BÁO cáo CHUYÊN đề 4 tìm HIỂU về SNIFFER

Về mặt tiêu cực, Sniffer được sủ dụng như một công cụ với mục đích nghe lén các thông tin trê mạng để lấy các thông tin qua trọng  Sniffer dựa vào phương thức tấn công ARP để bắt các gó

MỤC LỤC

MỤC LỤC 1

CHƯƠNG I: LÝ THUYẾT VỀ SNIFFER 2

I Các khái niệm căn bản về Sniffer 2

1.1 Một số thuật ngữ : 2

 Địa chỉ Ethernet MAC là gì ? 4

1.2 Đôi nét về Sniffer : 5

1.3 Sniffer được sử dụng như thế nào ? 6

1.4 Phân loại Sniffing 7

II Các phương pháp phát hiện Sniffer trên hệ thống mạng : 9

2.1 Phương pháp dùng Ping: 10

2.3 Phương pháp sử dụng DNS : 13

2.4 Phương pháp Source-Route : 13

2.5 Phương pháp giăng bẫy (Decoy) : 14

2.6 Phương pháp kiểm tra sự chậm trễ của gói tin (Latency) : 14

III Phương pháp ngăn chặn Sniffer trên hệ thống mạng : 14

3.1 Các hệ thống mạng có nguy cơ Sniffer : 14

3.2 Các giao thức có nguy cơ Sniffer: 15

3.3 Phương pháp ngăn chặn Sniffer dữ liệu ? 15

3.4 Phương pháp ngăn chặn Sniffer Password : 16

3.5 Phương pháp ngăn chặn Sniffer trên thiết bị phần cứng 17

CHƯƠNG II: PHẦN THỰC HÀNH LAP 18

CHƯƠNG III: MỘT VÀI CÁCH CHỐNG SNIFFER TRONG LAN 36

CHƯƠNG IV:TÀI LIỆU THAM KHẢO 42

CHƯƠNG V: KẾT LUẬN 43

CHƯƠNG I: LÝ THUYẾT VỀ SNIFFER

I Các khái niệm căn bản về Sniffer

1.1 Một số thuật ngữ :

 Ethernet : Một công nghệ nối mạng có năng lực mạnh được sử dụng trong hầu hết các mạng LAN

 Wireless : Các công nghệ nối mạng không dây

 Serial Direct Cable Connection : Công nghệ kết nối máy tính bằng Cable truyền nhận dữ liệu

 PPP (Point-to-Point Protocol) : Một giao thức kết nối Internet tin cậy thông qua Modem

 IP (Internet Protocol) : Giao thức được dùng để xử lý cơ chế truyền dữ liệu thực tế Là cơ sở cho việc định hướng và vận chuyển dữ liệu trên Internet

 ICMP (Internet Control Message Protocol) : Giao thức xử lý các thông báo trạng thái cho IP, ví dụ như báo lỗi và các thay đổi mạng có thể ảnh hưởng đến việc định tuyến

 ARP (Address Resolution Protocol) : Giao thức chuyển các địa chỉ mạng sang địa chỉ phần cứng vật lý tương dùng các thông điệp Broadcast

Dùng để xác định địa chỉ mạng

 RARP (Reverse Address Resolution Protocol) : Làm công việc ngược lại ARP, chuyển địa chỉ phần cứng từ một máy sang địa chỉ IP

 TCP (Transmission Control Protocol) : Một giao thức, dịch vụ dựa trên kết nối, điều này cho phép các máy nhận và gửi dữ liệu có thể truyền thông với nhau vào mọi lúc, mọi nơi

 UDP (User Datagram Protocol) : Một giao thức, một dịch vụ không kết nối, hai máy gửi và nhận sẽ không truyền thông với nhau thông qua một kết nối liên tục

 Telnet : Giao thức cho phép đăng nhập từ xa đê người ding trên máy này có thể kết nối với máy kia và sẽ hoạt động như là ngồi ở máy đó vậy

 FTP (File Transfer Protocol) : Giao thức truyền dữ liệu từ máy này sang máy khác dùng giao thức TCP

 SMTP (Simple Mail Transfer Protocol) : Giao thức dùng để truyền nhận thư điện tử giữa các máy

 DNS (Domain Name Service) : Xác định các địa chỉ máy tính từ tên chữ sang số Còn rất nhiều giao thức dịch vụ khác ở tầng 7 Nhưng do khuôn khổ bài viết lên tôi chỉ nêu một số giao thức dịch vụ cơ bản

 Địa chỉ Ethernet MAC là gì ?

