Narzędzia monitorowania sieci oraz usług.

W sieciach TCP/IP mamy wiele potencjalnych problemów i zagrożeń. Administrator

serwera lub sieci powinien być zawsze przygotowany na najgorsze czyli awarie i ataki z
zewnątrz i wewnątrz.

Zapoznamy się więc z poleceniami które pozwolą nam monitorować oraz

diagnozować i badać sieć lokalną.

Oto lista poleceń które powinniśmy znać i wiedzieć jakie informacje nam

udostępniają.

1. ping

2. netstat
3. nmap

4. iptraf
5. ethereal

6. ettercap

ping - Testowanie komputerów i sieci na poziomie IP.

Program jest zupełnie podstawowym narzędziem administratora sieci. Możemy za

jego pomocą uzyskać wiele informacji. Uwaga, wersje polecenia ping są różne w różnych
systemach operacyjnych i pod Windows lub FreeBSD niektóre opcje mogą być inne lub
niedostępne.

Zwykłe wykonanie polecenia ping czyli żądania echa ICMP.
ping ip
ping domain.name

Wysłanie rozgłoszeniowego komunikatu ping do całej sieci poprzez podanie adresu
broadcast sieci (dla sieci 10.0.0.0 / 16 komunikat wyglądałby następująco).
ping 10.0.255.255

Polecenie wysyła tak dużo komunikatów ping ile to tylko możliwe, zalewa sieć
maksymalną ilością poleceń ping. Można w ten sposób łatwo sprawdzić czy
okablowanie jest poprawne patrząc czy ilość utraconych pakietów jest zbliżona do
oczekiwanej. Nie powinno sie tego używać w normalnych sieciach bo powoduje
natychmiastowe przeciążenie.
ping -f IP

Wysłanie określonej ilości komunikatów i pokaz statystyk
ping -c 30 IP

Wysyłanie komunikatów z określoną wartością TTL
ping -t 1 IP

Wysłanie komunikatów o określonym rozmiarze
ping -s 1000 IP

netstat - Przeglądanie lokalnych połączeń i gniazd.

Program pozwala na przeglądanie jakie połączenia są obecnie zestawione z naszym

komputerem oraz jakie lokalne porty nasłuchują na nadchodzące połączenia.

Podgląd połączeń maskowanych przez system (jeśli jest używany modół maskarady)
netatat -M

Gadatliwe wyjście programu.
netatat -v

Nie rozwiązuje nazw domenowych tylko pokazuje IP
netatat -n

Powtarza wykonanie co sekundę
netatat -c

Pokazuje nasłuchujące porty.
netatat -l

Pokazuje wszystkie połączenia nie tylko w stanie połączonym.
netatat -a

Pokazuje tylko połączenia z danej rodziny protokołów (w przykładzie IP)
netstat -A inet

Przydatna forma polecenia:
netstat -an

Zadanie:

–

Nawiąż kilka połączeń internetowych (otwórz stronę, zaloguj się zdalnie po ssh na ireta
itd).

–

Wykonaj polecenia używając nazw domenowych (zobaczysz połączenia z serwerem
DNS)

–

Oglądaj statystyki oraz szczegóły połączeń.

–

Zwracaj uwagę na to jakie porty lokalne i zdalne mają poszczególne połączenia.

–

Przeglądaj połączenia oraz ich stan.

nmap - Testowanie i skanowanie hostów.

Program nmap pozwala na bardzo zaawansowane testowanie zabezpieczeń, ustawień

oraz szczegółów konfiguracji hostów. Pozwala na skanowanie komputerów w trybie
aktywnym oraz pasywnym. Pozwala na wykrywanie jakie usługi są aktywne na
komputerze. Pozwala też na badanie jaki system operacyjny zainstalowany jest na
komputerze.

W dokumentacji polecenia można przeczytać szczegóły składni oraz dostępne

parametry. Polecam przetestowanie jak największej części dostępnych parametrów by
zobaczyć jakie możliwości oferuje nam program.

