Blog gratis
Reportar
Editar
¡Crea tu blog!
Compartir
¡Sorpréndeme!
Blog de la Escuela de Educación Secundaria Técnica N 8 de Quilmes
Administrador Prof. Claudio Enrique Alonso Alvite
img
11 de Junio, 2015    General

Análisis de trafico con Netsniff-ng


Netsniff-ng es una de esas herramientas que aunque tiene unas características muy interesantes y es muy potente, es más bien poco conocida. También es una de las tantas herramientas que llevo tiempo con ganas de mencionar aquí, pero por cuestiones de tiempo (y también porque se me olvida) no lo había hecho antes, hoy le ha llegado su turno. Se trata de un sniffer diseñado especialmente para sistemas Linux, muy similar a herramientas como TCPDump o TShark, pero con algunas ventajas adicionales. Una de ellas es su rendimiento, el cual es mucho más óptimo que otros sniffers existentes, ya que los paquetes manejados por Netsniff-ng no son copiados entre el espacio del kernel y el espacio del usuario, algo que es tan común en librerías como libpcap (De hecho, netsniff-ng no requiere de libpcap para su correcto funcionamiento).

Algunos sniffers realizan una serie de invocaciones a las system calls desde el espacio del usuario para realizar el proceso de captura de paquetes, los cuales son procesados en primera instancia por el kernel y almacenados en el kernel space. Este proceso es muy ineficiente, ya que se debe invocar a una (en algunos casos varias) system calls de la API de sockets del sistema operativo. Debido a esto, en las últimas versiones de la rama 2.4 y en prácticamente todas de la rama 2.6 del kernel de Linux se ha introducido PACKET_MMAP, un mecanismo que se encarga de crear un buffer compartido entre el kernel space y el user space para la captura y procesamiento de paquetes de red. Se trata de una característica antigua y que se encuentra integrada en prácticamente todos los sistemas Linux modernos por medio de la opción CONFIG_PACKET_MMAP. No obstante, para el correcto funcionamiento de netsniff-ng también se recomienda utilizar versiones recientes del kernel de Linux (>= 2.6.31) ya que implementan el concepto de “rings” del tipo RX y TX, los cuales permiten un control mucho más eficiente de los buffers utilizados para la recepción y transmisión de paquetes de datos. El tamaño de cada uno de estos rings puede variar dependiendo de las limitaciones físicas de la interfaz de red y típicamente se calcula en base al ancho de banda soportado por la interfaz de red.

INSTALACIÓN

El proceso de instalación es muy simple, basta con descargar la última versión estable desde el sitio web oficial (http://pub.netsniff-ng.org/netsniff-ng/) y descomprimir en cualquier directorio del sistema. También es posible instalar la versión de desarrollo que se encuentra en su repositorio GitHub (https://github.com/netsniff-ng/netsniff-ng.git) pero pueden haber errores y problemas a la hora de instalar, así que se recomienda tirar de la última versión estable.

>./configure

>make

>sudo make install

Con las instrucciones anteriores es suficiente para tener netsniff-ng instalado en el sistema local. A continuación, se puede ejecutar el comando “netsniff-ng” especificando la interfaz de red que será utilizada para el proceso de captura.

>sudo netsniff-ng -i eth0

Para ver todas las opciones de configuración disponibles en la herramienta, basta con ejecutar el comando con la opción “-h”

>sudo netsniff-ng -h

Esta herramienta tiene varias dependencias a librerías que se tienen que encontrar instaladas en el sistema, dichas dependencias se pueden ver en el fichero INSTALL (https://github.com/netsniff-ng/netsniff-ng/blob/master/INSTALL).

Uso básico y análisis de trafico con Netsniff-ng

La herramienta permite la captura de paquetes desde un dispositivo o un fichero de capturas (típicamente formato PCAP) y dicha información también puede ser inyectada/redireccionada a un dispositivo de red o un fichero de capturas. Un ejemplo muy sencillo seria el siguiente:

>netsniff-ng –in eth0 –out /home/adastra/Escritorio/dump.pcap -s icmp

En este caso se van a capturar todos los paquetes que utilicen el protocolo ICMP y que se transfieran por medio de la interfaz de red “eth0”. Con la opción “–out” se indica el destino al que deben redirigirse dichos paquetes, los cuales en este caso concreto, serán almacenados en un fichero PCAP. En el caso de que se indicase, por ejemplo, una interfaz de red, dichos paquetes serían inyectados a dicha interfaz de red. Finalmente, con la opción “-s” la información correspondientes a los paquetes capturados ya no serán enseñados por pantalla.

Hay que tener en cuenta que además de las opciones estándar que admite la herramienta, también es posible aplicar filtros sobre los paquetes capturados, como en este caso concreto en el que se han capturado todos los paquetes que utilicen protocolo ICMP. Estos filtros deben seguir las normas definidas en el estándar BPF (Berkeley Packet Filters) algo que es tan común en este tipo de herramientas (véase por ejemplo TCPDump o Wireshark). No obstante, por línea de comandos no es la única forma de especificar este tipo de filtros, también existe la posibilidad de crear ficheros con los filtros que se desea aplicar y pasarlos a la herramienta por medio de la opción “-f”. Existen algunos de estos ficheros que vienen con la herramienta y que permiten aplicar filtros que son bastante comunes cuando se trabaja con redes.

