Antisniff
AntiSniff 1.0
работающая под управлением Win NT
позволяет определить какая машина
в сети производит анализ сетевого
трафика внезависимости от того
какая OS используется на компьютере
с установленным сниффером. AntiSniff
тестирует сетевые интерфейсы по
трe:м параметрам - тест для
отдельных верий ОС, DNS тест и тесты
сетевой латентности. 1.1.Тест ядра
Linux. Он основан на том, что программа
посылает в сеть пакет с
некорректным MAC адресом, но
содержащий внутри вполне
корректный IP-пакет. Не находясь в
режиме sniff, ядро проигнорирует
такой пакет - у него ведь
неправильный MAC. Но, если на системе
запущен, к примеру, tcpdump, то пакет с
неверным MAC'ом будет перехвачен, и
система ответит на IP-пакет. Этот
ответ будет означать запущенный
сниффер. Этот тест основан на том,
что в нормальном режиме, прежде чем
рассматривать содержимое пакета,
машина сначала проверяет его MAC, в
режиме же перехвата траффика все
без исключения пакеты
перехватываются и обрабатываются.
Естественно, если сниффер
обработает такой пакет с
энкапсулироваными корректными
данными, то на него будет
произведен ответ.
NetBSD - аналогично
Windows 95/98/NT
В нормальных условиях сетевой
адаптер под win32 принимает пакеты,
предназначенные либо ему, либо
броадкасту (адрес ff:ff:ff:ff:ff:ff). Когда
адаптер находится в слушающем
режиме, то производится проверка
только первого октета MAC-адреса. и
если он равен ff, то пакет считается
броадкастовым - остальные октеты
игнорируются. Итак, посылая пакет с
MAC ff:00:00:00:00:00 и содержащий внутри
нормальный ICMP-пакет, если мы
получаем на него ответ - то машина
находится в режиме сниффинга. В
нормальном режиме такой пакет
просто игнорируется.
DNS тест
Зачастую хакеры, получив список IP
адресов подсети, устанавливают так
же имена DNS им соответствующие.
Конечно же, хост main_server.net.work - более
интересная цель для атаки, чем
terminal012.net.work ;-) AntiSniff так же
распознаe:т попытки resolv'a IP адресов,
стоящих в передаваемых пакетах. Это
достигается переводом самого
AntiSniff'a в режим сниффинга и
посылания пакетов фиктивным
хостам. Естественно, все попытки
resolv'a доменных имe:н у этих фиктивных
хостов будут замечены.
Тесты сетевой латентности
Вкратце можно сказать, что в
нормальных условиях посылка
большого количества пакетов с
несуществующим MACом не приведeт к
заметному ухудшению пинга до машин
в сети. Но, если в сети запущен
сниффер, то он будет перехватывать
эту бессмысленную "кашу" и
время ответа от такой машины
заметно увеличится.
Скачать AntiSniff можно http://www.l0pht.com/antisniff/dist/as-beta1.exe
