Ettercap - Sniffer per ambienti switchati

L'impossibilità di analizzare traffico con sorgente e destinazione diversi da quelli locali è una tipica limitazione degli sniffer normali quando vengono utilizzati in ambienti switchati, dove, cioè, lo switch di rete provvede ad inoltrare su ogni singola porta solo i pacchetti per gli host direttamente connessi alla porta stessa, oltre ai broadcast che vengono propagati a tutte le porte (o quantomeno a tutte le porte della stessa VLAN).

Ettercap, sviluppato da due programmatori italiani, è uno sniffer evoluto che permette di sniffare tutto il traffico anche in reti in cui è presente uno switch, con una attività di arp cache poisoning (vengono mandate arp reply finte, che associano il mac address della macchina su cui gira ettercap agli IP sorgente e destinatario, rispettivamente al destinatario e al sorgente), tramite la quale si frappone fra macchine ignare e la macchina bersaglio (che può essere un server o il default gateway di una rete).
Ettercap inoltre offre una serie di feature che fanno la gioia di ogni hacker:
- SSH 1 e HTTPS password sniffing;
- Password collection per una moltidutide di protocolli;
- OS fingerprinting per il riconoscimento dei sistemi operativi sugli Host trovati in rete;
- Possibilità di killare una connessione o inserire caratteri estranei;
- Supporto di plugin vari che a loro volta presentano features quali DNS spoofing, PPTP sniffing,

INSTALLAZIONE
./configure
make
make install
make plug-ins
make plug-ins_install
Il binario ettercap è copiato di default in /usr/local/sbin

USO
All'avvio di ettercap esegue un rapido scan degli host presenti nella rete locale (viene fatto un aarp request per ogni IP della rete e non un semplice ping a tutti gli IP o al broadcast) e ne presenta una lista a video.
Su questa lista è possibile selezionare gli IP sorgenti e destinatari da monitorare e si possono visualizzare le molteplici potenti opzioni con il tasto h.
Esistono diverse modalità di sniffing: IP based (s), MAC based (m) e ARP poisoning based (a), quella più devastante, in grado di sniffare in ambienti switchati.
Sempre dalla finestra principale, in cui si visualizzano tutti gli IP in rete è possibile identificare i sistemi operativi utilizzati ((f)), fare puro Arp poisoning senza sniffare (j), creare pacchetti custom (x), eseguire uno dei tanti (potentissimi) plugin distribuiti con il tarball ufficiale (p), fare uno scanning passivo, basandosi solamente sugli host per cui c'è traffico (o) controllare se ci sono in rete altri arp cache poisoners (c, notare che sulle macchine bersaglio è possibile accorgersi che qualcosa non va con il semplice comando arp e cercando se esistono diversi IP in rete con lo stesso MAC address).
Tutte queste opzioni a loro volta aprono una successiva finestra che può presentare dei comandi specifici. Utilizzare sempre h per un HELP e q per tornare alla finestra precedente.

Privacy Policy