Hnet Info Netware

Hlavní okno umožňuje spouštět ostatní moduly buď pomocí lišty s tlačítky, nebo menu. Obě varianty jsou ekvivalentní.

Editor packetů
Tento modul je textovým editorem, který disponuje několika funkcemi pro zacházení s odchycenými packety a logy. Všechny ostatní moduly umožňující vytvoření logů je automaticky umístí do packet editoru. Packet editor umožňuje mimo jiné také poslání obsahu mailem pomocí protokolu SMTP.

MATRIX
Umožňuje sledovat přenos na vybraném síťovém interfacu. Umožňuje logovat všechny packety, zobrazovat real-time grafy, souhrné grafy a statistiky. Lze samozřejmně zpracovat pouze packety, které se dostanou na příslušný segment síťě. Síťový interface se při sledování síťě přepíná do promiskuitního módu, což má za následek zvětšení záťěže procesoru. Na ethernetu může takto přepnutý interface odpovídat na vadné packety (to je způsob detekce interfaců v promiskuitním módu, která se běžně používá proti hackerům).

SNMP client
Umožňuje získávat informace ze vzdálených SNMP agentů a graficky je interpretovat. Zatím neumožňuje nastavování jednotlivých položek v tabulkách. Tabulky zahrnují: tabulku síťových interfaců, ARP tabulku, tabulku IP adres, směrovací tabulku a tabulku spojení. Dále je možno získat statistiky o síťových interfacech, protokolu IP, protokolu ICMP, protokolu TCP a o protokolu UDP. Ze všech získaných informací je možno vytvořit logy.

HView
Implementuje grafické prostředí pro SMB clienta Windows, které umožňuje souhrnné procházení sítě.

Local connections
Provádí výpis všech lokálních otevřených spojení a poslouchajících portů.

Local statistics
Umožňuje získávat informace z lokálních zdrojů (IP helper) a graficky je interpretovat. Zatím neumožňuje nastavování jednotlivých lokálních tabulek. Tabulky zahrnují: tabulku lokálních interfaců, ARP tabulku, tabulku IP adres, směrovací tabulku a tabulku spojení. Dále je možno získat statistiky o lokálních interfacech, protokolu IP, protokolu ICMP, protokolu TCP a o protokolu UDP. Ze všech získaných informací je možno vytvořit logy.

Packet capture
Umožňuje zachytávat packety na zvoleném interfacu a podrobně je analyzovat. Při zachytávání packetů se síťový interface (Ethernet, FDDI) přepíná do promiskuitního módu. Pochopitelně lze zachytit pouze packety na příslušném segmentu sítě. Analýza jednotlivých packetů zahrnuje rozbor MAC hlavičky, IP a IPX hlaviček a pak pro protokol IP analýza TCP, UDP hlaviček a ICMP zpráv. Dále anylýza zahrnuje rozpoznání protokolu aplikační vrstvy podle portů a případné vyhledání a zobrazení hesel v pecketech autentizačních služeb a v protokolech POP3.

Packet generator
Umožňuje generování packetů včetně vlastní MAC hlavičky a jejich posílání na zvolený interface. Umožňuje generování většího množství těchto packetů pro simulování zátěže sítě.

HPing
Umožňuje vytvoření seznamu stanic, které budou v určených časových intervalech pingány. Umožňuje vytváření logů z jednotlivých pingů a také grafickou interpretaci doby odezvy.

Finger
Inplamentuje standardiního klienta protokolu Finger.

WhoIs
Inplamentuje standardiního klienta protokolu WhoIs.

TraceRoute
Jedná se o grafickou verzi standardního nástroje pro sledování cesty. Umožňuje též grafickou interpretaci doby odezvy jednotlivých routerů.

DNS lookup
Jedná se grafickou verzi standardního nástroje pro sledování záznamů na DNS serverech.

Scan ports
Umožňuje scanování jednotlivých portů v určeném rozsahu na vybraných hostech (také se dá určit rozsah IP adres). V případě, že na scanovaném posrtu poslouchá nějaká služba a po přopojení pošle inicializační řetězec je tento zobrazen. Zjišťuje také je-li na scanovaném počítači aktivní SNMP agent. Je-li nalezen HTTP server, je o něm zobrazeno několik dalších rozšiřujících informací.

