Внутренняя разведка

можно классифицировать как средства анализа трафика.

Анализ трафика и сканирование

Эти термины, используемые в сетевой среде, обычно относятся к подслушива- нию трафика в сети. Они позволяют злоумышленникам и защитникам точно знать, что происходит в сети. Средства анализа трафика предназначены для за- хвата пакетов, передаваемых по сети, и их анализа, который затем предостав- ляется в удобочитаемом формате.Для проведения внутренней разведки анализ пакетов более чем необходим.Ондаетзлоумышленникам множество информа- ции о сети,что можно сравнить с чтением логического макета сети на бумаге.

Некоторые средства сниффинга позволяют раскрывать конфиденциальную информацию, такую как пароли от сетей, защищенных Wi-Fi с шифрованием WEP.Другие позволяют хакерам перехватыватьтрафик в проводных и беспро- водных сетях в течение длительного периода времени, после чего они могут проводить анализ по своему усмотрению. На сегодняшний день существует множество инструментов, которые используют хакеры.

Prismdump

Разработанный исключительно для Linux, этот инструмент позволяет хакерам осуществлять анализ трафика карт на базе чипсетов Prism2. Эта технология предназначена только для захвата пакетов, поэтому оставляет анализ другим инструментам. Это причина, по которой данный инструмент сохраняет запи- санные пакеты в формате pcap, который широко используется другими сред- ствами анализа трафика. Большинство инструментов с открытым исходным кодомиспользуетpcapвкачествестандартногоформатасохраненныхпакетов. Поскольку эта утилита предназначена только для сбора данных, она надежна и может применяться для длительных разведывательных миссий. На рис. 4.3 показан скриншот prismdump.

Рис.4.3

Этосредствоанализатрафикасоткрытымисходнымкодом,котороеприменя- етсядля захватаи анализа пакетов.tcpdump используетинтерфейскомандной строки. Он был специально разработан для записи пакетов, поскольку у него нет графического интерфейса пользователя, который позволяет анализиро- ватьиотображатьданные.Этосредствообладаетоднойизсамыхмощныхвоз- можностей фильтрации пакетов и может даже записывать пакеты выборочно, что отличает его от большинства других средств анализа трафика, у которых нет средств фильтрации пакетов во время захвата. Ниже приведен скриншот tcpdump (рис. 4.4). На нем он прослушивает команды ping, отправляемые на его хост.

Рис.4.4

NMap

Это инструмент анализа сетевого кода с открытым исходным кодом, который обычно используется для построения карты сети. Он записывает IP-пакеты, входящие и выходящие из сети, а также отображает подробную информацию о сети, такую как устройства, подключенные к ней, а также любые открытые и закрытые порты. NMap может даже определять операционные системы устройств,подключенных к сети,а также конфигурации брандмауэров.Он ис- пользует простой текстовый интерфейс, но существует расширенная версия под названием Zenmap, у которой также есть графический интерфейс. Ниже приведен скриншот интерфейса nmap. Выполняемая команда:

#nmap 192.168.12.3

Эта команда используется для сканирования портов компьютера по IP-ад­ ресу 192.168.12.3 (рис. 4.5).

Рис.4.5

Wireshark

Это одна из самых уважаемых утилит, используемых для сканирования сети и сниффинга. Она настолько мощная, что может украсть детали аутентифи- кации из трафика, отправляемого из сети (1). Сделать это удивительно лег- ко, так что можно легко стать хакером, просто выполнив несколько шагов. В Linux,Windows и Mac необходимо убедиться,что устройство,где установлен Wireshark (предпочтительно ноутбук), подключено к сети. Wireshark должен быть запущен, чтобы иметь возможность перехватывать пакеты. По истече- нии заданного периода времени можно остановить Wireshark и приступить к выполнению анализа. Для получения паролей необходимо отфильтровать

тому что большинство сайтов использует POST для передачи информации об аутентификации на свои серверы.В нем будутперечислены все выполненные действия с данными POST.Затем щелкните правой кнопкой мыши по любому из них и выберите опцию, чтобы следовать за TCP-потоком. Wireshark откро- ет окно с именем пользователя и паролем. Временами захваченный пароль хешируется, причем такое часто встречается на сайтах. Можно легко ском- прометировать значение хеша и восстановить исходный пароль с помощью других утилит.

