Sniffers

[Cybex]

Bestaat er ook een tool om netwerksniffers te vinden op een lan? Ook wil ik graag weten of het mogelijk is om het onmogelijk te maken voor een sniffer om een aantal computers te sniffen. Ik heb een aantal ARP adressen al statisch ingesteld, maar da's een beetje simpele oplossing, nietwaar?

[Verwijderd]

Volgens mij wordt dat lastig, aangezien sniffers niets versturen. Als je een switched omgeving hebt en toegang hebt tot de switches kan je het wel redelijk controleren. Er moet immers eerst een span poort worden geconfigureerd alvorens er goed "ge-snift" kan worden.

[KnoppenSpook]

De sniffer die ik gebruik, kan je nooit achterhalen volgens mij. EtheReal icm WinPCap, Via deze combinatie kan ik alle data zien die langskomt. WinPCap is zegmaar een soort driver die alle info krijgt van de netwerk kaart alvorens het naar Windows verstuurt wordt.

Of bedoel je gewoon een poort scanner??

[Verwijderd]

Google?
Het kan dus zeker wel.

Een switch ipv een hub lost ook alle sniffer problemen op.

[ Voor 27% gewijzigd door Verwijderd op 13-03-2003 09:36 ]

[mvdejong]

Om als sniffer te kunnen dienen moet op het systeem de netwerk-kaart in "promiscuous mode" worden gezet. Een netwerk-kaart geeft gewoonlijk alleen maar pakketjes aan de TCP-protocol-laag door die op de Ethernet-protocol-laag gericht zijn aan het eigen MAC-adres, of broadcast zijn. De "promiscuous mode" zorgt ervoor dat alle pakketjes worden doorgestuurd. Bij sommige kaarten en/of drivers kan dit van buitenaf worden gedetecteerd.

[Cybex]

@herion: Ik had zeker wel gezocht op google. Alleen niet met het woordje "detect". Ik zocht op anti sniffer ed. Daar vindt je zeer weinig mee! Bedankt voor de tip, ik ga het uitzoeken!

De anderen ook bedankt natuurlijk, ik ga met deze informatie aan de slag!

[Koffie]

Move PNS > NT

[Die Bruine]

Ik geef half antwoord.

Zo een tool bestaat, ken me alleen de naam niet herinneren. Ik draai geen linux, en dat was een linux tool.

Onzichtbaar maken lijkt mij onmogelijk. Jouw pc kan niet communiceren zonder dat er bv data geaccepteerd wordt. Als je niet wilt dat mensen kunnen zien wat jij doet, zul je een tunnel moeten bouwen. Zoniet, heb je een probleem. Elke switch kan voorzover ik weet al het verkeer naar een specifieke poort herleiden.

[DiedX]

Die bestaat zeker wel. Zoals eerder aangegeven: je kaart moet in promisc mode staan, en DIE valt te detecteren.

http://www.atstake.com/research/tools/index.html... Die hebben een $$$ tooltje ervoor.

[ Voor 12% gewijzigd door DiedX op 13-03-2003 10:32 . Reden: L0pth.com bestaat niet :) ]

[Cybex]

Jongens, ik heb gezocht op internet en ben tot de volgende conclusie gekomen:
Van hub naar switch helpt alleen tegen promiscuous sniffers. Maar tegen ARP spoofing begin je nog steeds niets. Op internet kan ik alleen sniffers scannen die in promiscuous mode staan. Iemand een idee hoe je jezelf tegen ARP spoofing wapent?

[PolarBear]

Tja veel meer dan statische ARP entries en het gebruik van een switch kan je niet doen. Als je veilig netwerkverkeer wil zal je toch een beveiligde verbinding moeten gebruiken, hetzij via een VPN, hetzij via SSH/SSL etc.

[Predator]

Heb je ook wel eens gezocht
-> Sniffers opsporen, wat is het beste programma?

Zoals in dat topic staat heb ik die zogenaamde detectie tools ook eens getest en is die meuk helemaal onbetrouwbaar...

[Bor]

Verwijderd schreef op 13 March 2003 @ 09:36:
Google?
Het kan dus zeker wel.

Een switch ipv een hub lost ook alle sniffer problemen op.

Totaal niet waar. Via arp-poisoning kun je prima in een switches omgeving sniffen.


Ook de promiscius mode detector van een paar berichten naar beneden werkt niet in alle gevallen.

[DiedX]

Predator schreef op 13 March 2003 @ 20:33:
Zoals in dat topic staat heb ik die zogenaamde detectie tools ook eens getest en is die meuk helemaal onbetrouwbaar...

Interessant! Nooit geweten dat het zo werkte

[Tazzy]

Er zijn 3com switches die een soort van "firewall" in zich hebben... de poort waar de gebruiker aan zit staat voor een groot deel dicht en gaat pas volledig open nadat er ingelogd is op bijvoorbeeld je W2K server. Modellen weet ik even niet meer maar dat moet wel op te zoeken zijn.

[Cybex]

Is het niet belachelijk dat ze (de experts) hier niet een keer mee aan de slag gaan? Dit is op het moment toch wel de grootste beveiligingslek op (intra)netwerken? Je kan je er blijkbaar niet tegen beveiligen... Lekker...

[Verwijderd]

mischien word je hier wat wijzer van

http://www.robertgraham.com/pubs/sniffing-faq.html