Estamos seguros?

A fragilidade dos sistemas informatizados não é nenhuma novidade. A décadas,
celebridades como Robert Morris Jr, Capitão Crunch, Kevin Poulsen e Kevin Mitnick, esses
últimos dois mais recentes, fazem com que as pessoas se preocupem e tenham um medo
maior do computador. Esse medo virou pânico em pleno século XXI. Piratas novamente
existem, mas sua arma não é mais a espada, é o fax-modem. Graças à essa maravilha do
mundo moderno, dados podem navegar por linhas telefônicas, cabos e satélites, diminuindo
as distâncias entre os povos e iniciando a nova era digital. Ladrões assaltam bancos
confortavelmente no Havaí enquanto desviam o dinheiro para a Suíça. A espionagem
industrial é um dos problemas agravados. Ela sempre existiu, mas com a facilidade de acesso
à Internet, qualquer pessoa pode conseguir dados confidenciais e vendê-los para
concorrentes.
Diariamente, páginas e páginas são tiradas do ar por piratas digitais. Grupos de hackers e
crackers brasileiros, como Prime Suspectz e Inferno.br (esse último já extinto), junto a outros
centenas pelo mundo realizam façanhas extraordinárias, como invadir vários sites da
Microsoft, a Nasa, FBI, Interpol e muitos outros. Os grupos brasileiros atualmente são os que
mais invadem homepages em todo o mundo, fazendo com que a própria Nasa restrinja acesso
ao Brasil em algumas de suas páginas. Mas nem todos são ruins. Existem grupos que se
especializam em criar ferramentas e ajudar usuários comuns, como o UHOL. Toda essa fama
já criou até um novo termo no mundo da segurança: o Backer. Ou seja, Brazilian Hacker
(Hacker Brasileiro). Isso demonstra a fragilidade da situação. Respondendo à pergunta do
tópico: estamos seguros? Com certeza que não.
Características de um sistema inseguro
A segurança de sistemas existe por um conjunto de fatores. Engana-se quem pensa que
somente por utilizar uma plataforma Unix ao invés de Windows está seguro. Ou que é só
colocar um anti-vírus e um firewall na sua empresa que está tudo bem. A proporção do
problema é bem maior. Geralmente os sistemas mais vulneráveis da rede possuem dois
pontos em comum:

Administrador
O ponto chave e essencial para qualquer sistema de computador é o administrador. Ele é
responsável por fazer com que tudo corra perfeitamente. Checa os dados, administra usuários,
controla servidores, checa logs, tudo todos os dias. Acontece que a grande maioria dos
administradores hoje não se preocupa com a segurança como deve. Logo terá problemas com
o seu sistema, não importa qual seja. É como se fosse mãe e filho. Se uma mãe alimenta seu
filho, cuida dos seus deveres de casa, compra roupas novas, dá brinquedos mas não é capaz
de comprar um seguro de vida, ou pior, zela tão pouco pela segurança dele que ao sair de casa
deixa as portas ou janelas abertas. Essa não pode ser uma boa mãe.
Mesmo que uma rede utilize um sistema operacional que contenha muitas falhas, os bons
administradores todo dia estarão checando por falhas descobertas e corrigindo-as. Já os
outros provavelmente vão ficar em algum chat comendo sanduíches.
Sistemas operacionais
Como eu disse anteriormente, não há realmente um sistema que seja melhor que o outro.
Existem vantagens e desvantagens de cada um. Tudo bem que alguns possuem erros muitos
grandes, mas podem facilmente ser corrigidos. A intenção do sistema também importa. Não
adianta ter uma rede e utilizar Windows 98 ou ME. Os recursos de segurança deles são muito
escassos, pois foram feitos para o usuário comum e não para o ambiente empresarial. Não
adianta também instalar o Digital Unix, FreeBSD ou AIX se o seu administrador só possui
experiência em Lantastic. O sistema também vai depender do tipo de rede que você terá. Se
você terá um servidor Web ou algum tipo de acesso externo, seria melhor utilizar o Linux ou
o Windows NT. Se for uma rede interna somente, utilize Novell Netware, que ainda não fez
a sua história quanto à Internet, mas ainda é insuperável nas redes locais.
A segurança ao longo da história
Anos atrás, os operadores de um computador ENIAC se depararam com uma coisa
curiosa. Um inseto havia ficado preso dentro da máquina e estava atrapalhando o
funcionamento da mesma. Daí surgiu o termo bug (inseto) que virou sinônimo de falha. Hoje
quando se descobre um erro em algum programa, se diz: “novo bug descoberto”. De lá pra
cá, as coisas evoluíram muito, mas os bugs continuam a existir. Muitos deles são frutos da
história do próprio programa ou sistema. O Windows por exemplo. O Windows NT foi
construído a partir do zero, mas o Windows ME não. Desde o início da criação de sua
primeira interface gráfica, a Microsoft vêm tendo problemas com erros graves em seu sistema
operacional. Já o sistema Unix, foi criado pelos desenvolvedores da linguagem C, para ser
um sistema versátil e poderoso. Para conhecer melhor sobre a história de cada sistema, leia a
seção sistemas operacionais .
A Internet também têm seus problemas ligadas à história de sua origem. Desde que se
chamava Arpanet e foi criada pelo exército americano para resistir à guerra fria, a rede
evoluiu muito e foram criados novos serviços como E-mail, World Wide Web, Gopher,
Wais e outros. Milhões de computadores se juntaram a ela e seus recursos são cada vez mais
sofisticados. Mas alguns problemas bem antigos ainda prejudicam hoje. Uma falha na
implementação do TCP/IP( conjunto de protocolos em que a Internet se baseia) por exemplo,
possibilita que o ataque de Spoof aconteça.