Wykonanie prostego aktywnego skanowania TCP oraz pokaz wyników.
nmap -sT 10.0.0.23

Wykonanie prostego aktywnego skanowania UDP oraz pokaz wyników.
nmap -sU 10.0.0.23

Wykrycie które komputery w sieci odpowiadają na ping oraz wyświetlenie
podstawowych informacji
nmap -sP 10.0.0.0/24

Skanowanie zakresu portów
nmap -sT 10.0.0.23 -p 0-3000

Rozpoznawanie systemu operacyjnego
nmap -O 10.0.0.23

Skanowanie z pokazaniem duzej ilosci informacji
nmap -O -sU -sT -v 192.168.192.34 -p 0-5000

Zadanie

–

wykonaj skanowanie sieci lokalnej

–

przeskanuj dokładnie kilka komputerów, domyślną bramę oraz kilka komputerów z sieci

–

przyjrzyj się jak identyfikowane są komputery (jaki system operacyjny jest
rozpoznawany)

–

przeskanuj 212.191.65.6 i przeanalizuj wynik

–

przeskanuj komputer kolegi i przeanalizuj wynik

–

przeskanuj komputer z uruchomionym systemem Windows (adres IP podam na
zajęciach)

iptraf - Podgląd aktywności interfejsów sieciowych.

Polecenie pozwala na łatwy i czytelny podgląd ruchu w sieci. Uruchamiamy

polecenia z uprawnieniami administratora. Mamy dostępne następujące opcje:

–

ip traffic monitor

–

general interface statistics

–

detailed interface statistics

–

statistics breakdowns

–

lan station monitor

–

filters

–

configure

Najpierw udajemy się na zakładkę konfiguracji i określamy jakie ma być zachowanie

programu. DNS lookups pozwala na wyświetlanie nazw domenowych zamiast adresów ip.
Warto jednak pozostawić ją wyłączoną. Włączyć natomiast można opcję promisciuos kart
sieciowych. Ustawienie kart w tym trybie powoduje że analizowane będą wszystkie pakiety
przychodzące siecią nawet jeśli nie są zaadresowane do naszej karty sieciowej (inny adres
MAC). Pozwala to na niejako nasłuchiwanie całego ruchu w naszym segmencie
rozgłoszeniowym. Niestety obecnie większość sieci budowanych jest w oparciu o switche
tak więc nie będzie do nas docierało nic poza pakietami skierowanymi do nas oraz
rozgłoszeniami ARP. Polecam włączyć tryb promiscious i sprawdzić zachowanie się
programu.

Opis poszczególnych opcji programu pod adresami:

http://iptraf.seul.org/2.7/itrafmon.html
http://iptraf.seul.org/2.7/netstats.html
http://iptraf.seul.org/2.7/detstats.html
http://iptraf.seul.org/2.7/statbreakdowns.html
http://iptraf.seul.org/2.7/hostmon.html
http://iptraf.seul.org/2.7/config.html

Zadanie:

–

Przeczytaj dokumentacje poszczególnych opcji programu.

–

Sprawdź działanie poszczególnych ekranów.

–

W przypadku braku ruchu sieciowego nawiąż kilka połączeń internetowych (otwórz
stronę, zaloguj się zdalnie po ssh na ireta itd).

–

Wykonaj polecenia ping oraz traceroute.

–

Wykonaj polecenie ping -f ip_kolegi_obok

–

Wykonaj polecenia używając nazw domenowych (zobaczysz połączenia z serwerem
DNS)

–

Oglądaj statystyki oraz szczegóły transferów.

–

Przeglądaj połączenia oraz ich stan.

ethereal - Sniffing oraz analiza komunikacji sieciowej.

Polecenie pozwala na przechwytywanie pakietów przychodzących z sieci oraz

dogłębną analizę. Program działa w ten sposób że włączamy przechwytywanie, program
zapisuje całość ruchu sieciowego, następnie zatrzymujemy przechwytywanie i analizujemy
go.

Program daje możliwości podglądu statystyk sieci oraz zawartości poszczególnych

połączeń, zakładanie filtrów itd.

Dokumentacja opisująca interfejs użytkownika dostępna jest pod adresem:

http://www.ethereal.com/docs/eug_html_chunked/ChapterUsing.html#ChUseIntroductionSe
ction

Natomiast całość dokumentacji znajduje się pod adresem:

http://www.ethereal.com/docs/eug_html_chunked/

Zadanie:

–

Zmień hałso administratora poleceniem passwd

–

Włącz program Internet->ethereal (root user)

–

Włącz przechwytywanie ruchu. (za pierwszym razem trzeba wybrać interfejs sieciowy
capture->options->start).

