Newsgroup: it.comp.sicurezza.varie
Titolo: sniffer

Ciao a tutti,
qualcuno sa come si puo' sapere se il traffico da e per un certo host e'
monitorato da uno sniffer? Dovevo fare telnet su una certa macchina, ma la
porta telnet era stata disattivata.
Ho chiesto il perche' all'amministratore di sistema e mi ha risposto che era
stato avvisato, via e-mail, che "uno sniffer era attivo" sulla  macchina in
questione. E' possibile che qualcuno sappia dall'altra parte del mondo che
sulla mia macchina e' controllata da uno sniffer?
In tal caso possono considerarsi relativamente sicuri i collegamenti tra
host, appartenenti a reti locali?
La prima cosa a cui ho pensato e' stato ad un hoax o a qualcosa di simile
Grazie
    Sergio

Popski wrote:

Per verificare se è presente uno sniffer sulla tua rete, devi utilizzare il
comando ifconfig (in windows devi utilizzare ipconfig). Infatti questo programma
restitiusce lo stato dei device della rete, e nel caso di una macchina in rete,
lo stato della scheda ethernet.
Es. di un output di ifconfig:
lo Link encap:Local Loopback
   inet addr:127.0.0.1 Bcast:127.255.255.255
Mask:255.0.0.0
            UP BROADCAST LOOPBACK RUNNING MTU:3584 Metric:1
            Rx packets:3235 errors:0 dropped:0 overruns:0
            Tx packets:3235 errors:0 dropped:0 overruns:0
eth0 Link encap:10Mbps Ethernet HWaddr
00:40:c7:22:0f:0c
          inet addr:151.xx.xxx.x Bcast:151.xx.xxx.255
Mask:255.255.255.0
            UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 (*)
            RX packets:307797 errors:0 dropped:0 overruns:0
            TX packets:214075 errors:0 dropped:0 overruns:0
            Interrupt:10 Base address:0x300
Nel caso ci sia uno sniffer in funzione, il programma restitiusce la stessa
schermata, con una piccola differenza: nella riga contrassegnata con l'asterisco
trovi:
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
Il Running Promisc Multicast identifica in maniera univoca che la scheda di rete
è monitorizzata da qualcuno, cioè che l'interfaccia è usata in modo promiscuo.
Ciao
MarL0

sulla mia macchina e' controllata da uno sniffer?
Solo se e' collegato via coassiale :-) ... non sara' stato un bot, o
chissa' cos'altro?
Leonardo
".signature": bad command or file name

lo stato della scheda ethernet.
Tutto esatto, ma: il fatto che l'interfaccia sia in promiscuous mode significa
che c'e' uno sniffer sulla TUA MACCHINA, e nulla dice sulle ALTRE macchine.
Inoltre, PROMISC implica SNIFFER, ma non e' vero il viceversa; SNIFFER non da'
automaticamente PROMISC (es. tutti i corvi sono uccelli neri, ma non tutti gli
uccelli neri sono corvi).
Esistono tecniche di sniffing che non mettono l'interfaccia in promiscuous, e,
volendo, neanche la fanno comparire a livello di TCP/IP (niente ARP entries, o
cose del genere), e a quel punto lo sniffer devi beccarlo con un oscilloscopio
(sempre se lo becchi, ovvio).


. tutti i corvi sono uccelli neri, ma non tutti gli
| uccelli neri sono corvi).
Un Leonardo che i sillogismi di Aristotele li aveva capiti :)
--
--
Nietzsche
PGP KEY AT:
http://members.xoom.it/nietzsche/contatti.htm
Fingerprint: 7F08 1938 B798 7D5F  3664 F63A 628E A913
SecurFaq: 
http://members.xoom.com/gouldukat

Salve sono nuovo del newsgroup ma un dubio mi è sorto e
quindi mi permetto di fare una domanda:
come pensateche sia possibile scoprire uno sniffer sulla rete presente
su un'alta macchina ????
Secondo me E' IMPOSSIBILE se lo sniffer è furbo....
				Silvano

, scrisse:

non mi  sono mai  informato a  dovere, cmq quelli  della l0pht  hanno fatto
qualche lavoro in merito. Prova a  toglierti la curosita` visitando il loro
sito: 
http://www.l0pht.com/
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* RSA fingerprint: 7772 5C72 7392 538B  34B8 A189 13BC 867A
  DH/DSS  "      : 3CAD 35F0 1D5D F46B 7D95  33F8 5784 B463 A328 7B05
* 
http://members.xoom.it/buttha/




Secondo me E' IMPOSSIBILE se lo sniffer è furbo....
Se e' fatto bene, si', e' impossibile. Si puo' tentare con metodi di
social engineering (es. falsa connessione in telnet da root).
