Tcpdump

dirname echo egrep env find fingerd gpm grep hdparm su ifconfig inetd inetdconf init identd killall ldsopreload login ls lsof mail mingetty netstat named passwd pidof pop2 pop3 ps pstree rpcinfo rlogind rshd slogin sendmail sshd syslogd tar tcpd tcpdump top telnetd timed traceroute vdir w write • • • • ifpromisc.c: vérifie si l’interface réseau est en mode bavard « promiscuous mode». chklastlog.c: vérifie les effacements lastlog. chkwtmp.c: vérifie les effacements wtmp. check_wtmpx.c: vérifie les

mode « promiscuous » Activation :ifconfig eth0 promisc   src:B dest:A payload Parades ?  B   Beaucoup de logiciels sniffers existants. Liste sur http://packetstormsecurity.org/sniffers Le sniffer de base pour unix: tcpdump. Disponible sur http://www.tcpdump.org. 94 Menaces de sécurité sur Internet Wireshark Packet sniffing : parades  Sniffer multi-plateformes graphique   Tous les hôtes d'une organisation utilisent des logiciels vérifiant

mode « promiscuous » socket (AF_INET,SOCK_RAW,IPPROTO_RAW) 19/09/2011 - ENSICAEN - (c) dp 71 Sniffer • Beaucoup de logiciels sniffers existants. • Liste sur http://packetstormsecurity.org/sniffers • Le sniffer de base pour unix: tcpdump – Disponible sur http://www.tcpdump.org. – Grammaire très évoluée. – Affiche les entêtes de paquets répondant au critère spécifié. 19/09/2011 - ENSICAEN - (c) dp 72 36 Wireshark: un sniffer multi-plateforme • Téléchargeable sur

Demande de connaître – La théorie : protocoles, fonctions des équipements, … – Son réseau, ses utilisateurs et leurs applications • Analyseurs de protocoles – – – – Quand vraiment on ne peut pas faire autrement Ex de logiciel du domaine public :TcpDump Station portable avec logiciel commercial Il faut bien connaître les protocoles • Problèmes logiciels : d’autres ont eu le même pb – Ne pas hésiter à utiliser les moteurs de recherche, news, … JL Archimbaud CNRS/UREC Interconnexion et conception

Demande de connaître – La théorie : protocoles, fonctions des équipements, … – Son réseau, ses utilisateurs et leurs applications • Analyseurs de protocoles – – – – Quand vraiment on ne peut pas faire autrement Ex de logiciel du domaine public :TcpDump Station portable avec logiciel commercial Il faut bien connaître les protocoles • Problèmes logiciels : d’autres ont eu le même pb – Ne pas hésiter à utiliser les moteurs de recherche, news, … JL Archimbaud CNRS/UREC Interconnexion et conception

FFmpeg 258 VLAN (Virtual Local Area Network) 37, 63 Voicemail (application) 103, 106, 113 VoicemailMain (application) 106, 113 VPN (Virtual Private Network) 33, 133 IPSec 132, 243 T T.38 (protocole) 115 TCP (Transmission Control Protocol) 17 tcpdump (programme) 237 téléphone logiciel voir softphone téléphonie services 101 sur IP voir ToIP telnet (programme) 192 TFTP (Trivial File Transfer Protocol) 72 ticket de taxation 34, 84, 122, 217 contrôle d’accès 217 interfaces d’enregistrement 217 voir

. . . . 148 CHAPITRE 11 Outils d’analyse ......................................................................... 151 Analyse sur le serveur FreeRadius . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152 Utilisation de tcpdump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152 Mode debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153 Analyse sur une borne Cisco Aironet 1200 . . .

des routes route • la commande de test des routes traceroute • les commandes de test du DNS : nslookup, dnsquery, dnsdomainname • ttcp : outil d'évaluation de performances brutes (mesure du débit du réseau entre deux hôtes qui tournent ttcp) • tcpdump ou snoop ou etherfind : visualisation du trafic IP sur un segment, filtrable en fonction des expéditeurs et/ou destinataires. Idéal pour pirater les comptes…, mais utile pour comprendre les problèmes de trafic local. NB : on voit le contenu des

transitent en clair. Il faut savoir que les applications que nous utilisons couramment, comme TELNET, FTP, IMAP ou HTTP, n’effectuent en général aucun chiffrement du mot de passe au moment où ce dernier est envoyé sur le réseau. Des logiciels tels que tcpdump, disponibles en standard sous Linux, permettent de constater combien il est facile d’écouter sur le réseau. Notons aussi Ethereal et dsniff qui sont faciles à installer. La figure 3-6 retrace les échanges de paquets au cours de la phase d’authentification

pour trouver une solution. Plus rarement, le protocol lui-même peut être en cause, pour cela, il est nécessaire d’analyser les paquets transmis d’une machine à l’autre. Dans un environnement UNIX, les analyseurs de protocoles les plus utilisés sont tcpdump (UNIX BSD) et etherfind (Sun-OS). Les analyseurs de protocoles proposent de filtrer les paquets spécifiés par l’utilisateur. Le principe est de permettre aux paquets de remonter jusqu’à la plus haute couche du protocole pour qu’une application puisse