Địa chỉ MAC (Media Access Control) : là kiểu địa chỉ vật lí, đặc trưng cho một thiết bị hoặc một nhóm các thiết bị trong mạng LAN Địa chỉ này được dùng để nhận diện các thiết bị giúp cho các gói tin lớp 2 có thể đến đúng đích

Một địa chỉ MAC bao gồm 6 byte và thường được viết dưới dạng hexa, với các thiết bị của Cisco, địa chỉ này được viết dưới dạng số hexa ,ví dụ: 0000.0C12.FFFF là một địa chỉ MAC hợp lệ Để đảm bảo địa chỉ MAC của một thiết bị là duy nhất, các nhà sản xuất cần phải ghi địa chỉ đó lên ROM của thiết bị phần cứng và định danh của nhà sản xuất sẽ được xác định bởi 3 byte đầu OUI (Organizationally Unique Identifier)

Địa chỉ MAC được phân làm 3 loại

- Unicast: đây là loại địa chỉ dùng để đại diện cho một thiết bị duy nhất

- Multicast: đây là loại địa chỉ đại diện cho một nhóm các thiết bị trong mạng LAN Địa chỉ được dùng trong trường hợp một ứng dụng có thể muốn trao đổi với một nhóm các thiết bị Bằng cách gửi đi một bản tin có địa chỉ multicast; tất cả các thiết bị trong nhóm đều nhận và xử lí gói tin trong khi các thiết bị còn lại trong mạng sẽ bỏ qua Giao thức IP cũng hỗ trợ truyền multicast Khi một gói tin IP multicast được truyền qua một mạng LAN, địa chỉ MAC multicast tương ứng với địa chỉ IP sẽ là

0100.5exxx.xxxx

- Broadcast: địa chỉ này đại diện cho tất cả các thiết bị trong cùng một mạng LAN Điều đó cũng có nghĩa là nếu một gói tin có địa chỉ MAC là FFFF.FFFF.FFFF được gửi đi thì tất cả các thiết bị trong mạng LAN đều phải thu nhận và xử lí

1.2 Đôi nét về Sniffer :

 Khởi đầu Sniffer là tên một sản phẩm của Network Associates có tên

là Sniffer Network Analyzer

 Sniffer được hiểu đơn giản như là một chương trình cố gắng nghe ngóng các lưu lượng thông tin trên hệ thống mạng

 Sniffer được sủ dụng như một công cụ để nhà quản trinh mạng theo dõi và bảo trì hệ thống mạng Về mặt tiêu cực, Sniffer được sủ dụng như một công cụ với mục đích nghe lén các thông tin trê mạng để lấy các thông tin qua trọng

 Sniffer dựa vào phương thức tấn công ARP để bắt các gói tin được truyền qua mạng

 Những giao dịch giữa các hệ thống mạng máy tính thường là những

dữ liệu ở dạng nhị phân (Binary) Bởi vậy để nghe lén và hiểu được những dữ liệu ở dạng nhị phân này, các chương trình Sniffer phải có tính năng được biết như là sự phân tích các nghi thức (Protocol Analysis), cũng như tính năng giải mã (Decode) các dữ liệu ở dạng nhị phân để hiểu được chúng

 Trong một hệ thống mạng sử dụng những giao thức kết nối chung và đồng bộ Bạn có thể sử dụng Sniffer ở bất cứ Host nào trong hệ thống mạng của bạn Chế độ này được gọi là chế độ hỗn tạp (promiscuous mode)

