Newsgroup: it.comp.sicurezza.windows
Titolo: Sniffare i pacchetti dalle porte localhost. Come si puo' fare ?

Ho la necessita' di vedere quali sono i dati scambiati fra due
applicazioni che lavorano attraverso il tcp/ip tramite l'indirizzo
127.0.0.1. Ognuna apre una porta che tiene aperta fino alla chiusura
dell'applicazione. Non riesco a trovare un software che mi possa
essere d'aiuto. Utilizzo NT4 ma posso usare anche il 2000 o il Windows
98.
Qualcuno mi puo' aiutare ?

 Qualcuno mi puo' aiutare ?
Di sniffer se ne trovano diversi. Ultimamente ho trovato questo:
http://www.analogx.com/contents/download/network/pmon.htm
ma non l'ho provato..
-- 
		Luca Amicone
		(da casa)

stefa...@yahoo.com
 (stefano) il giorno dom 17 mar 2002 12:14:24p
ha pensato di scrivere : 

Mi pare di capire che le applicazioni sia in locale (essendo 
l'indirizzo il localhost...), in ogni caso uno sniffer dovrebbe 
funzionare.
ciao
-- 
Caccia Carlo - webmaster of 
www.x-planet.org
 
PGP FP :  8363 0f97 ED73 F418 3859 94B9 94A6 FA47 899E 8D5D 
PGP Key:  
http://www.x-planet.org/pgpkey/WebMaster.asc

 ciao
Grazie ad entrambi per avere risposto.
PMon non mi sembra che lavori con il loopback. E' da giorni che cerco
e sembra che uno sniffer comune non possa funzionare perche' lavora ad
un livello piu' alto del loopback. Sarebbe necessario un driver tcp/ip
sostitutivo a quello di Windows per lavorare direttamente sullo stack
ip, solo che credo non esista.
Le due applicazioni usano la Winsock e a tale proposito ho trovato il
Traceplus/Winsock in 
http://www.sstinc.com/home.html
 solo che e' un
demo e non me ne faccio nulla. In rete non c'e' quello "buono".
Sembra che l'utilizzo di un programma che lavora a livello di Winsock
sia l'unico sistema per risolvere questo problema, almeno questo credo
di poter dire in base a questa breve esperienza.
Ulteriori consigli sono sempre ben accetti.
ciao e grazie
Stefano

 esperienza. 
Si hai ragione, se non ricordo male avevo provato uno sniffer che mi 
permetteva di superare questo limite, non ti assicuro nulla ma se lo 
trovo lo implemento nella sezione download del mio sito.


 di poter dire in base a questa breve esperienza.
Per come č implementato lo stack in Windows, non si sa mica bene "dove" 
intervenire.. 8]


 Qualcuno mi puo' aiutare ?
Argh.... Ho trovato queste FAQ...
http://netgroup-serv.polito.it/winpcap/misc/faq.htm
nelle quali c'è scritto chiaramente:
Q-12: Does WinPcap support loopback devices?
A: No. Only physical interfaces are supported. This is a limitation of
Windows and not of WinPcap.
Altri dati non ne ho trovati 8(
-- 
			Luca Amicone
			ICQ: 14890779
--
	Statistica. Solo il 30% degli italiani va a Messa.
	Il 70% sta a casa con le madonne.
		-- M. Marchesi

 Ulteriori consigli sono sempre ben accetti.
Costruisciti un proxy che logga i pacchetti. Se il client si deve 
connettere alla porta 1234 del server, fai un proxy che ascolta sulla 
1233, e forwarda tutto quel che vi passa alla 1234 del server. e poi 
modifichi il client allo stesso modo. Non credo ti dovrebbe essere 
difficile...
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Made with 100% recycled electrons

 			ICQ: 14890779
Ti ringrazio, mi sembrava infatti che il problema fosse questo,
altrimenti non si spiegherebbe la mancanza di software che lavora in
tal senso.
Ho rivolto la mia ricerca verso quei software che spiano le chiamate
alla Winsock visto che entrambe le applicazioni la usano.
Traceplus/Winsock e' la migliore in questo senso, solo che trovo
solamente dei demo.
Ciao
Stefano

 difficile...
Ti potrei scrivere un trattato sull'ingeneria del software gestionale,
ma difficilmente riuscirei in poco tempo a crearmi un proxy essendo a
digiuno di certi concetti. Conosci qualcosa di gia' pronto ?
ciao
Stefano

 digiuno di certi concetti. Conosci qualcosa di gia' pronto ?
Ma non c'e' nulla di di difficile, se hai gia' scritto (come mi pare) il 
server e il client:
<proxy pseudocode>
Metti il socket in listening
quando accept() effettui la connessione al server "vero"
while (socket valido)
	leggi i dati
	logghi i dati su un file
	invii i dati al server
FINE
</proxy psudocode>
Penso che con il C++ builder tu lo possa fare in pochi minuti... sempre 
se hai esperienza... al limite vedo se riesco a reperire qualche cosa...


