Sniffers

qBSD Packet Filter (BPF):

1 Facilidade para capturar pacotes em espaço de usuário, permitindo o uso de estações de trabalho para monitoramento da rede de forma eficiente.

libpcap:

1 Interface independente de sistema para capturar pacotes em user-level que suporta mecanismos de filtragem baseados em BPF.

1 tcpdump e Ethereal são os principais sniffers que a suportam.

Sniffers são softwares que capturam o tráfego de rede, extremamente úteis para que o administrador possa depurar problemas e analisar o tráfego.

Quando um quadro é enviado por um determinado host em uma rede Ethernet, ele pode ser capturado por outros hosts, mesmo que esses hosts não sejam o destino desse quadro. Basta configurar a interface de rede no modo promíscuo, que ela processará não apenas os quadros enviados para o endereço físico da interface, mas também qualquer outro quadro no barramento. Para que seja possível capturar pacotes, eles devem atravessar o mesmo meio físico em que o host está conectado. Em geral, a forma mais simples de se fazer isso é através da utilização de um hub.

Antes de falarmos dos principais sniffers, iremos verificar uma funcionalidade disponível no kernel dos principais Sistemas Operacionais: o Berkeley Packet Filter (BPF).

BPF

O BPF é uma facilidade para capturar pacotes em espaço de usuário (user-level), permitindo o uso de estações de trabalho para monitoramento da rede de forma eficiente. Como monitores de rede rodam no espaço de processos user-level, os pacotes devem ser copiados para um limite permitido, para que possam ser manipulados pelos monitores. Essa cópia é feita por um agente do kernel chamado packet filter. O BPF permite que essa cópia seja feita de forma muito eficiente, já que não funciona sobre a pilha de protocolos TCP/IP como os antigos packet filters, mas sim baseado num novo registro e com um bom sistema de área de armazenamento (buffer) que permite que seja muitas vezes mais rápido.

libpcap

Interface independente de sistema para capturar pacotes em user-level, que suporta mecanismos de filtragem baseados em BPF. A seguir, veremos os principais sniffers que suportam a libpcap, como o tcpdump e o Wireshark.

tcpdump

qImprimir todos os pacotes na interface eth1 sem resolução de nomes de hosts e portas:

# tcpdump -n -i eth1

Imprimir todo o tráfego entre a rede local e a rede 192.168.0.0/24

# tcpdump dst net 192.168.0.0/24
O que são sniffers e como o modo promíscuo da interface de rede contribui para a captura de pacotes em uma rede Ethernet?