BAO CAO CHUYEN d 4 TIM HIU v SNIFFER

BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER MỤC LỤC MỤC LỤC CHƯƠNG I: LÝ THUYẾT VỀ SNIFFER I Các khái niệm Sniffer 1.1 Một số thuật ngữ :  Địa Ethernet MAC ? .4 1.2 Đôi nét Sniffer : 1.3 Sniffer sử dụng ? .6 1.4 Phân loại Sniffing II Các phương pháp phát Sniffer hệ thống mạng : .9 2.1 Phương pháp dùng Ping: 10 2.3 Phương pháp sử dụng DNS : .13 2.4 Phương pháp Source-Route : .13 2.5 Phương pháp giăng bẫy (Decoy) : .14 2.6 Phương pháp kiểm tra chậm trễ gói tin (Latency) : 14 III Phương pháp ngăn chặn Sniffer hệ thống mạng : .14 3.1 Các hệ thống mạng có nguy Sniffer : .14 3.2 Các giao thức có nguy Sniffer: 15 3.3 Phương pháp ngăn chặn Sniffer liệu ? .15 3.4 Phương pháp ngăn chặn Sniffer Password : 16 3.5 Phương pháp ngăn chặn Sniffer thiết bị phần cứng .17 CHƯƠNG II: PHẦN THỰC HÀNH LAP 18 CHƯƠNG III: MỘT VÀI CÁCH CHỐNG SNIFFER TRONG LAN .36 CHƯƠNG IV:TÀI LIỆU THAM KHẢO 42 CHƯƠNG V: KẾT LUẬN 43 Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER CHƯƠNG I: LÝ THUYẾT VỀ SNIFFER I Các khái niệm Sniffer 1.1 Một số thuật ngữ :  Ethernet : Một cơng nghệ nối mạng có lực mạnh sử dụng hầu hết mạng LAN  Wireless : Các công nghệ nối mạng không dây  Serial Direct Cable Connection : Công nghệ kết nối máy tính Cable truyền nhận liệu  PPP (Point-to-Point Protocol) : Một giao thức kết nối Internet tin cậy thông qua Modem  IP (Internet Protocol) : Giao thức dùng để xử lý chế truyền liệu thực tế Là sở cho việc định hướng vận chuyển liệu Internet  ICMP (Internet Control Message Protocol) : Giao thức xử lý thơng báo trạng thái cho IP, ví dụ báo lỗi thay đổi mạng ảnh hưởng đến việc định tuyến  ARP (Address Resolution Protocol) : Giao thức chuyển địa mạng sang địa phần cứng vật lý tương dùng thông điệp Broadcast Dùng để xác định địa mạng Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER  RARP (Reverse Address Resolution Protocol) : Làm công việc ngược lại ARP, chuyển địa phần cứng từ máy sang địa IP  TCP (Transmission Control Protocol) : Một giao thức, dịch vụ dựa kết nối, điều cho phép máy nhận gửi liệu truyền thơng với vào lúc, nơi  UDP (User Datagram Protocol) : Một giao thức, dịch vụ không kết nối, hai máy gửi nhận không truyền thông với thông qua kết nối liên tục  Telnet : Giao thức cho phép đăng nhập từ xa đê người ding máy kết nối với máy hoạt động ngồi máy  FTP (File Transfer Protocol) : Giao thức truyền liệu từ máy sang máy khác dùng giao thức TCP Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER  SMTP (Simple Mail Transfer Protocol) : Giao thức dùng để truyền nhận thư điện tử máy  DNS (Domain Name Service) : Xác định địa máy tính từ tên chữ sang số Còn nhiều giao thức dịch vụ khác tầng Nhưng khuôn khổ viết lên nêu số giao thức dịch vụ  Địa Ethernet MAC ? Địa MAC (Media Access Control) : kiểu địa vật lí, đặc trưng cho thiết bị nhóm thiết bị mạng LAN Địa dùng để nhận diện thiết bị giúp cho gói tin lớp đến đích Một địa MAC bao gồm byte thường viết dạng hexa, với thiết bị Cisco, địa viết dạng số hexa ,ví dụ: 0000.0C12.FFFF địa MAC hợp lệ Để đảm bảo địa MAC thiết bị nhất, nhà sản xuất cần phải ghi địa lên ROM thiết bị phần cứng định danh nhà