 Một số các ứng dụng của Sniffer được sử dụng như DSNiff,

Snort,Cain, ettercap, sniffer pro……

1.3 Sniffer được sử dụng như thế nào ?

 Sniffer thường được sử dụng vào 2 mục đích :

Một công cụ giúp cho các quản trị mạng theo dõi và bảo trì hệ thống mạng của mình

Một chương trình được cài vào một hệ thống mạng máy tính với mục đích đánh hơi, nghe lén các thông tin trên đoạn mạng này

 Những điều kiện để có thể Sniffer có thể xảy ra

Sniff có thể hoặt động trong mạng Lan , Wan, mạng Wlan Điều kiện cần chỉ là dùng chung subnetMark khi sniffer Ngoài ra còn dùng một số tool để bắt và phân tích gói tin

 Một số tính năng của Sniffer :

Các Hacker sử dụng để bắt tên người sử dụng (Username) và mật khẩu không được mã hoá (Clear Text Password) trong hệ thống mạng của bạn

Giúp các nhà quản trị theo dõi các thông tin dữ liệu trên đường truyền Họ có thể đọc và hiểu được ý nghĩa của những dữ liệu đó Giúp các nhà quản trị giám sát lưu lượng của hệ thống qua đó các quản trị viên có thể phân tích những lỗi đang mắc phải trên hệ thống lưu lượng của mạng

 Ví dụ như : Tại sao gói tin từ máy A không thể gửi được sang máy B etc

Một số công cụ Sniffer còn có thể tự động phát hiện và cảnh báo các cuộc tấn công đang được thực hiện vào hệ thống mạng mà nó đang hoạt động (Intrusion Detecte Service)

Các Sniffer giúp ghi lại thông tin về các gói dữ liệu, các phiên truyền… Phục vụ cho công việc phân tích, khắc phục các sự cố trên hệ thống mạng

1.4 Phân loại Sniffing

Sniffing được chia làm 2 loại là: Passive Sniffing ( Sniffing thụ động) và Active Sniffing ( Sniffing chủ động )

a- Passive Sniffing

Gọi là Passive Sniffing bời vì các attacker thụ động nằm trên mạng Lan chờ

đợi các gói dữ liệu được gửi đi và bắt lấy chúng.Điều đó sẽ hiệu quả trong

việc âm thầm thu nhập các dữ liệu từ mạng Lan

- Môi trường : Hoạt động chủ yếu trong môi trường không có các thiết bị

chuyển mạch gói Phổ biến hiện nay là các dạng mạch sủ dụng HUB hay

các mạch không dây( Wireless)

- Cơ chế hoạt động: Do không có các thiết bị chuyển mạch gói nên các

host phải broadcast các gói tin đi trong mạng từ đó có thể bắt gói tin lại

để xem( dù Host nhận gói tin không phải là nơi đến của gói tin đó

- Đặc điểm: do các máy tự boardcast các gói nên hình thức sniff này rất

khó phát hiện

Passive Sniffing thực hiện sniffing thông qua Hub

b- Active Sniffing

- Môi trường: Chủ yếu hoạt động trong môi trường có các thiết bị chuyển mạch gói.Phổ biến hiện nay là các dạng mạng sủ dụng Switch

- Cơ chế hoạt động: chủ yểu hiện nay thường sử dụng cơ chế ARP và

RARP( 2 cơ chế chuyển đổi IP sang MAC và từ MAC sang IP) bằng cách phát đi các gói tin đầu độc, mà cụ thể ở đây là phát đi các gói thông báo cho máy gởi gói tin là: “Tôi là người nhận” mặc dù không phải người nhận

- Đặc điểm: do phải gởi gói tin nên có thể chiếm băng thông mạng Nên nếu sniffing quá nhiều trong mạng thì lượng gói gởi đi sẽ rất lớn( do liên tục gởi các gói tin giả mạo) có thể dẫn đến nghẽn mạng hay gây quá tải trên chính NIC của máy đang dùng sniffing ( thắt nút cổ chai)