Remote shutdown
Umožňuje provést vzdálený restart jiného počítače, je-li na tomto počítači Windows NT nebo Windows 2k. Vzdálený restart může iniciovat pouze uživatel administrator pouze z OS Windows nebo Windows 2k.

BASE64 encoder/decoder
Umožňuje zašifrovat a dešifrovat části textu pomocí systému BASE64. Tento systém se používá pro přenos řetězců po kanálech se šířkou 7 bitů a je běžně nečitelný.

Packet editor
Jedná se o běžný textový editor, který umožňuje uložení souborů jako plain text, RTF a HTML (Soubor->Uložit jako...), tisk (Soubor->Tisk) a také přeposlání obsahu mailem pomocí protokolu SMTP. K tomu je nutné mít správně nastavený SMTP server a jméno odesilatele v Nastavení. Samotné odeslání (Soubor->Poslat E-mailem) vyžaduje zadání adresy příjemce a umožňuje nastavení priority, předmětu a kopií.


MATRIX

Po vybrání adaptéru a stisknutí tlačítka start začne scanovat síť. Výsledky může zapisovat do souhrného logu (cestu k nim nastavíte na záložce log MAC vrstvy a log IP vrstvy). Na obrazovce se ukazuje jen aktuální část logu nikoliv celý. Log MAC vrstvy zaznamenává každý platný packet, který přijde na rozhraní. Log IP vrstvy zaznamenává pouze platné IP packety, které přijdou na rozhraní. Vytváří se statistika (záložka Statistika), která obsahuje IP adresy, procentuelní vyjádření podílu počítače na využití pásma a souhrné infomace o počtu packetů a bytů tohoto počítače. Vytváří se grafy: graf Počítadlo packetů souhrně ukazuje, který počítač poslal nebo přijmul kolik packetů v porovnání s ostatními. Graf přenosu dat souhrně ukazuje podíly jednotlivých počítačů na vytížení pásma. Vytváří se také real-time grafy: packety/vteřinu, který uakzuje souhrně, kolik se na scanovaný interface dostalo packetů a graf byty/vteřinu ukazuje kolik bytů prošlo scanovaným interfacem. Vytváří se také real-time graf přenosu, který zobrazuje, která stanice v součastné době nejvíce zatěžuje síť.
Při scanování se vybraný interface přepne do promiskuitního módu, takže umožňuje odchytávání všech nepoškozených packetů, které se vyskytnou na daném segmentu sítě.
Statistiku lze přenést stiskem tlačítka Editovat v editoru packetů do Editoru packetů, kde ji lze vytisknout, postal mailem, nebo uložit.


SNMP client

Po zadání adresy cílového počítače (je možno zadat IP adresu ve tvaru 192.168.1.2, MAC adresu ve tvaru AB:CD:EF:12:34:56, nebo doménové jméno) a stisku tlačítka pro start se client spojí se SNMP agentem a je-li agent aktivní a poskytne-li všechny informace, jsou pak tyto uloženy a připraveny k procházení. Procházení vybraných částí vzdáleného MIBu se provádí výběrem kategorie v levé části okna, v pravé se objevují příslušné položky ze vzdáleného MIBu. Z jednotlivých položek je možné vytvořit log, který se automaticky objeví v Editoru packetů. Je však také možné utvořit souhrný log ze všech získaných informací.


HView

Tento nástroj zobrazuje zdroje sdílené pomocí protokolu Server Message Block (SMB, Microsoft se tento protokol snaží přejmenovat na CIPE). Sdílené položky jsou rozděleny do třech kategorií: stanice, sdílené disky a sdílené tiskárny. HView je určen především k vytváření seznamů počítačů na dané síti (umožňuje vytvořit log) a souhrnému sledování počítačů a sdílených disků. U každého počítače zjistí jeho IP adresu, pracovní skupinu, do které tato stanice patří a její MAC adresu. V některých případech může selhat zjišťování MAC adresy. To se projeví tak, že se do políčka pro MAC adresu zapíše ??:??:??:??:??:?? . Stává se to především při scanování SAMBA serveru, protože ten obvykle neumožňuje vhodně zpracovat požadavek na předání MAC adresy. Každý sdílený adresář je možné otevřít dvojklikem pomocí Microsoft Exploreru.