 solamente dei demo.
QUESTA mi suona molto bene.. 8]]
http://www.sysinternals.com/ntw2k/freeware/tdimon.shtml


 se hai esperienza... al limite vedo se riesco a reperire qualche cosa...
Le applicazioni non sono mie. Vorrei riuscire a capire quale e' il
dialogo che intercorre tra le due in modo da emularlo in toto con un
mio software.
Io dovrei ascoltare da due porte gia' aperte rispettivamente da
antrambe le applicazioni. E' possibile inserirsi se la porta e' gia'
aperta ?
In rete ho trovato questo
http://www.billgatliff.com/articles/web-legacy/web-legacy/a173.html
 ma
ovviamente quando cerco di ascoltare sulla porta aperta si incazza
alqualto e mi sbatte fuori. Purtroppo io non ho dimestichezza con la
winsock.
Ciao e grazie.
Stefano

 wrote in message news:<MPG.1701b8a2f76e57dd989b83@notebook>...

Thank's e' un buon scanner, ma non catura i dati oggetto delle
trasazioni, almeno mi sembra da quello che ho provato.
ciao e grazie
stefano

 aperta ?
No, se non con uno sniffer.


 tal senso.
Mannaggia, con tutti i programmi che ci sono..
Di questo avevo il link, ma non ho potuto provarlo dato che non sono 
riuscito a scaricarlo.. si è piantata l'intera LAN per tutto il giorno. 
oggi..! 8(
http://www.algenta.com/software/lookout/


 > tal senso.
Ho fatto qualcosa con quel proxy, oggi o domani lo uploado sul mio sito.
Ciau!


 Ciau!
Siete grandi, sperem.
Domani provo i software.
Ciao
Stefano

> Ho fatto qualcosa con quel proxy, oggi o domani lo uploado sul mio sito.
Non vorrei dire una caxxata perche' l'aggeggio l'ho solo visto di
striscio (e anche un bel po' di tempo fa: mi servivano i sorgenti)
ma a me non sembrava un proxy. E poi il tuo server dovrebbe poter
essere messo in ascolto su una porta diversa o il client dovrebbe
potersi connetersi a una porta diversa (o dovrebbero prevedere di
poter essere usati con l'interposizione di un proxy).  Lo fanno?
Fabio

 Domani provo i software.
Purtroppo tripod e' down e non posso uploadarlo, scrivimi in privato che 
te lo mando direttamente...
happycactus (at) despammed (punto) com


 poter essere usati con l'interposizione di un proxy).  Lo fanno?
Ecco, questo e' l'unico problema. Speriamo di si, se no son cazzi (beh, 
si puo' provare a bindare prima sulla porta e poi lanciare il server... e 
vedere che cosa succede!)


...

Pocaccia ...
Sai dov'e' la fregatura ? Uno dei due programmi non acconsente la
condivisione della porta con il Lookout, per cui se metto in ascolto
il Lookout, questo programma non apre piu' la porta e blocca ogni
attivita'. Ho provato anche con l'altro programma che e' parte attiva
nello scambio, questo invece permette la condivisione della porta con
il Lookout. Forse significa che una porta puo' essere o non essere
aperta in modalita' promiscua ?
ciao

 aperta in modalita' promiscua ?
PREMESSA: STO SOLO FACENDO IPOTESI! NON HO UNA CONOSCENZA SPECIFICA!
Una porta in ascolto significa che come vi arriva il pacchetto, "un 
programma" lo intercetta e lo elabora. A "parità" di porta, 
"probabilmente" interviene qualche altro parametro che determina la 
priorità di chi e di cosa. Se questa priorità è differente, magari PRIMA 
il pacchetto passa ad un programma (lo sniffer) e POI all'altro 
programma. Se però anche l'altro ha la stessa priorità.. 8\
-- 
		Luca Amicone
		(dall'Università)

 programma. Se però anche l'altro ha la stessa priorità.. 8\
No, ipotesi sballata! ;)


 e porta 139.
Netcat non "scalza via" netbios?
Happycactus che evidentemente "any" significa una qualsiasi (tra quelle 
disponibili!)
