LAN'da bir NIC karışık modda olduğunu nasıl öğrenebilirim?
DNS testi - birçok paket koklama aracı, IP adresleri yerine DNS adları sağlamak için ad aramalarına IP adresi uygular. Bunu test etmek için, ağ kartınızı karışık moda yerleştirmeniz ve sahte ana bilgisayarları hedefleyen ağa paketler göndermeniz gerekir. Sahte ana bilgisayarlardan herhangi bir ad araması görülürse, ana bilgisayar üzerinde arama gerçekleştiren bir dinleyici etkin olabilir.
ARP Test - Karma moddayken, ağ kartı sürücüsü tek noktaya yayın paketleri için MAC adresinin ağ kartında olup olmadığını denetler, ancak yalnızca MAC adresinin ilk sekizlisini 0xff değerine göre denetler paketin yayınlanıp yayınlanmadığını belirleyin. Bir yayın paketinin adresinin ff: ff: ff: ff: ff: ff olduğunu unutmayın. Bu kusuru test etmek için, MAC adresi ff: 00: 00: 00: 00: 00 ve Ana Makinenin doğru hedef IP adresi olan bir paket gönderirseniz. Bir paket aldıktan sonra, hatalı sürücüyü kullanan Microsoft OS, karışık moddayken yanıt verecektir. Muhtemelen sadece varsayılan MS sürücüsü ile olur.
Ether Ping testi - Eski Linux çekirdeklerinde, bir ağ kartı karışık moda yerleştirildiğinde, her paket işletim sistemine aktarılır. Bazı Linux çekirdekleri işlenip işlenmeyeceğini belirlemek için yalnızca paketlerdeki IP adresine baktı. Bu kusuru test etmek için sahte bir MAC adresi ve geçerli bir IP adresi içeren bir paket göndermeniz gerekir. Ağ kartları karışık modda olan savunmasız Linux çekirdekleri yalnızca geçerli IP adresine bakar. Yanıt almak için sahte paket içinde ICZ yankı isteği iletisi gönderilir.
Belki daha fazlası var, benim için DNS testi en güvenilir
@vp teoriyi verdi, bazı araçlar vereceğim.
Linux sistemlerinde kullanım için:
Ayrıca:
nmap: nmap için sniffer-tespit.nse adında bir NSE betiği vardır.
nast: ARP testi yaparak diğer bilgisayarları karışık modda algılar.
ptool: ARP ve ICMP testi yapar. Son taahhüt 2009'da idi .
Windows sistemleri için:
Genel tespit tekniklerine gelince, bal küpü tespit denilen başka bir tane daha var. Gecikme testi ve bal küpü tekniği ile ilgili detaylar sniffdet'in dokümantasyon bölümünde bulunabilir.
Tespit edebileceğinizi garanti edemezsiniz.
Örneğin, koklama bilgisayarının TX + (pin 1) ve TX pin 2) ilmeklerini kullanarak kolayca salt okunur bir ethernet kablosu yapabilir, ardından TX + (pin 1) 'i RX +' ya (snifferın pin 3'ü) ve TX- (pim 2) ila RX- (dinleyicinin pim 6). Bu durumda, koklama yapan bilgisayarın ağ üzerindeki herhangi bir veri trafiğini etkilemesi imkansız olacaktır.
Bir voltaj düşümü veya RF emisyon (--- (Van Eck phreaking çizgileri boyunca) tespit etmek mümkün olabilir, ancak herhangi bir COTS donanımının farkında değilim tespit edin.
Yerel ağın yerel ağ trafiğini karışık bir şekilde koklayıp kokmadığını belirlemek her zaman mümkün olmasa da, bunu yapan paket yakalama uygulamalarının çoğunu veya tümünü çökertmek mümkün olabilir.
Bir başlangıç noktası için Samy's http://samy.pl/killmon.pl komut dosyasına göz atın. 2011'de çalışan uygulamaların çoğunun, çökme bellek erişim ihlali (veya arabellek taşmasına neden olan bir okuma/yazma istisnası) olarak savunmasız olmasa bile, en az bir DoS kilitlenme saldırısına karşı savunmasız olduğunu unutmayın.
Ping yanıt sürelerindeki farklılığa bakarak bunu güvenilir bir şekilde algılayan bir araç olduğuna inanıyorum. Araç aynı IP adresine ping gönderir ve aynı zamanda farklı MAC adreslerine sahip çok sayıda ping gönderir.
Araç çalışır çünkü karışık moddaki kartlar CPU'ya tüm trafiği geri döndürür, bu nedenle CPU'ya çok fazla paket varken, orijinal pinglere yanıtı yavaşlatır. Normal moddaki bir kart, farklı MAC adreslerine sahip tüm paketleri yok sayar, böylece yanıt süresinde bir fark olmaz.
Birisi aracın adını ekler