Lokální spojení

Tato tabulka zobrazí buď všechny aktivní lokální spojení (samozřejmně jen TCP) a nebo všechny otevřené sockety (TCP i UDP) a to jak spojené, tak i poslouchajicí porty.


Lokální statistiky

Umožňuje Procházení vybraných částí lokálního MIBu se provádí výběrem kategorie v levé části okna, v pravé se objevují příslušné položky z lokálního MIBu. Z jednotlivých položek je možné vytvořit log, který se automaticky objeví v Editoru packetů. Je však také možné utvořit souhrný log ze všech získaných informací.


Zachytávání packetů

Po vybrání interfacu a stisknutí startovacího tlačítka se tento interface přepne do promiskuitního módu a začne zachytávat všechny packety, které na něj přijdou. Tyto packety se pak zobrazují v podobě seznamu, který obsahuje pořadové číslo packetu od začátku chytání, výchozí a cílovou MAC adresu, délku a čas zachycení. Dále pak pro packety, které obsahují IP hlavičku výchozí a cílovou IP adresu a pro packety, které obsahují TCP nebo UDP hlavičku zobrazí, výchozí a cílový port a jméno aplikačního protokolu, které k těmto portům přísluší.

Kompletní obsah zachyceného packetu počínaje MAC hlavičkou lze zobrazit jednoduchým kliknutím na příslušný packet. Packet lze překopírovat do editoru packetů kliknutím na tlačítko Editovat. Zachytávání packetů zachytne packet počínaje MAC hlavičkou. Synchronizační preambule, která předchází každému packetu není zachycena ani zobrazena, protože se jedná pouze o režijní záležitost přístupové metody k médiu a neobsahuje žádné relevantní informace. V případě, že by uživatel chtěl analyzovat synchronizační preambule, klidový signál, nebo poškozené rámce, doporučuji použití tzv. hardwarových chytačů packetů s vlastním softwarem.

Vybraný packet je možné podrobně analyzovat dvojklikem na něj, nebo vybráním a stiskem tlačítka Analyzuj. Po spuštění analýzy se otevře nové okno, kde se zobrazí analýza. Analýza packetů obsahuje informace, na jakém interface byl zachycen a čas zachycení. Obsahuje dále analýzu MAC hlavičky a dále rozpoznání protokolu další vrstvy. Nad MAC vrstvou umožňuje analýzu rámců linkové vrstvy: IP rámců, ARP rámců a rozpozná a vypíše obsah IPX/SPX rámců, NetBIOS a případně jiných. MAC vrstva podporuje pochopitelně Ethernet, Ethernet II i LCC. Z ARP rámce se zjistí, je li dotazem či odpovědí a pak výchozí pár MAC a IP adres a cílový pár adres.

Analýza IP umožňuje analýzu pouze IPv4 a vybírá z IP hlavičky všechny relevantní informace. Nad IP může být TCP, UDP, nebo ICMP. ICMP packety jsou rozebrány a jsou z nich zobrazeny všechny relevantní informace jako typ ICMP zprávy a případné doplňujicí parametry zprávy. TCP a UDP hlavičky jsou rozebrány na relevantní informace jako výchozí a cílový port, délka atd. Dále je pak zobrazen obsah pole uživatelských dat s případnou doplňujicí analýzou. U protokolu POP3 je v autentizačních packetech zvýrazněna část USER <uživatel> a PASS <heslo>. U packetů, které slouží k autentizaci k proxy serveru, kde je používán systém BASE64 k "zašifrování" jména a hesla jsou tyto automaticky rozšifrovány a zobrazeny. V poslední části je zobrazeno jméno protokolu aplikační vrstvy, případně nějaké další informace. Celou analýzu je možné překopírovat do editoru packetů k dalšímu zpracování - viz. Editor packetů.