- Ngoài ra các sniffer còn dùng 1 số kỹ thuật để ép dòng dữ liệu đi qua NIC của mình như:

- MAC flooding: làm tràn bộ nhớ switch từ đó switch sẽ chạy chế độ forwarding mà không chuyển mạch gói

- Giả MAC : các sniffer sẽ thay đổi MAC của mình thành các MAC của một máy hợp lệ và qua được chức năng lọc của MAC của thiết bị

- Đầu độc DHCP để thay dổi gateway của client……

II Các phương pháp phát hiện Sniffer trên hệ thống mạng :

Về mặt lý thuyết thì rất khó có thể phát hiện được sự hiện diện của các chương trình Sniffer trên hệ thống Bởi chúng bắt và cố gắng đọc các gói tin, chúng

không gây ra sự xáo trộn hay mất mát Packet nghiêm trọng nào trên đường

truyền cả Tuy nhiên trên thực tế lại có nhiều cách để phát hiện ra sự hiện diện của các Sniffer Khi đứng đơn lẻ trên một máy tính không có sự truyền thông thì

sẽ không có dấu hiệu gì Tuy nhiên nếu được cài đặt trên một máy tính không đơn lẻ và có sự truyền thông, bản thân Sniffer sẽ phát sinh ra lưu lượng thông tin Bạn có thể truy vấn ngược DNS để tìm thông tin liên quan đến những địa chỉ IP Sau đây là một số phương pháp để phát hiện Sniffer

3 Bạn thay đổi địa chỉ MAC của bạn thành là 00-40-05-A4-79-33

4 Bạn Ping đến địa chỉ IP và địa chỉ MAC mới

5 Trên nguyên tắc không một máy tính nào có thể nhìn thấy có thể nhìn thấy được Packet này Bởi Adapter Ethernet chỉ chấp nhận những địa chỉ MAC hợp lệ của chính nó

6 Nếu bạn thấy sự trả lời từ địa chỉ mà bạn nghi ngờ không phải trên địa chỉ lọc của MAC (MAC Address Filter) trên Ethernet Card…Máy tính có địa chỉ IP

10.0.0.1 đã bị cài đặt Sniffer

Bằng các kỹ thuật của mình các Hacker vẫn có thể né tránh được phương pháp nêu trên Các Hacker sẽ sử dụng những MAC Address ảo Rất nhiều hệ thống máy tính trong đó có Windows có tích hợp khả năng MAC Filtering Windows chỉ kiểm tra những byte đầu tiên Nếu một địa chỉ MAC có dạng FF-00-00-00-00-00, thì đơn giản Windows sẽ coi nó là FF-FF-FF-FF-FF-FF Đây là sơ hở cho phép các Hacker

có thể khai thác đánh lừa hệ thống máy tính của bạn Kỹ thuật phát hiện Sniffer đơn giản này thường được sử dụng trên các hệ thống Ethernet dựa trên Switch và Bridge

2.2 Phương pháp sử dụng ARP:

Đây là phương pháp chủ yếu để các attack tấn công

 Phương pháp phát hiện Sniffer này tương tự như phương pháp dùng Ping Khác biệt chỗ chúng ta sẽ sử dụng những Packet ARP

 Đây là dạng tấn công rất nguy hiểm , gọi là Man In The Middle Trong trường hợp này giống như bị đặt máy nghe lén, phiên làm việc giữa máy giử và nhận vẫn diễn ra bình thường nên người sủ dụng không hề hay biết mình bị tấn công

Sơ lược quá trình hoặt động:

Trên cùng một mạng, Host A và Host B muốn truyền tin cho nhau , các

packet sẽ được đưa xuống tầng Datalink để đóng gói, các Host phải đóng gói MAC nguồn, MAC đích và Frame Như vậy trước khi quá trình truyền dữ liệu, các Host phải hỏi địa chỉ MAC của nhau