Wireshark также можно использовать для других функций, таких как вос- становление паролей от Wi-Fi-сетей. Поскольку это ПО с открытым исход- ным кодом, сообщество постоянно обновляет его возможности и, следова- тельно, будет продолжать добавлять новые функции. Его текущие основные функции включают в себя захват пакетов, импорт файлов pcap, отображе- ние информации протокола о пакетах, экспорт захваченных пакетов в не- скольких форматах, раскраску пакетов на основе фильтров, предоставление статистики о сети и возможность поиска по захваченным пакетам. У файла расширенныевозможности,иэтоделаетегоидеальнымдлявзлома.Сообще- ство открытого исходного кода, однако, использует его для «белого взлома», который обнаруживает уязвимости в сетях, прежде чем это сделают черные хакеры.

На рис. 4.6 приведен скриншот Wireshark, который захватывает сетевые па- кеты.

Рис.4.6

Это специально созданный инструмент сканирования, являющийся чрез- вычайно быстрым, но эффективным. Он превосходит большинство других средств сканирования благодаря своей высокой скорости, которая достига- ется двумя способами. Эта утилита выполняет процесс, который отправляет несколько запросов одновременно,и процесс,который получаетответы и ин- тегрирует их. Оба процесса не согласовывают свои действия, и, следователь- но,никогда нельзя точно знать,чего ожидать,за исключением того,что будут ответные пакеты.

Однако существует хитрый способ на основе хеширования сообщений, ко- торый интегрирован в Scanrand.Он позволяетпросматриватьдействительные ответы,полученныеприсканировании.Scanrandполностьюотличаетсяотста- рых средств сканирования,таких как NMap.Его усовершенствование позволя- ет ему быстрее и эффективнее захватывать пакеты.

Cain and Abel

Этоодинизсамыхэффективныхинструментовдлявзломапаролей,созданных специально для платформы Windows. Он восстанавливает пароли, взламывая их с помощью словарных атак, метода полного перебора и криптоанализа. Он также анализирует трафик из сети, прослушивая разговоры в VoIP-прило­ ­ жениях и обнаруживая кешированные пароли. Cain and Abel был оптимизи- рован для работы только с операционными системами Microsoft. На рис. 4.7 приводится скриншот.

Рис.4.7

Это бесплатный инструмент для сканирования, созданный и распространяе- мый компанией «Tenable Network Security». Он вошел в число лучших сете- вых сканеров и получил несколько наград как лучший сканер уязвимостей для белых хакеров. У Nessus есть ряд функций, которые могут пригодиться зло- умышленнику, занимающемуся внутренней разведкой. Инструмент может сканировать сеть и отображать подключенные устройства, которые имеют не- правильные конфигурации и пропущенные исправления. Nessus также пока- зывает устройства, которые используют пароли по умолчанию, слабые пароли или вообще не имеют паролей.

Он может восстанавливать пароли от некоторых устройств, запуская внешний инструмент, чтобы помочь ему со словарными атаками на цели в сети. Наконец,данный инструмент способен отображать аномальный тра- фик в сети, который можно использовать для мониторинга DDoS-атак. Nes- sus обладает возможностью вызова внешних инструментов для достижения дополнительной функциональности. Когда он начинает сканирование сети, то может обратиться к NMap, чтобы просканировать открытые порты, при этом автоматически объединитданные,которые собирает NMap.Затем Nes- sus сможет использовать этот тип данных для продолжения сканирования и поискадополнительной информации о сети с использованием команд,на- писанных на своем языке. На рис. 4.8 показан скриншот Nessus с отчетом о сканировании.

Рис.4.8