Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 38
Bài 5:
CÁC PHNG PHÁP SNIFFER

I/ Gii thiu v Sniffer
A. TNG QUAN SNIFFER
Sniffer đc hiu đn gin nh là mt chng trình c gng nghe ngóng các lu
lng thông tin trên mt h thng mng
Sniffer đc s dng nh mt công c đ các nhà qun tr mng theo dõi và bo trì h
thng mng. V mt tiêu cc, sniffer đc s dng nh mt công c vi mc đích nghe lén
các thông tin trên mng đ ly các thông tin quan trng
Sniffer da vào phng thc tn công ARP đ bt gói các thông tin đc truyn qua
mng.
Tuy nhiên nhng giao dch gia các h thng mng máy tính thng là nhng d liu  dng
nh phân (binary). Bi vy đ hiu đc nhng d liu  dng nh phân này, các chng trình
Sniffer này phi có tính nng phân tích các nghi thc (Protocol Analysis), cng nh tính nng
gii mã (Decode) các d liu  dng nh
phân đ hiu đc chúng
Mt s các ng dng ca Sniffer đc s dng nh: dsniff, snort, cain, ettercap,
sniffer pro…

B. HOT NG CA SNIFFER
Sniffer hot đng ch yu da trên dng tn công ARP.

TN CÔNG ARP1. Gii thiu
ây là mt dng tn công rt nguy him, gi là Man In The Middle. Trong trng hp
này ging nh b đt máy nghe lén, phiên làm vic gia máy gi và máy nhn vn din ra


HostA
IP: 10.0.0.13
MAC: 0000.0000.1013

- u tiên, HostA mun gi d liu cho Victim, cn phi bit đa ch MAC ca Victim
đ liên lc. HostA s gi broadcast ARP Request ti tt c các máy trong cùng mng
LAN đ hi xem IP 10.0.0.12 (IP ca Victim) có đa ch MAC là bao nhiêu.
- Attacker và Victim đu nhn đc gói tin ARP Request, nhng ch có Victim gi tr
li gói tin ARP Reply li cho HostA. ARP Reply cha thông tin v IP 10.0.0.12 và
MAC 0000.0000.1012 c
a Victim
- HostA nhn đc gói ARP Realy t Victim, bit đc đa ch MAC ca Victim là
0000.0000.1012 s bt đu thc hin liên lc truyn d liu đn Victim. Attacker
không th xem ni dung d liu đc truyn gia HostA và Victim

Máy Attacker mun thc hin ARP attack đi vi máy Victim. Attacker mun mi gói tin
HostA gi đn máy Victim đu có th chp li đc đ xem trm
- Attacker thc hin gi liên tc ARP Reply cha thông tin v IP ca Victim 10.0.0.12,
còn đa ch MAC là ca Attacker 0000.0000.1011.
- HostA nhn đc ARP Reply ngh rng IP Victim 10.0.0.12 có đa ch MAC là
0000.0000.1011. HostA lu thông tin này vào bng ARP Cache và thc hin kt ni.
- Lúc này mi thông tin, d liu HostA gi ti máy có IP 10.0.0.12 (là máy Victim) s
gi qua đa ch MAC 0000.0000.1011 ca máy Attacker.
Host A Host B
Host C
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 40 Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 43

Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 44 3. Cu hình
Cain & Abel cn cu hình mt vài thông s, mïi th có th đc điu chnh thông qua bng
Configuration dialog .

Sniffer tab
:

-Ti đây chúng ta chn card mng s dng đ tin hành sniffer và tính nng APR . Check vào
ô Option đ kích hot hay không kích hot tính nng.
-Sniffer tng thích vi Winpcap version 2.3 hay cao hn . Version này h tr card mng rt
nhiu .
Giáo trình bài tp C|EH Tài liu dành cho hc viên

+ Mc Username Fields: nó s ly thông tin nhng gì liên quan đn cái tên (user name,
account, web name v.v ) .
+ Mc Password Fields: lanh vc này s đãm nhim vai trò ly thông tin v password
(login password, user pass, webpass v.v…)

4. Các ng dng ca CAIN:

+ Bo v password manager:
− Trc ht nó đc s dng nh 1 private key bo m
t mt s vn đ cho user . Hu ht
thông tin trong Protected Storage đc mã hóa.S dng nh 1 key nhn đc t vic
logon password ca user.Cho phép điu hòa viêc truy cp thông tin đ owner có th an
toàn truy xut .
− Mt vài ng dng ca Windows có nét đc trng nên s dng dch v này: Internet
Explorer, Oulook, Oulook Express + Gii mã password manager:
− Nó cho phép bn đa user names và passwords cho 1 tài nguyên mng khác và 1 ng
dng,sau đó h thng t đng cung cp thông tin v nhng s ving thm thông tin mà
bn không can thip.
+ LSA secrets dumper
:
− LSA secrets thì s dng thông tin password cho accounts dùng đ start mt dch v khác
d liu cc b. Dial Up và mt s ng dng khác xác đnh password nm  đây .
+ Gii mã password Dial-Up: Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 48
+ Service manager: ta có th start/stop,pause/continued hay remove bt c 1 dch v nào có
trên ca s giao din
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 50

+ Sniffer:

ARP-DNS:
Nét đc trng  đây là cho phép DNS tin hành gi mo thành 1 DNS-reply đ có th tn
công. ARP-DNS d dàng to ra 1 ip address trên DNS-reply .Sniffer d dàng rút ra đc tên yêu cu
t gói d liu kt hp vi vic thy đc đa ch trên bng danh sách. đây gói d liu s
đc chnh li IP address đ sau đó re-route đi .Lúc này client s b đánh la đ ta d dàng
bit đc đa ch đích .

ARP-HTTPS:
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 51
ARP-HTTPS cho phép vic bt gói và gii mã trong s lu thông ca HTTPS gia các host .
ây là công vic kt hp vi công c Certificate Collector . Khi mà nn nhân Start HTTPS
trình duyt ca anh ta s hin lên po-pup báo đng .
+ libnet-1.1.2.1.tar – có th download t website
http://www.packetfactory.net/libnet/dist/

Install libnet:

1. # tar zxvf libnet-1.1.2.1.tar.gz
2. # cd libnet
3. # ./configure
4. # make
5. # make install

Install libpcap:

6. # tar zxvf libpcap-1.1.2.1.tar.gz
7. # cd libpcap
8. # ./configure
9. # make
10. # make install

Install ettercap:

1. # tar zxvf ettercap-NG-0.7.1.tar.gz
2. # cd ettercap-NG-0.7.1
3. # ./configure
4. # make
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 55
5. # make install

Quá trình cài đt hoàn tt, trên ca s console xut hin nhng dòng thông báo

Ti dòng User Messages se xut hin thông báo cho bit dch v đang start lên

- Trong menu Host, chn Scan from hosts
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 59 - Trong menu Mitm, chn Arp poisoning…
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 60 - Không chn parameters, nhn enter b qua
- Ti dòng User messages xut hin thông báo
Giáo trình bài tp C|EH Tài liu dành cho hc viên
VSIC Education Corporation Trang 61