Nếu như host A khởi động quá trình hỏi MAC trước, nó sẻ hỏi broadcast gói tin ARP request cho tất cả các Host để hỏi MAC host B, lúc đó Host B đã có MAC của Host A, sau đó Host B chỉ trả lời cho Host A Mac của Host B( ARP reply)

Có 1 Host C liên tục gửi ARP reply cho Host A và Host B địa chỉ Mac của Host C, nhưng lại đạt lại địa chỉ IP là Host A và Host B,lúc này Host A cứ nghĩ máy B có Mac là C Như vậy các gói tin mà Host A gởi cho Host B đề

bị đưa đến Host C, gói tin Host B trả lời cho Host A cũng đưa đến Host

C.Nếu Host C bật chức năng forwarding thì coi như Host A và Host B không

hề hay biết rằng mình bị tần công ARP

HOST A

HOST B

HOST C

LAN để hỏi xem IP 10.0.0.12 (IP của Victim) có địa chỉ MAC là bao nhiêu

- Attacker và Victim đều nhận được gói tin ARP Request, nhưng chỉ có Victim gởi trả

lời gói tin ARP Reply lại cho HostA ARP Reply chứa thông tin về IP 10.0.0.12 và MAC 0000.0000.1012 của Victim

- HostA nhận được gói ARP Realy từ Victim, biết được địa chỉ MAC của Victim là

0000.0000.1012 sẽ bắt đầu thực hiện liên lạc truyền dữ liệu đến Victim Attacker không thể xem nội dung dữ liệu được truyền giữa HostA và Victim

Máy Attacker muốn thực hiện ARP attack đối với máy Victim Attacker muốn mọi gói tin

HostA gởi đến máy Victim đều có thể chụp lại được để xem trộm

- Attacker thực hiện gởi liên tục ARP Reply chứa thông tin về IP của Victim 10.0.0.12,

còn địa chỉ MAC là của Attacker 0000.0000.1011

- HostA nhận được ARP Reply nghĩ rằng IP Victim 10.0.0.12 có địa chỉ MAC là

0000.0000.1011 HostA lưu thông tin này vào bảng ARP Cache và thực hiện kết nối

- Lúc này mọi thông tin, dữ liệu HostA gởi tới máy có IP 10.0.0.12 (là máy Victim) sẽ gởi qua địa chỉ MAC 0000.0000.1011 của máy Attacker

2.3 Phương pháp sử dụng DNS :

 Rất nhiều chương trình Sniffer có tính năng phân giải ngược các địa IP thành DNS mà chúng nhìn thấy (như dsniff) Bởi vậy khi quan sát lưu lượng truyền thông của DNS bạn có thể phát hiện được Sniffer ở chế độ hỗn tạp (Promiscuous Mode)

 Để thực hiện phương pháp này, bạn cần theo dõi quá trình phân giải

ngược trên DNS Server của bạn Khi bạn phát hiện được những hành động Ping liên tục với mục đích thăm dò đến những địa chỉ IP không tồn tại trên hệ thống mạng của bạn Tiếp đó là những hành động cố gắng phân giải ngược những địa chỉ IP được biết từ những Packet ARP Không gì khác đây là những hành động của một chương trình Sniffer

2.4 Phương pháp Source-Route :

 Phương pháp này sử dụng những thông tin như địa chỉ nguồn và địa chỉ đích trong mỗi Header của IP để phát hiện hành động Sniffer trên từng đoạn mạng

 Tiến hành ping từ một máy tính này đến một máy tính khác Nhưng tính năng Routing trên máy tính nguồn phải được vô hiệu hoá Hiểu đơn giản

là làm thế nào để gói tin này không thể đi đến đích Nếu như bạn thấy sự trả lời, thì đơn giản hệ thống mạng của bạn đã bị cài đặt Sniffer