sản xuất xác định byte đầu OUI (Organizationally Unique Identifier) Địa MAC phân làm loại - Unicast: loại địa dùng để đại diện cho thiết bị - Multicast: loại địa đại diện cho nhóm thiết bị mạng LAN Địa dùng trường hợp ứng dụng muốn trao đổi với nhóm thiết bị Bằng cách gửi tin có địa multicast; tất thiết bị nhóm nhận xử lí gói tin thiết bị lại mạng bỏ qua Giao thức IP hỗ trợ truyền multicast Khi gói tin IP multicast truyền qua mạng LAN, địa MAC multicast tương ứng với địa IP 0100.5exxx.xxxx - Broadcast: địa đại diện cho tất thiết bị mạng LAN Điều có nghĩa gói tin có địa MAC FFFF.FFFF.FFFF gửi tất thiết bị mạng LAN phải thu nhận xử lí Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER 1.2 Đôi nét Sniffer :  Khởi đầu Sniffer tên sản phẩm Network Associates có tên Sniffer Network Analyzer  Sniffer hiểu đơn giản chương trình cố gắng nghe ngóng lưu lượng thông tin hệ thống mạng  Sniffer sủ dụng công cụ để nhà quản trinh mạng theo dõi bảo trì hệ thống mạng Về mặt tiêu cực, Sniffer sủ dụng cơng cụ với mục đích nghe thơng tin trê mạng để lấy thông tin qua trọng  Sniffer dựa vào phương thức công ARP để bắt gói tin truyền qua mạng  Những giao dịch hệ thống mạng máy tính thường liệu dạng nhị phân (Binary) Bởi để nghe hiểu liệu dạng nhị phân này, chương trình Sniffer phải có tính biết phân tích nghi thức (Protocol Analysis), tính giải mã (Decode) liệu dạng nhị phân để hiểu chúng  Trong hệ thống mạng sử dụng giao thức kết nối chung đồng Bạn sử dụng Sniffer Host hệ thống mạng bạn Chế độ gọi chế độ hỗn tạp (promiscuous mode)  Một số ứng dụng Sniffer sử dụng DSNiff, Snort,Cain, ettercap, sniffer pro…… Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER 1.3 Sniffer sử dụng ?  Sniffer thường sử dụng vào mục đích : Một cơng cụ giúp cho quản trị mạng theo dõi bảo trì hệ thống mạng Một chương trình cài vào hệ thống mạng máy tính với mục đích đánh hơi, nghe thông tin đoạn mạng  Những điều kiện để Sniffer xảy Sniff hoặt động mạng Lan , Wan, mạng Wlan Điều kiện cần dùng chung subnetMark sniffer Ngồi dùng số tool để bắt phân tích gói tin  Một số tính Sniffer : Các Hacker sử dụng để bắt tên người sử dụng (Username) mật không mã hoá (Clear Text Password) hệ thống mạng bạn Giúp nhà quản trị theo dõi thông tin liệu đường truyền Họ đọc hiểu ý nghĩa liệu Giúp nhà quản trị giám sát lưu lượng hệ thống qua quản trị viên phân tích lỗi mắc phải hệ thống lưu lượng mạng  Ví dụ : Tại gói tin từ máy A khơng thể gửi sang máy B etc Một số công cụ Sniffer tự động phát cảnh báo công thực vào hệ thống mạng mà hoạt động (Intrusion Detecte Service) Các Sniffer giúp ghi lại thơng tin gói liệu, phiên truyền… Phục vụ cho công việc phân tích, khắc phục cố hệ thống mạng Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER 1.4 Phân loại Sniffing Sniffing chia làm loại là: Passive Sniffing ( Sniffing thụ động) Active Sniffing ( Sniffing chủ động ) a- Passive Sniffing Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Gọi Passive Sniffing bời attacker thụ động nằm mạng Lan chờ đợi gói liệu gửi bắt lấy chúng.