định.
Các bộ phân tích giao thức phần cứng cho phép kẻ tấn công xem từng byte dữ liệu riêng lẻ của mỗi gói đi qua cáp.

Những thiết bị phần cứng này không có sẵn cho hầu hết các hacker có đạo đức do chi phí rất lớn của chúng trong nhiều trường hợp.

Sự đánh chặn hợp pháp

Đánh chặn hợp pháp (LI) được định nghĩa là quyền truy cập bị trừng phạt hợp pháp vào dữ liệu mạng truyền thông như cuộc gọi điện thoại hoặc tin nhắn email. LI phải luôn tuân theo một cơ quan có thẩm quyền hợp pháp nhằm mục đích phân tích hoặc làm bằng chứng. Do đó, LI là một quy trình bảo mật trong đó nhà điều hành mạng hoặc nhà cung cấp dịch vụ cấp cho các quan chức thực thi pháp luật quyền truy cập thông tin liên lạc riêng tư của các cá nhân hoặc tổ chức.

Hầu hết tất cả các nước đã soạn thảo và ban hành luật để điều chỉnh các thủ tục đánh chặn hợp pháp; các nhóm tiêu chuẩn hóa đang tạo ra các đặc tả công nghệ LI. Thông thường, các hoạt động LI được thực hiện với mục đích bảo vệ cơ sở hạ tầng và an ninh mạng. Tuy nhiên, các nhà khai thác cơ sở hạ tầng mạng riêng có thể duy trì các khả năng LI trong mạng của họ như một quyền vốn có, trừ khi bị cấm.

LI trước đây được gọi là wiretapping và đã tồn tại từ khi ra đời truyền thông điện tử.