 Để sử dụng phương pháp này bạn cần sử dụng vào một vài tuỳ chọn trong Header IP Để Router sẽ bỏ qua những địa chỉ IP đến và tiếp tục chuyển tiếp đến những địa chỉ IP trong tuỳ chọn Source-Route của

Router

 Lấy một ví dụ cụ thể :

o Bob và Anna cùng nằm trên một đoạn mạng Khi có một người khác trên cùng đoạn mạng gửi cho cô ta vài Packet IP và nói chuyển chúng đến cho Bob Anna không phải là một Router, cho nên cô ta sẽ Drop tất cả Packet IP mà người kia muốn chuyển tới

Bob (bởi cô ta không thể làm việc này) Một Packet IP không được gửi đến Bob, mà anh ta vẫn có thể trả lời lại được Điều này vô lý, vậy anh ta đã sử dụng các chương trình Sniffer

2.5 Phương pháp giăng bẫy (Decoy) :

 Tương tự như phương pháp sử dụng ARP nhưng nó được sử dụng trong những phạm vi mạng rộng lớn hơn (gần như là khắp nơi) Rất nhiều giao thức sử dụng các Password không được mã hoá trên đường truyền, các Hacker rất coi trọng những Password này, phương pháp giăng bẫy này sẽ thoả mãn điều đó Đơn giản bạn chỉ cần giả lập những Client sử dụng Service mà Password không được mã hoá như : POP, FTP, Telnet,

IMAP Bạn có thể cấu hình những User không có quyền hạn, hay thậm chí những User không tồn tại Khi Sniffer được những thông tin được coi

là «quý giá» này các Hacker sẽ tìm cách kiểm tra, sử dụng và khai thác chúng Bạn sẽ làm gí kế tiếp ???

2.6 Phương pháp kiểm tra sự chậm trễ của gói tin (Latency) :

 Phương pháp này sẽ làm giảm thiểu sự lưu thông trên hệ thống mạng của bạn Bằng cách gửi một lượng thông tin lớn đến máy tính mà bạn nghi là

đã bị cài đặt Sniffer Sẽ không có hiệu ứng gí đáng kể nếu máy tính đó hoàn toàn không có gì Bạn ping đến máy tính mà bạn nghi ngờ đã bị cài đặt Sniffer trước thời gian chịu tải và trong thời gian chị tải Để quan sát

sự khác nhau của 2 thời điểm này

 Tuy nhiên phương pháp này tỏ ra không mấy hiệu quả Bản thân những Packet IP được gửi đi trên đường truyền cũng gây ra sự trậm trễ và thất lạc Cũng như những Sniffer chạy ở chế độ “User Mode” được xử lý độc lập bởi CPU cũng cho ra những kết quả không chính xác

III Phương pháp ngăn chặn Sniffer trên hệ thống mạng :

3.1 Các hệ thống mạng có nguy cơ Sniffer :

 Cable Modem

 DSL

 ADSL

 Switched Network

 Wireless like IEEE 802.11 a.k.a AirPort (hệ thống mạng không

dây)

3.2 Các giao thức có nguy cơ Sniffer:

 Telnet, Rlogin: Tổ hợp bàn phím bao gồm User và password

 SNMP: Mật khẩu và dữ liệu được gửi trong văn bản rõ ràng

 NNTP: Mật khẩu và dữ liệu được gửi trong văn bản rõ ràng

 POP, IMAP, SMTP: Mật khẩu và dữ liệu được gửi trong văn

bản rõ ràng

 FTP: Mật khẩu và dữ liệu được gửi trong văn bản rõ ràng

 HTTP: Dữ liệu được gửi trong văn bản rõ ràng

3.3 Phương pháp ngăn chặn Sniffer dữ liệu ?

Có lẽ cách đơn giản nhất để ngăn chặn những kẻ muốn Sniffer dữ liệu là sử dụng các giao thức mã hoá chuẩn cho dữ liệu trên đường truyền Khi mã hoá

dữ liệu, những kẻ tấn công ác ý có thể Sniffer được dữ liệu, nhưng chúng lại không thể đọc được nó