Điều hiệu việc âm thầm thu nhập liệu từ mạng Lan - Môi trường : Hoạt động chủ yếu mơi trường khơng có thiết bị chuyển mạch gói Phổ biến dạng mạch sủ dụng HUB hay mạch không dây( Wireless) - Cơ chế hoạt động: Do khơng có thiết bị chuyển mạch gói nên host phải broadcast gói tin mạng từ bắt gói tin lại để xem( dù Host nhận gói tin khơng phải nơi đến gói tin - Đặc điểm: máy tự boardcast gói nên hình thức sniff khó phát Passive Sniffing thực sniffing thông qua Hub b- Active Sniffing Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUN ĐỀ 4-TÌM HIỂU VỀ SNIFFER - Mơi trường: Chủ yếu hoạt động mơi trường có thiết bị chuyển mạch gói.Phổ biến dạng mạng sủ dụng Switch - Cơ chế hoạt động: chủ yểu thường sử dụng chế ARP RARP( chế chuyển đổi IP sang MAC từ MAC sang IP) cách phát gói tin đầu độc, mà cụ thể phát gói thơng báo cho máy gởi gói tin là: “Tôi người nhận” người nhận - Đặc điểm: phải gởi gói tin nên chiếm băng thơng mạng Nên sniffing q nhiều mạng lượng gói gởi lớn( liên tục gởi gói tin giả mạo) dẫn đến nghẽn mạng hay gây tải NIC máy dùng sniffing ( thắt nút cổ chai) - Ngồi sniffer dùng số kỹ thuật để ép dòng liệu qua NIC như: - MAC flooding: làm tràn nhớ switch từ switch chạy chế độ forwarding mà khơng chuyển mạch gói - Giả MAC : sniffer thay đổi MAC thành MAC máy hợp lệ qua chức lọc MAC thiết bị - Đầu độc DHCP để thay dổi gateway client…… II Các phương pháp phát Sniffer hệ thống mạng : Về mặt lý thuyết khó phát diện chương trình Sniffer hệ thống Bởi chúng bắt cố gắng đọc gói tin, chúng khơng gây xáo trộn hay mát Packet nghiêm trọng đường truyền Tuy nhiên thực tế lại có nhiều cách để phát diện Sniffer Khi đứng đơn lẻ máy tính khơng có truyền thơng khơng có dấu hiệu Tuy nhiên cài đặt máy tính khơng đơn lẻ có truyền thơng, thân Sniffer phát sinh lưu lượng thông tin Bạn truy vấn ngược DNS để tìm thơng tin liên quan đến địa IP Sau số phương pháp để phát Sniffer Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER 2.1 Phương pháp dùng Ping: Hầu hết chương trình Sniffer cài đặt máy tính mạng sử dụng TCP/IP Stack Bởi bạn gửi yêu cầu đến máy tính này, chúng phản hồi lại cho bạn kết Bạn gửi yêu cầu phản hồi tới địa IP máy tính mạng (máy mà bạn cần kiểm tra xem có bị cài đặt Sniffer hay không), không thông qua Adapter Ethernet Lấy ví dụ cụ thể : Bạn nghi ngờ máy tính có địa IP 10.0.0.1, có địa MAC 00-40-05A4-79-32 Đã bị cài đặt Sniffer Bạn hệ thống mạng Ethernet mà bạn nghi ngờ có kẻ tiến hành Sniffer Bạn thay đổi địa MAC bạn thành 00-40-05-A4-79-33 Bạn Ping đến địa IP địa MAC Trên nguyên tắc khơng máy tính nhìn thấy nhìn thấy Packet Bởi Adapter Ethernet chấp nhận địa MAC hợp lệ Nếu bạn thấy trả lời từ địa mà bạn nghi ngờ địa lọc MAC (MAC Address Filter) Ethernet Card…Máy tính có địa IP 10.0.0.1 bị cài đặt Sniffer Bằng kỹ thuật Hacker né tránh phương pháp nêu Các Hacker sử dụng MAC Address ảo Rất nhiều hệ thống máy tính có Windows có tích hợp khả MAC Filtering Windows kiểm tra byte Nếu địa MAC có dạng FF-00-00-00-00-00, đơn giản Windows coi FF-FF-FF-FF-FF-FF Đây sơ hở cho phép Hacker khai thác đánh lừa hệ thống máy tính bạn Kỹ thuật phát Sniffer đơn giản thường sử dụng hệ thống Ethernet dựa Switch Bridge 2.2 Phương pháp sử dụng ARP: Đây phương pháp chủ yếu để attack công Trang 10 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Sau