Más
de uno pensará que es imposible, ya que un sniffer es
aparentemente un software "pasivo". Solamente escucha y no modifica
ningún paquete. Ahora bien, para que un sniffer pueda
funcionar de manera eficiente, resulta necesario que la placa de red
del equipo donde se encuentra instalado funcione en "modo
promiscuo".
Esta modalidad permite a la placa de red poder recibir todos los
paquetes que circulan en la red, independientemente de si están
destinados o no a ella. De aquí se desprende que si un equipo tiene
su placa funcionando en modo promiscuo, muy posiblemente se
encuentre ejecutando un sniffer.
¿Cómo detectamos una placa
en “modo promiscuo”? Eso es fácil y lleva sólo unos minutos. Para
hacerlo podemos utilizar, por ejemplo, la herramienta Cain
(http://www.oxid.it) que, además de ser un sniffer de
contraseñas, posee una serie de herramientas entre las que se
encuentra un escáner de placas en modo promiscuo. Los pasos son los
siguientes:
-
En el Cain, ir a la pestaña "Sniffer".
-
Activar el sniffer de Cain haciendo click en el botón que
tiene la forma de una placa de red.
-
Dar click en el botón que tiene un signo +.
-
En la ventana MAC Address Scanner seleccionar "All hosts in my
subnet" y tildar la opción "All Tests".
-
Dar click en OK.
En
este punto, Cain comenzará a recorrer nuestra subnet para
obtener las direcciones MAC de los dispositivos conectados a ella.
Se realizarán varios tests para obtenerlas, por lo que el proceso
puede tardar un tiempo considerable de acuerdo a la clase de la
subnet.
Al
finalizar, tendremos la lista completa de direcciones MAC ordenadas
por dirección IP. Veremos que tenemos una serie de columnas llamadas
B31, B16, B8, Gr, M0, M1, M3, cada una correspondiente a un test
distinto de scanning de dirección MAC. Las placas que estén en
modo promiscuo tendrán un asterisco en las columnas B31, B16 y M1.
Las placas que estén en modo normal tendrán un asterisco en las
columnas B16 y M1.
En
la Parte 2 veremos cómo detectar sniffers que estén
realizando ARP Poisoning (método de sniffing para redes con switches).
Referencias:
Cain & Abel 2.8 Help
"Detection of promiscuous nodes using ARP Packets" - Daiji Sanai
