Usando o ettercap
Autor: Mario Miranda de Magalhães | Publicado: 2007-03-28T11:20:00-03:00

O seguinte artigo é uma pequena introdução ao Ettercap, programa o qual é descrito pelo seu autor como "Um sniffer multi-propósito / Interceptor / Logger para LANs com switches"O ettercap faz uso pesado de ARP Spoofing, e se você não está familiarizado com este conceito, talvez você queira saber um pouco mais sobre ele antes de começar ( http://en.wikipedia.org/wiki/Spoofing_attack ).IMPORTANTE: Arp spoofing pode (e causa) grandes danos na sua rede. O ideal seria testa-lo em um ambiente separado da sua LAN de produção.Você pode baixar o ettercap em: http://ettercap.sourceforge.net/download.phpEtterCap é um sniffer multi-propósito / Interceptor / Logger para LANs com switches.Ele suporta dissecação ativa e passiva de protocolos (até os cifrados/encapsulados) e inclui várias várias funcionalidades para análise de rede e de hosts. Entre as funcionalidades estão:Injeção de caracteres em conexões estabelecidas: Você pode injetar caracteres para o servidor (emulando comandos) ou para o cliente (emulando respostas) mantendo as conexões "alive"!Suporte ao SSH1: Você pode sniffar Usuário e senha, mesmo através de uma conexão criptografada SSH1.Suporte à HTTPS: Você pode sniffar dados http SSL, até mesmo se a conexão for feita por um PROXY.Tráfego remoto através de GRE tunnel: Você pode sniffar tráfego remoto passando através de um tunel GRE de um roteador Cisco remoto e fazer um ataque mitm (man in the middle) no roteador.PPTP broker: Você pode fazer ataques mitm contra dados tunalados por PPTP.Coletor de password para: TELNET, FTP, POP, RLOGIN, SSH1, ICQ, SMB, MySQL, HTTP, NNTP, X11, NAPSTER, IRC, RIP, BGP, SOCKS 5, IMAP 4, VNC, LDAP, NFS, SNMP, HALF LIFE, QUAKE 3, MSN, YMSG.Filtro de pacotes / dropador de pacotes: Você pode configurar um filtro de pacotes para procurar uma string em particular (até mesmo hex) no conteúdo dos pacotes TCP e UDP e substituir uma string por uma especificada por você ou simplesmente dropar o pacote todo.Identificação de Sistema Operacional: Você pode fazer o fingerprint do SO do host vítima ou até mesmo da sua interface de rede.Terminar uma conexão: A partir de uma lista de conexões, você pode terminal qualquer conexão que você queira.Scanner passivo da LAN: Você pode conseguir informações sobre: os hosts que estão na LAN, porta abertas, versão de serviços, tipo de host (gateway, roteador ou um host simples) e a distância estimada em hops (saltos).Checagem de outros atacantes: o ettercap tem a habilidade de, ativa ou passivamente, achar outros atacantes na LAN.Vou examinar apenas algumas funcionalidades do ettercap, o resto é da sua imaginação.O laboratório que eu montei tem a seguinte configuração:o IP 192.168.0.1 é o Gateway padrão. Estarei usando um Cisco Catalyst 2900XL Switch (Ambiente com Switch).Segue um vídeo de um ataque teste de DNS spoofing:http://www.milw0rm.com/video/watch.php?id=43Se você ouviu falar alguma solução de sobre troca de porta (port security), eu não tive a oportunidade de testar isso =/. Mas enfim, ficarei grato em saber sua sua experiência. Ahhhh, no vídeo estou usando uma versão para windows, mas gostaria de lembrar que a versão ettercap para o linux tem muito mais funcionalidades e plugins, mas para gravar o vídeo e mecher com GUI preferi o windows.Bem, é isso.Abraço a todos.Mário Miranda de Magalhães