Kompaktibilita softwaru je vyznačena kompaktibilitou s operačními systémy a s hardwarem, respektive s ovladači různého hardwaru na specifickém operačním systému. Obecně je software schopen běžet na systémech Windows 95 OSR2, 98, ME. Pro běh na systémech Windows 95 a Windows 95 OSR1 je potřeba do sytému přidat co nejvyšší dostupný service pack k danému systému. Software běží na systému Windows NT 4.0 a na Windows 2000. Jeho hlavním určením je právě platforma NT, takže některé funkce (konkrétně SNMP) na Windows rodiny 9x/ME nefungují.
Kompaktibilita s hardwarem je podstatná pro moduly Hnet Info Netware, které používají soubor knihoven pro přímý přístup na hardware, respektive na NDIS. Tyto ovladače jsou pojaty méně obecně a zaměřují se na běžně dostupný (domácí) hardware. Cílovými prostředky jsou tedy především Ethernetové karty, které jsou podporovány v plné šíři a to jak Ethernet 10Mbps, 100Mbps, tak i hardware pro 1Gbps. Dalším cílovým prostředkem jsou hardwarové modemy. Hardwarové modemy jsou podporovány až do té míry, jak jsou jejich ovladače kompaktibilní se standardním pojetím modemu podle příslušných norem. Ideální jsou externí modemy, u kterých výrobci nemají možnost vymýšlet žádná rozšíření, jelikož mají rozhraní předem určené. Opakem jsou softwarové modemy (tzv WinModemy), které obvykle nedodržují vůbec žádné normy a specifikace a kde modem obsahuje jen část pro převod analogového signálu na digitální, ale vlastní modem je emulován ovladačem. Silně tedy záleží na ovladačích. Tyto modemy mohou obecně způsobovat velmi mnoho problémů. Software podporuje i FDDI, ale jen omezené množství hardwaru.


Generátor packetů

Generátor packetů umožňuje posílat na vybraný interface předem nastavený počet packetů (zvolte Stálý počtet a nastavte počet packetů), nebo neomezený počet packetů (posílá packety, dokud akci uživatel nepřeruší). Obsah packetu nastavte v hlavním okénku v hexadecimální podobě a to pomocí číslic a velkých písmen A-F. Ostatní znaky jsou ignorovány. Uživatel nastavuje kompletně celý packet včetně MAC hlavičky. Měl by tedy zadat minimálně správnou MAC hlavičku (viz. aktuální RFC, popisujicí MAC vrstvu - viz. bibliografie). Druhé okénko zobrazuje zadávaný packet v ASCI a je určeno jen pro referenci. Chybně zadaná MAC hlavička může v kombinaci s paranoidní konfigurací switchů, či jiných aktivních prvků sítě způsobit výpadek daného segmentu sítě, nebo kolizní situaci na příslušném segmentu, což může mít za následek výpadek stanice, u které došlo ke kolizi. Doporučuji proto MAC hlavičku zadat se správnou cílovou i odchozí MAC adresou, pakliže není záměrem změna identity. V případě záměrného zadávání falešné MAC hlavičky doporučuji zkontrolovat aktivní prvky sítě, aby při průchodu prvního packetu s takto podvrženou MAC hlavičkou neodpojily příslušný segment sítě, nebo nepozastavily svoji činnost úplně v důsledku detekce kolizní situace.

Po stisku tlačítka Start se začnou odesílat packety na síťové rozhraní, rychlost odesílání silně závisí na driverech daného hardware a také na rychlosti procesoru a nastavení časovacích smyček jádra operačního systému. Obecně platí, že dosahuje rychlosti v řádu procent až desítek procent rychlosti síťového rozhraní (to se netýká Modemů a podobných rozhraní s velmi nízkou přenosovou rychlostí, ale především Ethernetu, nebo FDDI). Pro simulování zátěže sítě doporučuji použít k tomu určené generátory packetů, které jsou obvykle postaveny na Unix-based OS, neboť se platforma Windows obecně nehodí pro podobné aktivity. Výjimkou jsou programy, které disponují vlastními drivery pro většinu běžného síťového hardware a které tedy umožňují přímý přístup k hardware a obcházejí tedy NDIS, ale většinou se vyznačují nestabiltou, nebo minimálně nekompaktibilitou s nestandardním hardware. Za účelem testování propustnosti sítě doporučuji vyzkoušet knihovny PCap (viz. bibliografie).

Postup odesílání packetů se zobrazuje v dolní části okna, kde je vidět počet odeslaných packetů, počet packetů, které zbývá odeslat grafické vyjádření těchto hodnot. V případě, že byl zvolen nekonečný počet packetů, je relevantní pouze počet odeslaných packetů a grafická reprezentace rovněž nedává smysl.