>netsniff-ng –in eth0 -f /etc/netsniff-ng/rules/icmp.bpf

 

Además de los filtros BPF, también soporta filtros especiales sobre el tipo de trafico a capturar aplicando el interruptor “-t”. Los posibles valores que puede asumir “-t” son los siguientes:

broadcast: Permite filtrar solamente el trafico broadcast.
multicast: Permite filtrar solamente el trafico multicast.
host: Permite filtrar solamente los paquetes cuyo destino es la máquina desde donde se ejecuta la herramienta.
others: Permite filtrar los paquetes cuyo origen o destino es distinto de la máquina desde donde se ejecuta la herramienta.
outgoing: Permite filtrar solamente los paquetes cuyo origen es la máquina desde donde se ejecuta la herramienta.

>netsniff-ng –in eth0 -t others -s

Por otro lado, tal como mencionaba anteriormente, también es posible la reinyección de trafico utilizando esta herramienta, para ello se puede utilizar un fichero PCAP o una interfaz de red que contendrá/capturará los paquetes de datos que serán reinyectados en una interfaz de red determinada. Para ello, se debe utilizar también el interruptor “–mmap” tal como se enseña en el siguiente comando

>netsniff-ng –in /home/adastra/Escritorio/dump.pcap –mmap –out eth0 -k1000 –silent

De esta forma, la herramienta leerá los paquetes de datos incluidos en el fichero PCAP especificado con la opción “–in” y dichos paquetes serán inyectados a la interfaz de red especificada con el interruptor “–out”. Esto evidentemente sirve para generar trafico en el segmento de red y posiblemente, generar estímulos sobre un objetivo determinado. Todo depende de los contenidos del fichero PCAP, pero desde luego es una opción bastante interesante si se desea producir algún tipo de respuesta por parte de un objetivo determinado en el segmento de red.
Existen algunas otras opciones en el comando netsniff-ng, sin embargo no es la única herramienta que incluye el paquete Netsniff-ng, existen otras herramientas que son igualmente interesantes y que merece la pena conocer.

Ifpps

Se trata de una herramienta que permite generar estadísticas en tiempo real sobre los “rings” TX y RX del sistema operativo. Permite la visualización de datos directamente desde la consola o exportar dicha información a ficheros CVS o GNUPlot. Además, como prácticamente todas las herramientas incluidas en Netsniff-ng, permite utilizar varias CPUs para un mejor desempeño.

>ifpps -d eth0 –promisc

>ifpps -d eth0 –promisc -c

 

Astraceroute

Funciona como traceroute para tracear los sistemas por los que pasa un paquete antes de llegar a su destino, el beneficio adicional de esta herramienta es que permite resolver el AS (Sistema Autónomo) de origen y utiliza la librería GeoIP para intentar obtener las referencias geográficas de cada AS encontrado.
Antes de poder utilizar esta herramienta, es necesario actualizar la base de datos de georeferencias con el siguiente comando.

>sudo astraceroute -i eth0 –update

Después de actualizar la base de datos, se puede utilizar el comando astraceroute con las opciones de configuración admitidas.

>astraceroute -i eth0 -N -F -L -H netsniff-ng.org

En este caso, se han utilizando las opciones -N y -F para ejecutar una resolución DNS inversa y enviando paquetes con la flag FIN habilitada respectivamente, luego -L y H permiten pintar las referencias geográficas encontradas (latitud y longitud) así como especificar el objetivo del análisis.
Espero que os haya gustado y que juguéis con esta estupenda herramienta.

Saludos y Happy Hack!
Adastra.

Palabras claves , , , , ,
publicado por alonsoclaudio a las 16:59 · Sin comentarios  ·  Recomendar
 
Más sobre este tema ·  Participar
Comentarios (0) ·  Enviar comentario
Enviar comentario

Nombre:

E-Mail (no será publicado):

Sitio Web (opcional):

Recordar mis datos.
Escriba el código que visualiza en la imagen Escriba el código [Regenerar]:
Formato de texto permitido: <b>Negrita</b>, <i>Cursiva</i>, <u>Subrayado</u>,
<li>· Lista</li>
CALENDARIO
Ver mes anterior Marzo 2024 Ver mes siguiente
DOLUMAMIJUVISA
12
3456789
10111213141516
17181920212223
24252627282930
31
BUSCADOR
Blog   Web
TÓPICOS
» General (2606)
NUBE DE TAGS  [?]
SECCIONES
» Inicio
ENLACES
MÁS LEÍDOS
» Analizando el LiveBox 2.1 de Orange
» Cómo espiar WhatsApp
» Cómo usar Metashield protector for Client y por qué utilizarlo
» Detectando tráfico de conexiones HTTP inversas de Meterpreter (Snort)
» Ejecución remota de código arbitrario en OpenSSH
» Ganar dinero con 1.200 Millones de identidades robadas
» Hardware y sus 4 Funcionamientos Basicos y Principales en una Computadora
» Redes de la Deep Web: CJDNS y la Red Hyperboria
» Unidad Central de Procesamiento CPU
» Wassap, la aplicación que permite usar WhatsApp desde la PC
SE COMENTA...
» Cómo espiar WhatsApp
595 Comentarios: Scott, Scott, Jarlinson mercy, [...] ...
» Qué hacer ante el robo de un teléfono móvil o una tableta
2 Comentarios: best buy security cameras swann, best buy security cameras swann
» Espiando usuarios gracias a la vulnerabilidad en cámaras TRENDnet
1 Comentario: Coin
» Recopilatorio de aplicaciones y sistemas vulnerables para practicar
2 Comentarios: vera rodrigez ...
» SoftPerfect WiFi Guard permite saber quién esta conectado a mi WiFi
2 Comentarios: firdous ...
SOBRE MÍ
FOTO

Prof. Claudio Enrique Alonso Alvite



» Ver perfil

AL MARGEN
Escuela de Educacion Secundaria Tecnica N 8 de Quilmes
(Técnicos en Informática Personal y Profesional)
FULLServices Network | Blogger | Privacidad