–

Wykonaj kilka połączeń jak w poprzednim ćwiczeniu

–

Wykonaj polecenia ping, ssh, ftp i inne żeby wygenerować różnego rodzaju ruch
sieciowy

–

Połącz się za pomocą klienta ftp z serverem ftp np. sunsite.icm.edu.pl lub task.gda.net
lub innym i pobież jakiś plik.

–

Otwórz stronę np. google.pl i wpisz coś w formularzu wyszukiwania.

–

Zatrzymaj przechwytywanie pakietów.

–

Przejrzyj statystyki: summary, hierarchię protokołów, konwersacje oraz punkty końcowe
i wykres IO. Zwróć uwagę na konwersacje i punkty końcowe pozwala to na ładne
zgrupowanie informacji o ruchu w sieci ze względu na protokoły i adresy.

–

Poszukaj połączenia z serwerem google i podejżyj TCP stream.

–

Wyczyść pole filtru i kliknij apply by znów zobaczyć wszystkie pakiety.

–

Poszukaj połączeń ftp i podejrzyj TCP stream

–

Zobacz że dane przesyłane są otwartym tekstem razem z hasłami itd.

–

Odnajdź pakiet rozpoczynający żądznie HTTP metodą GET. Kliknij w oknie protokołów
poszczególne zakładki by zobaczyć które bajty transmisji zawierają które pola. Zauważ
że narzędzie potrafi analizować też pola protokołu HTTP. Mamy wgląd w poszczególne
wartości wysyłanego żądania.

–

Przejrzyj dokumentację kolorowania pakietów i ustaw kolorowanie tła pakietu na
czerwono gdy (aby reguła kolorowania została użyta trzeba przesunąć ją w górę ponad
domyślne kolorowanie pakietów tcp)

tcp.flags.syn = = 1 and tcp.flags.ack = = 0

–

Spowoduje to że wszystkie pakiety inicjujące połączenia będą w innym kolorze. Będzie
można je wtedy łatwo wyszukać.

–

Kliknięcie TCP stream na takim pakiecie pokaże nam całą transmisję w ramach tego
połączenia TCP. Pomijane są duplikaty i inne pakiety związane z połączeniem. W oknie
zobaczymy tylko dane jakie były przesyłane.

–

Zwróć uwagę na filtr ustawiony na pasku narzędzi. Jeśli w filtrze wpiszemy jakaś regułę
będziemy widzieć tylko pakiety spełniający określone kryteria.

tcp.flags.syn = = 1 and tcp.flags.ack = = 0

–

Zwróć uwagę że w okno podglądu strumienia TCP pozwala na zapis strumienia
połączenia do pliku.

–

Kliknij na jakimś pakiecie TCP i obejrzyj (w oknie po środku ekranu)

ettercap - Program do podsłuchiwania haseł,
przechwytywania połączeń, podmiany części połączeń i
innych ataków jak MIT.

Podsłuchiwanie w sieci opartej o huby jest bardzo proste. Możemy podsłuchiwać

całość komunikacji w naszym segmencie. Możemy więc podsłuchiwać całą komunikację
pomiędzy komputerami z naszego segmentu a resztą świata.

Nasłuch pasywny jest trudny do wykrycia (niemal niemożliwy). Jeżeli nasze

oprogramowanie całkowicie milczy a jądro systemu posiada odpowiednio skonfigurowane
filtry firewall nie pozwalające na wysyłanie żadnych komunikatów zwrotnych to jesteśmy
nie do wykrycia.

Z punktu widzenia administratora sieci lokalnej jest to ogromne zagrożenie. Dlatego

coraz większą popularność mają rozwiązania typu wirtualnych sieci prywatnych VPN gdzie
cała komunikacja IP jest szyfrowana. Należy zawsze pamiętać że w każdej chwili możemy
być podsłuchiwani. Nie są do tego potrzebne żadne specjalne urządzenia ani umiejętności.

Niestety w sieciach IP możliwe są też ataki oraz podsłuch aktywny. Stosując ARP

poisoning możemy oszukać switche w naszej sieci lokalnej i podsłuchiwać połączenia w
również w takich sieciach.

Atak Man In The Middle typu ARP poisoning polega na oszukaniu systemów

operacyjnych ofiar że powiązania IP-MAC prowadzą do naszego komputera. W takim
przypadku wszystkie komputery chcąc komunikować się z ofiarą wyślą pakiety z naszym
adresem MAC. My je odbierzemy i będziemy mogli zrobić z nimi wszystko. Możemy
podmienić część transmisji, udawać drugą stronę połączenia podając swoje klucze
szyfrujące tak że będziemy widzieć dane w szyfrowanych połączeniach. Będziemy
oczywiście mogli też po cichu przekazywać pakiety pod prawdziwy adres MAC aby jedynie
podsłuchiwać w poszukiwaniu haseł.

