  | 
 |           
Те, кто имеет отношение к сетевой безопасности, наверняка знают слова вроде "спуфинга", "сниффинга" и прочих
хакингов нетворкинга :-) Достаточно эффективным средством в взломе сетей был (и остается)
этот самый "сниффинг" - "прослушивание" сегмента локальной сети в поисках паролей - не секрет, что 
пароли для telnet, ftp, pop3, и много чего еще, передаются открытым текстом, и потому легко вылавливаются
в общем траффике сети. 
           
До сих пор я считал, что засечь "сниффера" в локалке невозможно - как узнать, что кто-то слушает
сеть, если сам он при этом ничего не говорит? Оказывается,
это не всегда так. Хакерской группой l0pht heavy industries выпущен антисниффер - программа, обнаруживающая прослушивание сети. Принципы используются самые разные.
Например, синтезируются пакеты с "фальшивыми" адресами, и проверяется, не ломанулся ли кто-нибудь
к DNS, выяснять соответствие адреса циферками адресу буковками. Или сеть "заваливается"
потоком левых пакетов, и на их фоне анализируется время реакции машин в сети -
машина, перегруженная анализом пакетов, будет заметно тормозить. 
Плюс - специфические для отдельных систем тесты, в которых слушающую машину
провоцируют признаться, что она всех слушает :-) 
           
Для линукса, например, создается корректный icmp echo request, "завернутый" в кадр ethernet 
на "левый" адрес. При обычных условиях такой кадр просто не доходит до системы, фильтруясь внутри
сетевой карты, в случае же запущеного сниффера - линукс сам "сдает" себя, генерируя icmp echo reply. 
Аналогичные, хотя и чуть более запутанные игры с "почти некорректными" кадрами работают 
в случае NetBSD и Windows 9x/NT. 
           
Впрочем, спастись от обнаружения антисниффером несложно - достаточно кусачками перерезать 
"передающие" провода у витой пары. В этом случае что бы там система со сниффером не делала -
ее не будет слышно, и ее, соответственно, нельзя будет обнаружить. 
Но не каждый, способный разобраться в ключах tcpdump, рискнет кусать витую пару на офисной машинке :-)
Тем более, что не каждый знает, что сниффинг теперь можно обнаружить. Я, например, не знал.
 |  |   
 |   |