🚀 go-pugleaf

Jarek Lis <lis@ict.pwr.wroc.pl> wrote:
: Adam Kubicki <mikee@galaxy.uci.agh.edu.pl> wrote:
: : Krzysztof Halasa <khc@hq.pm.waw.pl> wrote:
: : : mikee@galaxy.uci.agh.edu.pl (Adam Kubicki) writes:
: : : AK> ramek ethernet nie da sie podluchac, ale praktycznie wszystkie wyzszego
: : : AK> poziomu da sie nie majac fizycznego dostepu.

: : : Wnioskuje, ze wg Ciebie nie da sie podsluchac ramek Ethernet (dobrze
: : : zrozumialem?).

: : ok, napisze jasniej - ramek ethernet nie da sie podluchac bez bezp. dostepu,
: : natomiast da sie wyzsze protokoly (IP itd) bez owego bezp. dostepu (
: : zwanego czasem fizycznym) - juz ok?

: Hm, moglbys opisac dokladniej co nazywasz 'fizycznym dostepem'?
: I dac pare przykladow w jaki sposob mozna podsluchiwac wyzsze protokoly, a 
: ramek ethernetowych juz nie?

cale to zamieszanie w tej grupie bierze sie z tego ze troche inaczej 
rozumiemy niektore pojecia. Po pierwsze, snifing to dosc szerokie pojecie
- moze byc ethernet snifing, snifing hasel (a wiec z reguly TCP) itd.
Warto wiec, szczegolnie piszac jakies kategoryczne stwierdzenia (jak to, ktorego
sie doczepilem ze nie da sie snifowac bez bezp. dostepu) sprecyzowac o co nam dokladnie chodzi.
Wiec:
Fizyczny czy tez bezposredni dostep dla mnie maszyna ma wzgledem drugiej jesli
ruch pakietow miedzy nimi *nie* odbywa sie na podstawie wartosci pakietow 
(headerow) - sa to wiec np. cienki ethernet, skretka z glupim hubem itp.
*NIE* sa bezposrednio polaczone komputery poprzez router czy nawet switch,
wiec jesli "cos" decyduje o tym czy do mnie poslac pakiet na podstawie jego 
wartosci - jest oczywiste ze w tym przypadku "pasywny" sniffer nie ma szans
na przechwycenie pakietow nie kierowanych do niego.

Czasami mozna mimo braku fizycznego dostepu przechwytywac pakiety kierowane 
nie do mnie, ale jest to wowczas jak ladnie Szymon ujal "aktywny" sniffer,
i wykorzystuje po pierwsze cechy protkololow a po drugie cechy
danej implementacji protokolu. W niektorych przypadkach jakby sie wydawalo 
moge podsluchac nawet ramki ethernet (przyklad z switch'em i arp'em)- to blad.
to *NIE* byl ten sam pakiet ktory polecialby do tamtego komputera, podsluchalem
*wyzszy* protokol, IP, a pakiet ktory zlapalem mial pewne roznice na nizszym
poziomie (dest. adres ethernet) ktore na szczescie malo mnie obchodza.
Wiec, smialo moge twierdzic ze o ile do podsluchiwania ramek ethernet
konieczny jest dostep fizyczny , to aby podsluchac inne, wyzsze protokoly
nie jest to konieczne. Oczywiscie raczej nie dotrrze do mnie nizszy protokol
w niezmienionym stanie, generalnie jednak na nim mi nie zalezy.
Mozliwe sa wiec "magiczne" programy, osobiscie nie wierze jednak w takie
ktore dzialaja "zawsze i wszedzie" - beda to raczej programy pod konkretne
protkololy, a co najwazniejsze dana siec, to jak ona jest zorganizowana.
Np. jest siec z loghost'em, icmp redirect/RIP/arp itp moga doprowadzic
do tego ze pakiety z komputera w tamtej sieci kierowane do loghost'u
trafia do mnie (akurat w takim przypadku cale IP trafi, nie tylko UDP)
naciagajac dalej jesli tam sa dwa gateway'e to nawet moga dotrzec przeze
mnie do przeznaczenia - jednak takie kroki byly poniewaz tamta siec akurat
tak jest zrobiona - na innej, o innej "architekturze", z innymi systemami
to nie mialo by szans zadzialac.
Chcialbym zaznaczyc ze caly czas mowie o TCP/IP, nie mam pojecia co jest
mozliwe/niemozliwe z IPX, DECnet itd.
Mowiac o tym co mozliwe a co nie naprawde prosze o sprecyzowanie o jakim
snifingu mowimy, jestem w stanie sobie wyobrazic sytuacje w ktorej
bardzo zalezalo by mi na snifowaniu "dns query" jakie sle dns server np.
Wiec, cos wyzej niz tcp/udp/icmp/ip. 
Te wszystkie "aktywne" snifery sa oczywiscie dosc latwo zauwazalnie ,
jednak *sa mozliwe* w niektorych przypadkach. A czy magiczne czy nie
to juz tylko zalezy od naszego poziomu wiedzy.
Mam nadzieje ze wyjasnilem o co mi caly czas chodzilo - zwlaszcza khc ;-)

-adam