chọn ấn Apply Rùi OK Ấn vào biếu tượng Start Sniffer( hình vẽ) Trang 29 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Chọn Start ARP, rùi chọn Add To List( dấu + ) Su Bảng “MAC Address Scanner” Chọn phần All hosts in my subnet -> OK Trang 30 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Đây trình qt tồn hệ thống mạng ta muốn Sniffer  Kết danh sách máy có hệ thống mạng ta muốn Sniffer  Trang 31 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Sau Ta chọn Tab ARP  Trang 32 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Trong bảng bên phải, ta nhấn chuột vào bảng để Add to List (dấy +)  Chọn địa Router để Sniffer – 192.168.119.1  Bên phải ta bôi đen hết để chọn hết ( OK) Chọn Start ARP Trang 33 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Trên máy Victim( đối tượng Sniffer) Ta vào trang http://nhaccuatui.com Sau đăng nhập vào trang web nhạc , bạn sang máy attack thẻ TAB password, sau chọn phần HTTP Trang 34 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Ở lưu thơng tin mà victim vừa đăng nhập tài khoản Kết sau sniffer ta lấy password Username tài khoảng Victim trang web Quá trình sniffer kết thúc Và thông tin bạn sniffer lấy cắp Trang 35 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER CHƯƠNG III: MỘT VÀI CÁCH CHỐNG SNIFFER TRONG LAN Hiện nay, người dùng sử dụng dịch vụ web yêu cầu phải đăng nhập ID mail, tài khỏan diển đàn v.v Trong hệ thống mạng LAN hay wirelessLAN việc bị kẻ xấu sử dụng chương trình cain&Abel, wireShark hay Ethereal để capture, việc bị lộ ID điều làm nhiều người đau đầu Những cách sau phần hạn chế vấn đề Thứ nhất: chương trình thuộc dạng ban đầu phải quét địa IP mạng, có IP hacker tiến hành sniffer! Do cách vơ hiệu hóa Netbios name nhằm ngăn cản dò tìm IP chương trình Trang 36 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Thứ hai: mặt cấu chương trình làm việc dựa phương thức thay đổi bảng ARP công theo kiểu "Man in the midle" Cách khắc phục: khóa cứng bảng ARP chọn dạng ARP startic, làm việc Client, hay config trực tiếp Router! để tự bảo vệ khóa cứng ARP máy để tránh bị sniffer Phương pháp phòng chống Để phòng chống sniffer mạng Lan ta phải mã hóa bảng ARP máy client cấu hình router để bảo vệ hệ thống mạng Các bước thực sau: B1: Khởi động CMD Windown (Start -> Run -> gõ cmd -> Enter Windown + R) B2: Vào CMD, ta kiểm tra ARP lệnh sau : Arp –a Kết sau: Trang 37 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Để ý cột Type hình vẽ ta thấy bảng ARP máy tính mạngLan chế độ dynamic, để khóa khơng cho thay đổi thơng tin bảng ARP ta cần phải chuyển sang chế độ static B3: Khóa bảng ARP dòng lệnh sau: Arp –s [Địa ip máy cần khóa ARP] [Địa Mac máy tính đó] Ví dụ: arp -s – 192.168.1.33 00-26-18-b7-22-db Trang 38 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER B4: Kiểm tra lại bảng ARP lúc ta thấy máy tính có địa ip 192.168.1.33 bảng ARP chuyển sang Static Tuy nhiên cách hạn chế khơng phải hồn tồn giúp bạn an toàn thật Và bạn cần biết làm để phát bị “đầu độc”, công cụ hữu hiệu giúp bạn làm điều trình duyệt WEB( tơi dùng IE 7) Và dấu hiệu cảnh báo trình duyệt có kẻ cố tình dùng cain&Abel mạng Cain&Abel