Invasores digitais
Todos os dias surgem notícias sobre piratas digitais na televisão e na Internet. Um pirata
invadiu o computador de um sistema de comércio eletrônico, roubou os números de cartão,
comprou Viagra e mandou entregar na casa do Bill Gates. Outro conseguiu derrubar sites
famosos como YAHOO, CNN, AMAZON e ZDNET. Mais recentemente um grupo
estrangeiro conseguiu tirar mais de 650 sites do ar em um minuto. Para entender como se
organiza a hierarquia virtual da Internet, vamos estudar seus principais integrantes:
Hackers
Na verdade, os hackers são os bons mocinhos. Para os fãs de Guerra nas Estrelas, pensem
no hacker como o cavaleiro jedi bonzinho. Ele possui os mesmos poderes que o jedi do lado
negro da força (cracker) mas os utiliza para proteção. É um curioso por natureza, uma pessoa
que têm em aprender e se desenvolver um hobby, assim como ajudar os “menos
prevalecidos”. Um bom exemplo real foi quando o cracker Kevin Mitnick invadiu o
computador do analista de sistemas Shimomura. Mitnick destruiu dados e roubou
informações vitais. Shimomura é chamado de hacker pois usa sua inteligência para o bem, e
possui muitos mais conhecimentos que seu inimigo digital. Assim facilmente montou um
honeypot (armadilha que consiste em criar uma falsa rede para pegar o invasor) e pegou
Kevin. Infelizmente a imprensa confundiu os termos e toda notícia referente a baderneiros
digitais se refere à hacker.
Essa é a imagem do hacker que você deve ter.
Crackers
Esses sim são os maldosos. Com um alto grau de conhecimento e nenhum respeito,
invadem sistemas e podem apenas deixar a sua “marca” ou destruí-los completamente.
Geralmente são hackers que querem se vingar de algum operador, adolescentes que querem
ser aceitos por grupos de crackers (ou script kiddies) e saem apagando tudo que vêem ou
mestres da programação que são pagos por empresas para fazerem espionagem industrial.
Hackers e crackers costumam entrar muito em conflito. Guerras entre grupos é comum, e isso

