SNIFF کردن چیست؟ خطرات آن در شبکه چگونه است؟…قسمت دوم

در ادامه مقاله شماره ۱ در مورد Sniffing، از جمله روش های اسنیف کردن سوییچ ها این موارد هستند:

۱-ARP Spoofing
قبلا توضیح دادم که جدول ARP چیه و برای گرفتن ادرس فیزیکی مک مورد استفاده قرار میگیره . این جدول دارای امنیت پایینی هست و خودتون هم میتونین خیلی راحت چند تا مدخل توش درست کنین . شما میتونین یه جواب ARP بفرستین حتی اگه کسی از شما نخواسته باشه که آدرستون را بهش اعلام کنین . در این حالت جواب شما توسط سیستم مقصد قبول میشه . حالا اگه بخواهین ترافیک شبکه را اسنیف کنین اون هم از کامپ یک میتونین عمل آرپ اسپوف را روی gateway شبکه انجام بدین . حالا جدول آرپ سیستم ۱ مسموم شده . بدین ترتیب کل ترافیک شبکه از سیستم شما رد میشه . حقه دیگه ای که میتونه استفاده بشه تا جدول ارپ میزبان ها را مسموم کنه اینکه که بیایین و ادرس مک گیت وی را بذارین FF:FF:FF:FF:FF:FF که به عنوان آدرس برود کست هم شناخته میشه . فوق العاده ترین ابزاری که واسه این مورد میشه پیدا کد ARPspoof که با Dsnif Suite هستش.

۲-MAC Flooding
سوئیچ ها جدول مترجمی را نگه میدارن که نگاشت ادرس های مک را به پورت های فیزیکی را روی سوئیچ به عهده داره .به این ترتیب سوئیچ به صورت هوشمند میتونه پاکت ها را به مقصد بفرسته . اما سوئیچ برای این کار دارای حافظه محدودی هست . فلود کردن مک از این نقطه ضعف استفاده میکنه و اونقدر سوئیچ را بمب باران میکنه (با ادرس های الکی) تا موقعی که سوئیچ نتونه اطلاعات را نگه داره . و این موقع است که میره توی حالت fail-open Mode و توی این حالت مثل یه هاب عمل میکنه و واسه اینکه بتونه اطلاعات ا ارسال کنه اونها را Broadcast میکنه .حالا دیگه میشه راحت عمل اسنیف را انجام داد.

و اما مساله اساسی تشخیص اسنیفر ها :
یه اسنیفر معمولا همیشه توی حالت فعال کار میکنه . این اسنیفر فقط اطلاعات را جمع میکنه . به طور عمده تشخیص اسنیفر ها روی شبکه اترنت کار خیلی سختیه مخصوصا اگه روی شبکه اشتراکی باشه . اما وقتی که اسنیفر داره روی یه شبکه سوئیچ کار میکنه کار کمی آسانت میشه . وقتی که یه اسنیفر فعال میشه مقداری ترافیک را تولید میکنه . اینجا چند روش برای تشخیص اسنیف کردن اطلاعات وجود داره .

ping Method
کلکی که اینجا استفاده میشه اینه که یه دونه پاکت پینگ به آی پی ماشینی که بهش مشکوک هستین بفرستین نه به آدرس مک اون .اگر اون کامپیوتر مشکوک اسنیفر داره اونوقت به پینگ شما جواب میده . این در حالی هست که قاعدتا نباید به پاکت هایی که ادرس مک اونها بهش نمیخوره جواب بده . این روشی قدیمی است و دیگه به درد نمی خوره

ARP Method
یک کامپیوتر یه آرپ نگه میداره . پس کاری که ما میکنیم اینه که یه دونه پاکت غیر برود کست آرپ بفرستیم .کامپیوتری که توی حالت بی قاعده قرار گرفته آدرس شما رو ذخیره میکنه . بعد از اون ما یه دونه پاکت پینگ به صورت برود کست با آی پی خودمون می فرستیم اما با یه آدرس مک دیگه .تنها کامپیوتری که ادرس مک واقعی ما رو از قاب اسنیف شده آرپ داره میتونه به درخواست برود کست پینگ ما جواب بده .

On local host :
اغلب وقتی که سیستم شما دچار اشتباه شد هکر ها اسنیفر را ول می کنن . حالا میتونین با زدن یه دستور ساده روی همون سیستم که بهش مشکوک بودین بفهمین که این سیستم همونی هست که داشته اسنیف میکرده یا نه
if-config دستوری هست که شما بهش نیاز دارین . که اگر توی خط آخر خروجی دستور به کلمه Promise برخود کردین بدونین که این همون سیستمه .

latency Method:
این روش بر این مبنا هست که فرض میشه اسنیفر عمل پارسینگ را داره انجام میده . پس داره اطلاعات زیادی را از شبکه میگیره و حالا اگر شما بیایین و یه حجم زیاد از اطلاعات را برود کست کنید سیستم اسنیف کننده تا بخواهد جواب بده وقت زیادی را میگیره و این تفاوت زمانی میتونه مشخص کنه که کدام سیستم در حال اسنیف قرار گرفته .

ARP watch:

همانطور که گفته شد یکی از روش هایی که برای اسنیف روی یک شبکه سوئیچ انجام میشه اینه که ارپ را اسپوف کنیم . ابزاری که ARPwatch نامیده میشه استفاده میشه تا ببینه که هیچ چند تایی برای یه ماشین نباشه . یعنی واسه یه سیستم چند تا مدخل توی جدول نباشه . اگر اینطور باشه برنامه اینو تشخیص میده و هشدار میده . توی یه شبکه دی اچ سی پی این میتونه باعث هشدار های اشتباه زیادی بشه کاری که میشه انجام داد تا جلوی این مشکل گرفته بشه اینه که زمان اجاره آی پی را افزایش بدین و مثلا بذارین ۳۰ روز .