thay đổi hay làm giả mạo CA để phát tới Victim Thế CA so sánh với CA mặc định Windows Windows phát sai lệch CA mà nhận từ Cain&Abel, Và phát thông điệp cảnh báo trình duyệt IE ta login vào site sử dụng giao thức https Các phần mềm sniffer giả mạo thông tin certificate máy chủ mail server web server nhằm đánh cắp thông tin, tất bị Internet Explorer phát hiện, chặn lại “hỏi thăm” Trang 39 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Đây thông điệp cảnh báo rỏ ràng, nhiên người dùng bình thường lại không để ý đến cảnh báo bất thường này, tất nhiên vơ tư click vào dòng "Continue to this webside" Thế IE lại phát thông điệp khác thông báo ô Address yêu cầu người dùng kiểm tra CA cách xem lại lần trước gõ username password Nếu người dùng vô tư bỏ qua gỏ username password vào coi cúng khơng cho hacker Trang 40 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER Trong trường hợp nhận thơng báo từ trình duyệt Internet Explorer trên(khi truy cập vào gmail biết Certificate xịn á!), khuyên bạn nên chọn Click here to close this webpage để đảm bảo thơng tin tài khoản mật an tồn Điều có nghĩa hệ thống Lan mà bạn sử dụng để truy cập internet xuất Hacker ngồi chờ chực để tóm mật bạn Qua viết mong đóng góp thêm kinh nghiệm giúp bạn hạn chế hiểm họa đến từ việc sử dụng dịch vụ Internet môi trường nhiều người sử dụng Qua giúp bạn hiểu tài khoản mật ngân hàng, email, quản trị website… bạn bị đánh cắp dễ dàng lúc Trang 41 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER CHƯƠNG IV:TÀI LIỆU THAM KHẢO Giáo trình CEHv6 Giáo trình Quản trịnh mạng Athena Kiến thức forum HVAonline Google.com Trang 42 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4-TÌM HIỂU VỀ SNIFFER CHƯƠNG V: KẾT LUẬN Em xin chân thành cảm ơn hướng dẫn nhiệt tình tận tâm giảng viên NGUYỄN HÀ DƯƠNG hướng dẫn em có hồn thành báo cáo chun đề Báo cáo thật cho em tìm hiểu kĩ yêu cầu việc bảo mật an tồn thơng tin hệ thống mạng máy tính nay, biết tầm quan trọng bảo mật, tìm hiểu sâu cách công hacker để cảnh báo , phòng tránh, đối phó với việc cơng Trong q trình làm báo cáo chuyên đề, thực máy ảo lên chưa sát với thức tế nên khơng thể tránh khỏi sơ sót, báo cáo sơ sài… Mong thầy góp ý kiến để chúng em hòan thiện khảo quản trị có thêm kinh nghiệm lĩnh vực lập trình mạng vận hành mạng, vấn đề an tồn bảo mật thông tin hệ thống mạng máy tính Rất mong thầy góp ý chân thành cho em tìm hiểu sâu hệ thống an tồn bảo mật thơng tin Trân thành cảm ơn thầy!!! Hà Nội, tháng năm 2011 Sinh viên Nguyễn Chí Bảo Trang 43 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 ... số ứng d ng Sniffer sử d ng DSNiff, Snort,Cain, ettercap, sniffer pro…… Trang NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4- TÌM HIỂU V SNIFFER 1.3 Sniffer sử d ng ?  Sniffer. .. 0000.0000.1012 Victim - HostA nhận gói ARP Realy từ Victim, biết địa MAC Victim 0000.0000.1012 bắt đầu thực liên lạc truyền liệu đến Victim Attacker xem nội dung liệu truyền HostA Victim Máy Attacker... ĐỀ 4- TÌM HIỂU V SNIFFER ( Giao diện chương trình Cain and Abel) Bạn chọn cơng cụ TAB Sniffer Trang 26 NGUYỄN CHÍ BẢO- MSSV: 2985.52- LỚP 52PM2 BÁO CÁO CHUYÊN ĐỀ 4- TÌM HIỂU V SNIFFER Kích v o