Newsgroup: it.comp.sicurezza.varie
Titolo: Sniffer e promiscuous mode

In questi giorni ho provato un po' di programmi per analizzare i
pacchetti che transitano sulla mia rete.
Sono connesso a Internet tramite un router ADSL e la mia rete interna
( formata qualche macchina Windows e qualche macchina Linux ) č dietro
un firewall ( una macchina linux che fa da gateway ). Io volevo
installando uno sniffer su una delle macchine Linux o Windows della
rete interna analizzare il traffico che transita per essa. Per non
intercettare solo i pacchetti che partono e che arrivano ( + quelli
broadcast ) alla macchina dove ho installato lo sniffer devo settare
la mia scheda di rete in promiscuous mode.
E qui arriva il problema, nč sulle macchine Linux nč su quelle Windows
riesco a far catturare dalla scheda di rete anche i pacchetti a lei
non diretti.
Informazione importante tutti i pc sono collegati tramite HUB e quindi
in teoria dovrei essere in grado di catturare tutti i pacchetti.
Sotto Linux ho espressamente settato la scheda in promiscuous mode (
tramite ifconfig ) ma ugualmente ethereal,tcpdump catturano solo i
pacchetti a me diretti.
In windows ho installato la libreria Wpcap ed ethereal ma stesso
problema.
( le schede di rete hanno un chip realtek 8139 )
Where is the problem? 
Qualcuno a qualche consiglio da darmi?

 in teoria dovrei essere in grado di catturare tutti i pacchetti.
Sei sicuro che sia un hub e non anche uno switch ?
Ciao.

 in teoria dovrei essere in grado di catturare tutti i pacchetti.
Anch'io col mio hub ho il tuo problema...
Poi sono andato sul sito del produttore e ho constatato che
grazie ad un po' di memoria e altre cosucce si comporta come uno switch
(e non l'ho mica pagato tanto circa 30 euri)
Ciao
-- 
gen. Trimack aka gen. Puzzerstoven 
Per favore non mandatemi allegati in Word o PowerPoint.
Si veda 
http://www.fsf.org/philosophy/no-word-attachments.it.html
 
IAF0 #196 -- Linux Registered User #274161



Effettivamente ultimamente gli hub non sono piu' solo hub, ma switchano
anche.
Infatti io volevo un hub normale 16 porte 10/100 e mi hanno dato uno
switch perche' "gli hub non li abbiamo piu'"...
'stardi, e io che mi sniffo dopo?
[niente battute please...]
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
   URL: 
http://www.delymyth.net/
 ~ E-Mail: 
DEly...@despammed.com
            => ICQ#: 8761263 - MSN: 
dely...@msn.com
 <=
          => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 'stardi, e io che mi sniffo dopo?
Dai, c'è sempre il buon vecchio ettercap :-))
Ciao
Fabio



Si ma io c'ho windows e le winpcap non sono cosi' forzute :(
E sinceramente installarmi uno sniffer su quello che sara' il
router/firewall/nat/eccetera solo perche' sara' la Linux d'assalto non
mi pare il caso (uno sniffer messo li' m'ispira pochino... ma ce devo
penza'...)


 penza'...)
Non saprei, c'è da dire che tempo fa avevo letto della possibilità di
sfruttare la modalità promisqua in modo poco amichevole. Per il resto, se
sul firewall non ci fai girare nessun servizio io lo farei anche, magari
però facendogli salvare i log su un'altra macchina.
Ciao
Fabio

 magari però facendogli salvare i log su un'altra macchina.
Sul firewall alla fine ci faccio anche girare (forse) un server web/mail
& co., sempre che non trovi i dane' per la macchina aggiuntiva e il FW
faccia solo da FW come dovrebbe...
Mettere uno sniffer su una macchina che lavora anche per altro mi pare
un po' una vaccata, dato che ethereal pesa come un bisonte, SnifferPro
della NAI mi ha abbattuto piu' volte la NT4 su cui girava...
Ettercap pare piu' leggero cosi' a occhio, pero' e' il tcpdump sotto che
mi da' noia...
Insomma, se ci fosse uno sniffer decente per la mia rete (con quel coso
d-link) che mi giri sotto XP o 2k server sarei contenta, la Linux avra'
gia' abbastanza da fare :P


 gia' abbastanza da fare :P
Ma che cosa ci devi fare con lo sniffer? Se ti accontenti della linea
di comando puoi provare ngsniff. Usa raw socket e non richiede nessun
packet driver, ma non t'aspettare le feature di [t]ethereal, windump,
ettercap, snort o qualsiasi altro prodotto citato.
Ah... la domanda "cosa ci devi fare" deriva dall'aver citato ettercap
nei post precedenti, che mi sembra s'allontani molto dagli altri come
funzionalita'. Se sono "quelle" particolari caratteristiche di cui ti
devi servire, allora ci sono altri prodotti quasi alternativi.
Fabio

 devi servire, allora ci sono altri prodotti quasi alternativi.
Considerato che il tutto e' ancora in fase di "meditazione"...
mi servirebbe che mi facesse anche un reportino sull'utilizzo di banda
per host/protocolli (modello ntop)...
Il problema e' che se fossi sicura che funzionasse ricercherei il
vecchio SnifferPro della NAI, quello si che era bello :)
[ci credete che non ho la minima idea di dove prendere quell'affare?]


 esempio)
Considerato che fara' anche altro preferivo evitare...
Vabbe', ci mettero ntop per farmi fare i report :P


 Fino a poco tempo fa c'erano problemi con il webserver integrato.
Ok, ci ripensero' quando tirero' su le macchinine e la rete seria...
Ma che stressolo -_-


 Il giorno in cui funzionera' a dovere.
Ma...
Se chiudo la porta verso internet e la lascio aperta solo sulla LAN?
In fondo da remoto non e' che m'interessi molto vedere cosa succede a
casa, cioe', me ne fregherei :P


 Se chiudo la porta verso internet e la lascio aperta solo sulla LAN?
Sei a posto.
-- 
Vincenzo