Intro Con il termine "sniffing di una reindirizzazione" s'intende la possibilità di reindirizzare l'output di un'applicazione in esecuzione su un host remoto, attraverso una porta locale del proprio sistema, verso un server di Rete in modo da poterne sniffare il traffico dati trasferito tra i due sistemi connessi tramite la nostra reindirizzazione.

Parte teorica:


Vediamo ora un esempio che possa chiarire quanto detto:

Session Start: Tue Feb 06 12:40:41 2001
(E4zy)  ciao
(E4zy)  come va con la tipa Neu? =)
(E4zy)  scherzo....
(Neu)  ci conosciamo?
(E4zy)  no
(Neu)  rettifico
(Neu)  ci siamo gia' parlati?
(E4zy)  no
(E4zy)  =)
(Neu)  e che ne sai della tipa?
(E4zy)  eheh
(Neu)  eheh
(Neu)  continuo a non capire
(E4zy)  non ha importanza....
(E4zy)  meglio così
(Neu)  fossi reef
(Neu)  che si diverte a fare sti scherzi
(E4zy)  no...
(E4zy)  bastava leggere la query =)
(Neu)  leggere la query
(Neu)  azz
(Neu)  qui c'e' uno smanettone
(Neu)  :)
(E4zy)  era una prova
(E4zy)  cmq adesso posso dire che funzia
(Neu)  bravo
(Neu)  non ho altre parole
(E4zy)  ti saluto....bye
(Neu)  ciaoz
::: Neu has left IRC (QUIT: ciao a tutti... un esame mi attende)
Session Close: Tue Feb 06 12:50:19 2001

Il log riportato qui sopra è un esempio del risultato di una delle tante applicazioni di questa tecnica, è stato possibile leggere la query tra Neu e Luc|pheR in quanto quest'ultimo era connesso al server IRC tramite una reindirizzazione, ovvero il traffico in uscita dal suo PC passava attraverso una porta del mio PC dove veniva sniffato e veniva successivamente reindirizzato sul server in maniera a lui del tutto invisibile.
Questo mi ha permesso di sniffare il traffico sulla porta su cui reindirizzavo la sua connessione ottenendo in questo modo anche il contenuto dei messaggi ricevuti ed inviati da Luc|pheR, ricavando informazioni riguardanti lui stesso e gli altri con cui parlava (in questo caso informazioni personali di Neu).
Riporto qui di seguito il risultato dello sniffing del traffico in ingresso, ovvero i messaggi ricevuti da Luc|pheR da parte di Neu che mi hanno permesso di ricavare tali informazioni:

:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :stavo cercando di capire chi fossi
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :oggi e' giornata
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :hai presente
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :il sito che ti ho dato prima
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :una tipa
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :afrodit mi ha invitato a giocare a pool
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :ho accettato
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :la prima cosa che mi ha detto e' stata
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :"sali"
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :????
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :ho pensato
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :ho lasciato satare
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :poi mi ha detto, in tedesco`
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Luc|pheR!~oo@62.98.80.bg994= PART #H@ck|n'T|m3
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :che le era piaciuto stare con l'altra notte
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :al che
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :le ho detto che il tedesco non lo capivo tanto bene
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :cosa?
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :certo che no
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :magari...
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :no no
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :non la conoscevo neanche
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :peccato :)
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :cmq
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :come risposta sai cosa ha detto? (in italiano)
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :NULLA
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :ha ciuso la sessione
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :maleducata
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :gia
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :non sa chi si e' peso
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :ehehehehehe
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :perso
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:irc.libero.it 421 Luc|pheR getlag :Unknown command
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :chiudiamo la query che dici?
:Neu!neugent@=sUNlfRXu.univaq.it PRIVMSG Luc|pheR :buon buon
ERROR :QUIT: 12Fate 14X

Allo stesso modo è possibile sniffare i messaggi in uscita, ovvero quelli inviati dalla vittima della reindirizzazione. Facile non è vero?

Parte pratica:


Prima di tutto avete bisogno di un programma che reindirizzi tutto il traffico in ingresso su una porta della vostra macchina verso un sistema remoto su una determinata porta e viceversa.
Per fare ciò avete bisogno di un port listener che offra tali possibilità e di un programma in grado di monitorare il traffico in ingresso e in uscita su una determinata porta.
Per semplificare l'operazione consiglio l'utilizzo del programma SkyProxy (http://skd.box.sk/), che racchiude tali funzioni in un unico programma dalla semplice interfaccia.
Basterà a questo punto indicare al programma la porta locale che si intende mettere in listening (sarà questa la porta a cui la vittima si dovrà connettere), l'indirizzo ip o l'hostname del server a cui si desidera reindirizzare il traffico in arrivo sulla porta locale e la relativa porta, i file su cui verrà registrato il traffico di input e di output sulla porta locale.
A questo punto vi domanderete: come faccio a far connettere la vittima tramite il mio PC?
Qui entra in gioco il social engineering ovvero il lato più creativo di ognuno di voi, stà a voi trovare il metodo che ritenete più opportuno: potete dire che si tratta di uno dei tanti server linkati, insomma stà alla vostra fantasia, più in gamba è la vittima che vi trovate di fronte e tanto più convincente dovrà essere la scusa.
Non vi resta quindi che trovare la vostra vittima e con il social engineering spingerlo a stabilire una connessione con il vostro ip sulla porta locale messa in listening dallo SkyProxy, a quel punto non vi resta che attendere che la vittima sia connessa e che la parte client e server incomincino a comunicare. Come già detto in precedenza questa tecnica si presta ad essere usata in molteplici situazioni, riporto qui di seguito qualche esempio.

Esempi pratici:
1) IRC sniffing

porta locale: 6667
connect: <Ip_IrcServer>
port: 6667

dove per <Ip_IrcServer> si intende l'ip address o l'hostname del server irc al quale si desidera reindirizzare la vittima.
In questo modo sarete in grado di sniffare la sessione di chat della vittima e delle persone che chattano con esso.

2) Pop3 sniffing

porta locale: 110
connect: <Ip_Pop3Server>
port: 110

dove per <Ip_Pop3Server> s'intende l'ip address o l'hostname del server pop3 (posta in arrivo) al quale si desidera reindirizzare la vittima, possibilmente il server pop3 fornito dall'abbonamento della vittima, in modo che essa riesca a fare login su di esso e vi fornisca in questo modo username e password. Spero che non serva che vi spieghi come utilizzarle =) Un paio di suggerimenti: una volta che avete l'userid e password del pop3 oltre a poter leggere la posta della vittima non vi sarà difficile risalire ai suoi dati (compresa città, via, numero di telefono, etc.), basterà visitare la pagina del suo provider e fare login nell'area membri.

Alcuni consigli:
Se fate del social engineering su IRC usate un sock in modo che la potenziale vittima non veda che l'ip address che gli state proponendo sia in realtà il vostro.
Inoltre se dovete sniffare le query di una data persona non è necessario che reinstradiate la sua connessione ma potrete usare qualcun altro a tale scopo: reinstradare la connessione di qualcuno che notoriamente parla spesso con la persona che desiderate sniffare, in questo modo potrete in ogni caso ricevere i messaggi inviati da quest'ultimo. Come nell'esempio, è stato possibile sniffare i messaggi di Neu nonostante non fosse lui la vittima diretta della reindirizzazione.