Ataki MIT możliwe są też na każdym routerze i gatewayu. Każdy komputer który

pośredniczy w przesyłaniu naszych pakietów może posłużyć hakerowi do przechwycenia
naszych połączeń i dowolnej ich obsługi.

Ataki MIT pozwalają np. na przekierowanie użytkownika WWW pod inny adres niż

tego chciał. Wystarczy że założy się odpowiednie filtry a można każde wystąpienie ciągu
http://www.pko.com.pl/przelew podmieniać na dowolny adres ip. Możemy wtedy
przygotować podobny serwis udający stronę banku i przechwycić nie tylko hasła i loginy
ale nawet kody jednorazowe do wykonywania przelewów. Oczywiście będzie można ich
później użyć do wykonania dowolnego zlecenia.

Naturalnie wszelkie ataki tego typu są mniej lub bardziej nieetyczne lub niezgodne z

prawem. Administrator sieci musi jednak zdawać sobie jak realne są te zagrożenia i robić
wszystko by uchronić swoją sieć przed tego typu scenariuszami.

Naturalnie ataki MIT mogą być wykonywane tak by oszukać dwa komputery z

naszej sieci ale równie dobrze możemy oszukać jeden komputer i router by cała
komunikacja z tym komputerem "szła" przez nas. Możemy nawet oszukać całą sieć lokalną
że to nasza karta jest routerem i w ten sposób przekierować całą komunikację sieci z
internetem przez nas.

Aktywne podsłuchiwanie jest niebezpieczne, może być wykryte dość łatwo przez

programy monitorujące ARP oraz różne anomalie. Nie powinno się robić takich prób nawet
w sieciach formowych na uczelni ani w sieci osiedlowej. Jeśli chcecie się pobawić i
zobaczyć że to działa połączcie 4 komputery w sieć (klient, router, komputer poza siecią
wewnętrzną oraz haker w sieci wewnętrznej.) połączcie wszystko kablami i switchem i się

bawcie.

Poza ryzykiem wykrycia możemy uszkodzić czyjeś dane, spowodować straty

materialne lub zostać oskarżeni o naruszenie prywatności i inne zakazane rzeczy. Tak że po
prostu nie róbcie tego.

Zadanie:

–

Jeśli włączyłeś dopiero knoppixa zaloguj się jako root, zmień hasło roota, uruchom
program ettercap z interfejsem graficznym Internet->More applications->ettercap (as
root)

–

Jeśli masz inną wersję knoppixa (np 4.0.2) w konsoli przeloguj się na użytkownika
root poleceniem su a następnie wykonaj:

ettercap -G -i eth0

–

Włącz przechwytywanie pakietów sniffing->unified sniffing

–

Włącz start->start sniffing

–

Wejdź w menu logging, ustaw plik logowania komunikatów usera.

–

Połącz się z innego komputera z serwerem FTP

–

Zauważ jak od razu username oraz hasło zostały pokazane w oknie komunikatów oraz
zapisane w pliku który określono jako plik logowania.

–

Połącz się za pomocą protokołów telnet, pop3 oraz smtp (ale może lepiej w domu lub
innej sieci gdzie nikt poza tobą nie podsłuchuje żeby nie ujawniać swoich haseł innym)
zauważ że te protokoły również są logowane.

–

Nawiąż sesję ssh z komputera kolegi.

–

Wejdź na zakładkę view->connections kliknij prawym przyciskiem i wybierz kill
connection. Połączenie powinno zostać zerwane.

–

W zakładce połączeń kliknięcie 2 razy na połączeniu pokazuje dane jakie wyły
przesyłane w strumieniu. Możemy połączyć okna by widzieć kolejność komunikatów.
Możemy też spróbować wtrącić swoje dane w połączenie.

–

Wejdź na zakładkę profile by zobaczyć typy połączeń oraz ich szczegóły.

–

Wejdź w zakładkę hosts->scan for hosts. Każdy z wykrytych komputerów w hosts->host
list może być dodany do listy celów ataków MIT.

–

Sprawdź czy wszystkie komunikaty zostały zalogowane w pliku logowania.