 SSL (Secure Socket Layer) : Một giao thức mã hoá được phát triển cho hầu hết các Webserver, cũng như các Web Browser thông dụng SSL được sử dụng để mã hoá những thông tin nhạy cảm để gửi qua đường truyền như : Số thẻ tin dụng của khách hàng, các password và thông tin quan trọng

 PGP và S/MIME: E-mail cũng có khả năng bị những kẻ tấn công ác ý Sniffer Khi Sniffer một E-mail không được mã hoá, chúng không chỉ biết được nội dung của mail, mà chúng còn có thể biết được các thông tin như địa chỉ của người gửi, địa chỉ của người nhận…Chính vì vậy để đảm bảo an toàn và tính riêng tư cho E-mail bạn cũng cần phải mã hoá chúng… S/MIME được tích hợp trong hầu hết các chương trình gửi

nhận Mail hiện nay như Netscape Messenger, Outlock Express…PGP cũng là một giao thức được sủ dụng để mã hoá E-mail Nó có khả năng

hỗ trợ mã hoá bằng DSA, RSA lên đến 2048 bit dữ liệu

 OpenSSH: Khi bạn sử dụng Telnet, FTP…2 giao thức chuẩn này không cung cấp khả năng mã hoá dữ liệu trên đường truyền Đặc biệt nguy hiểm là không mã hoá Password, chúng chỉ gửi Password qua đường truyền dưới dạng Clear Text Điều gì sẽ xảy ra nếu những dữ liệu nhạy cảm này bị Sniffer OpenSSH là một bộ giao thức được ra đời để khắc phục nhược điểm này: SSH (sử dụng thay thế Telnet), SFTP (sử dụng thay thế FTP)…

 VPNs (Virtual Private Networks): Được sử dụng để mã hoá dữ liệu khi truyền thông trên Internet Tuy nhiên nếu một Hacker có thể tấn công và thoả hiệp được những Node của của kết nối VPN đó, thì chúng vẫn có thể tiến hành Sniffer được

Một ví dụ đơn giản,là một người dùng Internet khi lướt Web đã sơ ý để nhiễm RAT (Remoto Access Trojan), thường thì trong loại Trojan này thường có chứa sẵn Plugin Sniffer Cho đến khi người dùng bất cẩn này thiết lập một kết nối VPN Lúc này Plugin Sniffer trong Trojan sẽ hoạt động và nó có khả năng đọc được những dữ liệu chưa được mã hoá trước khi đưa vào VPN Để phòng chống các cuộc tấn công kiểu này: bạn cần nâng cao ý thức cảnh giác cho những người sử dụng trong hệ thống mạng VPN của bạn, đồng thời sử dụng các chương trình quét Virus để phát hiện và ngăn chặn không để hệ thống bị nhiễm Trojan

3.4 Phương pháp ngăn chặn Sniffer Password :

Để ngăn chăn những kẻ tấn công muốn Sniffer Password Bạn đồng thời sử dụng các giao thức, phương pháp để mã hoá password cũng như sử dụng một giải pháp chứng thực an toàn (Authentication):

 SMB/CIFS: Trong môi trường Windows/SAMBA bạn cần kích hoạt tính năng LANmanager Authencation

 Keberos: Một giải pháp chứng thực dữ liệu an toàn được sử dụng trên Unix cũng như Windows

 Stanford SRP (Secure Remote Password): Khắc phục được nhược điểm không mã hoá Password khi truyền thong của 2 giao thức FTP và Telnet trên Unix:

3.5 Phương pháp ngăn chặn Sniffer trên thiết bị phần cứng

 Việc thay thế Hub của bạn bằng những Switch, nó có thể cung cấp một

sự phòng chống hiệu quả hơn Switch sẽ tạo ra một “Broadcast Domain”

nó có tác dụng gửi đến những kẻ tấn công những gói ARP không hợp lệ (Spoof ARP Packet)

