THC-dut is een kader voor de analyse van het netwerkverkeer. THC-dut project kan als sniffer of netwerk gebaseerd systeem van de binnendringenopsporing worden gebruikt.

Het zal op het netwerkverkeer letten en zal kleine programma's („aanhalen modules“ of „protocoldissectoren“), die gemakkelijk in een manuscripttaal worden geschreven, om informatie van de gegevens te verzamelen.

De mogelijke toepassingen voor THCsnooze strekken zich van het eenvoudige en geavanceerde snuiven uit aan passieve netwerk controle. Het is mogelijk om modules te schrijven die een verbinding zullen volgen tot succesvolle login voorkwam. Of u kunt controleren als een cliënttoepassing met verbindingen een ssl toegelaten server (onzekere) SSLv2 vestigt.

Het krijgen begon:

Zo, u willen veronderstellen schrijven een module voor dut en u niet het protocol kent. (ik zal goed deze stappen op - bekend protocol zo zijn misschien gemakkelijker illustreren om te begrijpen waarom wij deze stappen doen).

Eerst wij sommige te analyseren steekproefgegevens nodig hebben. Wij maken een copie van dump_tcp.lua de eerste lijn indienen en veranderen om aan onze behoeften tegemoet te komen:

„-- : xxx_no_proto: 1: TCP: “ aan „-- : xxx_no_proto: 21: TCP: “

Wij beginnen gedut:

# dutte - I en0 - de modules van M - B - c t0 - D 10
THCsnoozed-0.0.6 door THC
ZUIVER: ladings modules…
…

Nadat wij kregen snoven één of twee verbindingen en sloegen wij ophouden met dutten op. Nu, kunnen wij gebruiken hxdmp om de logboeken (goed, kunt u uw favoriete tekstredacteur gebruiken om te doen dat) te bekijken:

$ ./hxdmp - c t0/127.0.0.1 _31231_ 127.0.0.1 _21_0001.complete
hxdmp - THCsnooze hexdump door THC

00000000 32 32 30 20 6c 6f 63 61 6c 68 6f 73 74 20 46 54 | 220 plaatsen lhost voet
00000010 50 20 73 65 72 76 65 72 20 28 74 6e 66 74 70 64 | P server (tnftpd
00000020 20 32 30 30 35 30 31 30 31 29 20 72 65 61 64 79 | 2005010 klaar 1)
00000030 2e 0d 0a 55 53 45 52 20 67 75 65 73 74 31 0d 0a | … GEBRUIKER guest1.
00000040 33 33 31 20 50 61 73 73 77 6f 72 64 20 72 65 71 | 331 het woord van de pas req
00000050 75 69 72 65 64 20 66 6f 72 20 67 75 65 73 74 31 | uired FO r guest1
00000060 2e 0d 0a 50 41 53 53 20 41 41 41 41 0d 0a 32 33 | … PAS AAAA..23
00000070 30 2d 0d 0a 53 59 53 54 0d 0a 46 45 41 54 0d 0a | 0-. .SYST. .FEAT.
00000080 50 57 44 0d 0a 20 20 20 20 57 65 6c 63 6f 6d 65 | DOW. Welkom
00000090 20 74 6f 20 42 6f 78 30 30 31 21 0d 0a 32 33 30 | aan Box0 01!. .230
000000a0 20 55 73 65 72 20 67 75 65 73 74 31 20 6c 6f 67 | Het logboek van de gebruiker gu est1
000000b0 67 65 64 20 69 6e 2e 0d 0a 32 31 35 20 55 4e 49 | ged binnen. .215 UNI
000000c0 58 20 54 79 70 65 3a 20 4c 38 20 56 65 72 73 69 | X Type: L8 Versi
000000d0 6f 6e 3a 20 74 6e 66 74 70 64 20 32 30 30 35 30 | op: tnft pd 20050
000000e0 31 30 31 0d 0a 32 31 31 2d 46 65 61 74 75 72 65 | 101..211 - Eigenschap
000000f0 73 20 73 75 70 70 6f 72 74 65 64 0d 0a 20 4d 44 | s suppor ted. M.D.
00000100 54 4d 0d 0a 20 4d 4c 53 54 20 54 79 70 65 2a 3b | TM. MLS T Type*;
00000110 53 69 7a 65 2a 3b 4d 6f 64 69 66 79 2a 3b 50 65 | Size*; Mo dify*; Pe
00000120 72 6d 2a 3b 55 6e 69 71 75 65 2a 3b 0d 0a 20 52 | rm*; Uniq ue*;. R
00000130 45 53 54 20 53 54 52 45 41 4d 0d 0a 20 53 49 5a | EST STRE AM. SIZ
00000140 45 0d 0a 20 54 56 46 53 0d 0a 32 31 31 20 45 6e | E. TVFS. .211 En
00000150 64 0d 0a 32 35 37 20 22 2f 68 6f 6d 65 2f 67 75 | d..257 „/home/gu
00000160 65 73 74 31 22 20 69 73 20 74 68 65 20 63 75 72 | est1 " is de straathond
00000170 72 65 6e 74 20 64 69 72 65 63 74 6f 72 79 2e 0d | ectory huur dir.
00000180 0a | .

De rode gegevens zijn verzenden van server naar cliënt; green van cliënt aan server. Wij kunnen hier zien dat de gebruiker guest1 met wachtwoord AAAA het programma opent. Het is tijd om een module te schrijven die deze informatie uit logfile kan halen.