HPing

Tento modul umožňuje vytvořit seznam počítačů, které budou periodicky pingány. Seznam se utvoří stiskem tlačítka Přidat, kdy se objeví dialog, žádajicí o adresu sledovaného počítače, dobu periody pingání a další doplňující informace pro pingnutí. Po vyplnění a zvolení Ok se záznam přidá do tabulky sledovaných počítačů. Sledování se zahájí vybráním příslušného záznamu v tabulce sledovaných počítačů a stiskem tlačítka Start. V dolní části okna se budou objevovat výsledky každého pingnutí. Je zde také možné přepnout na grafickou reprezentaci. Graf zobrazuje vždy jeden ping jako jeden vrchol grafu a graf se s časem posouvá do leva, takže je možné sledovat čas odezvy sledované stanice v minulosti a opticky ho srovnávat.


Finger

Umožňuje provést Finger dotaz a zobrazit v hlavním okénku odpověď. Finger se může spojit se serverem (běží-li na něm fingerd) a získat z něj informace o aktuálně přihlášených uživatelích (pouze při zadání adresy serveru), nebo umožňuje zobrezit relevantní informace o vybraném uživateli (při vyplnění obou políček <uživatel>@<server>, čili třeba hacker@victim.mil). Na druhou stranu většina správců fingerd obvykle zakazuje, neboť je přes něj možné získat až moc "relevantní" informace, které mohou mít pro hackery jistou hodnotu. Navíc k fingerd nevládne zrovna důvěra díky mnoha bezpečnostním incidentům způsobeným možností přetečení bufferu uvitř démona a vyvolání jeho havárie do shellu jako root (tato chyba byla odstraněna už ve verzích z roku 94, ale fingerd není již považován za bezpečný a nakonec ani potřebný). Z výše uvedených důvodů někteří správci fingerd nahrazují jednoduchou službou, která vypíše něco podobného jako "Welcome to server victim.mil, mail addreses of local users are <firstname>.<lastname>@victim.mil, for example john.hacker@victim.mil", neboť uživatelé mají ve zvyku zkoušet Fingerem zjišťovat mimo jiné také mailové adresy.


WhoIs

Tato služba internetu by teoreticky měla udržovat na několika místech na síti příslušné informace o většině serverů v celém internetu. Vzhledem k náročnosti tohoto úkolu je služba WhoIs více méně nepoužitelná a nemá obvykle žádnou informační hodnotu. Většina WhoIs serverů má nějaké informace o serverech jako altavista.com, ale těžko bude vědět o něčem méně významném.


Trace route

Trace route je grafickou implementací tohoto známého nástroje, takže funkci ani účel není nutné vysvětlovat. Po nastavení cíle, maximálního počtu přeskoků a timeoutu k jednotlivým uzlům se sledování cesty spustí stiskem tlačítka Start. Nejdříve dojde k pingu cíle a je-li od cíle odezva do timeoutu, začne trasování cesty. Do spodní části okna se vypisují jednotlivé přeskoky a jejich časy. Vytváří se také graf, který zobrazuje čas potřebný k dosažení jednotlivých gateway (routerů). Nutno dodat, že masqueradující brány se chovají obvykle jako dva přeskoky.


DNS lookup

DNS lookup je grafickou implementací známého nástroje, takže funkci ani účel není nutné vysvětlovat. Po zadání DNS serveru, dotazované domény a typu dotazu se spustí dotaz stiskem tlačítka Jeď a výsledek se zobrazí v dolní části okna.


Scaner portů

Scaner portů umožňuje scanovat jednotlivé TCP porty na vybraných stanicích (i rozsahu IP adres). Je nutné nastavit počáteční a konečnou IP adresu rozsahu. V případě scanování jediného počítače se do obou okének nastaví stejná adresa. Pak je nutné nastavit rozsah portů a stisknout Start. Scanovaný počítač bude nejdříve pingnut, pak bude vyzkoušeno spojit se s ním pomocí protokolu SNMP aby se zjistila přítomnost snmpd a pak budou scanovány jednotlivé porty z rozsahu. V dolní části se zobrazue pouze výsledek scanu SNMP a pak porty, na kterých se poslouchá, nebo komunikuje. U poslouchajicích portů se zobrazí také inicializační řetězec, který server pošle po spojení a který může napovědět verzi serveru a jiné informace. U vybraných portů, jako třeba 80 (HTTP) se zobrazují ještě doplňujicí informace v položce Další informace. Nicméně tyto informace se získávají přímým dotazem na serveru a v mnoha případech nemusí být server nastaven tak, aby byl ochoten a schopen tyto informace poskytnout.