 Tuy nhiên các Hacker vẫn có những cách thức khéo léo để vượt qua sự phòng thủ này Các yêu cầu truy vấn ARP chứa đựng những thông tin chính xác từ IP cho đến MAC của người gửi Thông thường để giảm bớt lưu lượng ARP trên đường truyền, đa số các máy tính sẽ đọc và sử dụng các thông tin từ bộ đệm (Cache) mà chúng truy vấn được từ Broadcast

 Bởi vậy một Hacker có thể Redirect những máy tính gần mình để vượt qua sự phòng thủ này bằng cách gửi những gói ARP chứa đựng những thông tin về địa chỉ IP của Router đến chính địa chỉ MAC của anh ta Tất

cả những máy tính trong hệ thống mạng cục bộ này sẽ nhầm tưởng anh ta

là Router và sẽ thiết lập phiên truyền thông đi qua máy tính của anh ta

 Một cuộc tấn công DOS tương tự trên một hệ thống mạng cục bộ, khi thành công sẽ đá văng mục tiêu mà họ muốn tấn công ra khỏi mạng rồi bắt đầu sử dụng chính địa chỉ IP của máy tính vừa bị tấn công này

Những kẻ tấn công sẽ khéo léo thừa kể và sử dụng những kết nối này Bản thân Windows khi phát hiện được hành động này, nó không hành động gì cả mà lại tử tế đóng Stack TCP/IP của chính mình và cho phép kết nối này tiếp tục

Để phòng chống lại các cuộc tấn công dạng bạn chỉ cần sử dụng các công

cụ IDS (Intrusion Detecte Service) Các IDS như BlackICE IDS, Snort sẽ

tự động phát hiện và cảnh báo về các cuộc tấn công dạng này

 Hầu hết các Adapter Ethernet đều cho phép cấu hình địa chỉ MAC bằng tay Hacker có thể tạo ra các địa chỉ Spoof MAC bằng cách hướng vào các địa chỉ trên Adapter Để khắc phục điều này, hầu hết các Switch đều không cho phép tự ý cấu hình lại các địa chỉ MAC

CHƯƠNG II: PHẦN THỰC HÀNH LAP

PHẦN CHUẨN BỊ CHO THỰC HÀNH

Sủ dụng 2 hệ thống PC , sủ dụng công cụ máy ảo Vmware( Wmware Workstation ) để thực hành

Ở đây tôi sẽ đưa ra mô hình thực hành như sau :

Trong đó máy Attack và máy Victim sẽ sử dụng Windows XP Professional sp2 Hai máy cùng trong một lớp mạng 192.168.1.x và đi ra môi trường Internet bằng Router LinkSys A300 có địa chỉ IP là 192.168.1.1

Công cụ hỗ trợ sniffer được sủ dụng

- Cain & Abel v4.9.8

Cain & Abel là một công cụ giao diện đồ họa dùng để giám sát ARP Cache của máy tính.Nó gửi request định kỳ đến bảng ARP cache của máy tính và báo cáo những thay đổi về việc ánh xạ giữa địa chỉ IP và địa chỉ MAC trong ARP cache.Do vậy nó có thể được sử dụng để phát hiện ra kiểu tấn công ARP Poisoning trong mạng LAN

XARP là 1 chương trình miễn phí.Nó có thể chạy trên hệ điều hành windows 2000 hoặc windows xp phiên bản mới nhất là 4.9.39 dành cho Windown 7

QUÁ TRÌNH THỰC HIỆN

Bước 1: Quá trình cài đặt

Ta bắt đầu quá trình cài đặt công cụ Sniffer Cain & Abel, trong quá trình cài đặt công cụ Cain cần có thêm phần mềm hỗ trợ WinPcap để có thể sniffer trên hệ

thống mạng

Chọn Next 

Chọn Next 

Như đã nói ban đầu để quá trình Sniffer có thể tiến hành được thì cần có gói phần mềm hỗ trợ WinPcap, ta tiến hành cài đặt WinPcap, chọn Install 