Nástroj se dá použít k detekci portů, které jsou otevřené zbytečně a mohou posloužit hackerům k průniku. Mimo to také poskytuje jakési souhrné info o možnostech servrerů a jejich bezpečnostní politice. Poznámka: OS Windows 9x, ME nepodporují SNMP a není tedy možno z těchto OS detekovat SNMP na vzdáleném počítači, tento fakt je v aplikaci indikován příslušnou hláškou. Jediné OS z rodiny Windows, které podporují plně SNMP jsou WindowsNT 4.0 a Windows 2000.


Vzdálené vypnutí

Umožňuje provést restart vzdáleného počítače, běží-li na něm Windows NT 4.0, nebo Windows 2000. K provedení resetu můsíte však mít i Vy na svém počítači Windows NT 4.0, nebo Windows 2000, jelikož rodina Windows 9x/ME nepodporuje posílání požadavků na vzdálený restart a ani takovéto požadavky nepřijmá. K provedení restartu vzdáleného počítače, splňujete-li výše uvedené podmínky na OS stačí vybrat počítač, a zvolit, zda-li chcete násilím restartovat, nebo ukončit před restartem všechny úlohy, zadat zprávu, která se objeví před restartem na vybraném počítači a zadat dobu, po kterou bude tato zpráva zobrazena. Po stisku Ok se provede restart vzdáleného systému. Restart vzdáleného systému je možné do jistého okamžiku zastavit stiskem Storno.


BASE64 kódovač

BASE64 kódovač/dekódovač

Umožňuje zakódovat/dekódovat části textu pomocí systémů BASE64. Stačí zadat text do Zdroje a stisknout buď tlačítko pro zakódování, nebo tlačítko pro rozkódování a výsledný text se objeví v Cílovém okénku. BASE64 je systém původně vyvinutý pro přenos dat po kanále s šířkou 7bit místo 8bit. Vyznačuje se tím, že zakódovaná data jsou člověkem nečitelná a tak se začal používat tam, kde není nutná bezpečnost, ale tam, kde je vhodné, aby si kódovaný text nepřečetl náhodný člověk čuchajicí po síti. Používá se třeba na znečitelnění autorizace pro některé proxy servery, které vyžadují autorizaci. Je také součástí standardu MIME.


Packet editor

Jedná se o běžný textový editor, který umožňuje uložení souborů jako plain text, RTF a HTML (Soubor->Uložit jako...), tisk (Soubor->Tisk) a také přeposlání obsahu mailem pomocí protokolu SMTP. K tomu je nutné mít správně nastavený SMTP server a jméno odesilatele v Nastavení. Samotné odeslání (Soubor->Poslat E-mailem) vyžaduje zadání adresy příjemce a umožňuje nastavení priority, předmětu a kopií.


Bibliografie a doporučená literatura

Libor Dostálek, Alena Kabelová: Velký průvodce protokoly TCP/IP, DNS Computer press 2000, ISBN 80-7226-323-4

Pavel Šmrha, Vladimír Rudolf: Internetworking pomocí TCP/IP Kopp 1995, ISBN 80-85828-09-X

William R. Cheswick, Steven M. Bellovin: Firewally a bezpečnost v Internetu aneb jak zahnat lstivého hackera Science 1998, ISBN 80-86083-01-2

Luboš Dobda: Ochrana dat v informačních systémech Grada 1998, ISBN 80-7169-479-7

Fedor Kállay, Petr Peniak: Počítačové sítě a jejich aplikace Grada 1999, ISBN 80-7169-407-X

http://www.iana.org (zde jsou publikovány kompletní up-to-date RFC a mnoho dalších relevantních dokumentů)
http://www.nic.cz
http://www.rsasecurity.com
http://www.pgpi.org
http://www.att.com
http://www.nsa.gov
http://www.berkeley.edu