pode ser visto em muitos fóruns de discussão e em grandes empresas, as quais contratam
hackers para proteger seus sistemas.
O Darth Maul representa bem um cracker
Os hackers e crackers são eternos inimigos. Um não gosta do outro e sempre estão lutando
por seus ideais. Usei a analogia do Guerra nas Estrelas (Star Wars) pois expressam
exatamente bem pessoas de poderes iguais mas de ideologias opostas. Nossos invasores
digitais são assim: mocinhos e vilões brigando. E brigas feias.
Phreakers
Maníacos por telefonia. Essa é a maneira ideal de descrever os phreakers. Utilizam
programas e equipamentos que fazem com que possam utilizar telefones gratuitamente. O
primeiro phreaker foi o Capitão Crunch, que descobriu que um pequeno apito encontrado em
pacotes de salgadinhos possui a mesma freqüência dos orelhões da AT&T, fazendo com que
discassem de graça. Um programa comum utilizado é o blue box, que gera tons de 2600 pela
placa de som, fazendo com que a companhia telefônica não reconheça a chamada. Também
têm o Black Box que faz com que você possa ligar de graça do seu telefone doméstico e o

Red Box que possibilita que se ligue de orelhões. Se quiser saber mais sobre o assunto,
consulte o site http://www.txt.org .
Outra técnica muito usada principalmente no Brasil é a de utilizar um diodo e um resistor
em telefones públicos. Ou de cobrir o cartão telefônico de papel alumínio para que os creditos
não acabem (nunca testei, mas me disseram que funciona). Técnicas como essas são
utilizadas no mundo inteiro. O phreaker é uma categoria à parte, podem ser hackers, crackers
ou nenhum dos dois. Alguns phreakers brasileiros são tão avançados que têm acesso direto à
centrais de telefonia, podendo desligar ou ligar telefones, assim como apagar contas. Um dos
programas muitos usados para isso é o ozterm, programinha de terminal que funciona em
modo dos. Por sinal, muito difícil de encontrar na net.
Funcionários
Outro problema grave. 60% das invasões hoje acontecem de dentro da própria empresa,
por funcionários insatisfeitos ou ex-funcionários que querem vingança. Utilizam-se do
conhecimento adquirido e arrasam com dados do sistema. Copiam coisas do seu interesse
(como o banco de dados que possui o telefone da loira do setor B) ou instalam joguinhos em
rede que podem comprometer a segurança, pois com certeza não se preocupam em passar
anti-vírus. Utilizam trojans, scanners e sniffers para capturar o que lhes interessa. Firewall é
ineficaz contra eles. Afinal, do que adianta a grande muralha da china se algum soldado é o
traidor?
Mitos e fantasias
O maior mito existente na Internet é que o cracker pode invadir qualquer computador na
hora que quiser. Não é bem assim. Invasões por ICQ por exemplo. Era possível em versões
antigas (98 e 99) se o servidor web que vêm com o programa estivesse ativo. Descobriram
recentemente uma outra falha (em janeiro de 2002) que possibilita alguém invadir um
computador pelo ICQ (se ele tiver muita sorte).
O ICQ 2000 e as primeiras versões do 2001 são vulneráveis. Como saber se você é
vulnerável? Fácil. Olhe as figuras abaixo:
Se quando você clica em algum usuário aparece esse menu, você não está vulnerável.

Agora, se o seu ICQ possui as opções Launch Voice/Video e Launch Games listadas
acima, nunca as habilite e atualize correndo o seu icq para a versão 2001 sem falhas.
Tirando esses erros não existe outra maneira de se invadir por ICQ. Isso porquê para
conseguir acesso ao interpretador de comandos do sistema por alguma porta, têm de existir
um serviço próprio para isso (como é o caso dos Launch da figura acima). Para se invadir um
computador pessoal, só existem duas maneiras: trojans e netbios. A não ser que seja um
computador que rode muitos serviços (FTP, Web, Telnet ou um ICQ problemático), o perigo
é mínimo.
Outro mito é o que o hacker e o cracker são vistos como gênios da informática. Bom, os
de antigamente realmente eram e ainda existem alguns poucos mas a grande maioria que se
diz “hacker” hoje em dia se aproveita das ferramentas encontradas na Internet. Nem
programar sabem. São os famosos Script Kiddies, sub-categoria de crackers. Não têm um
alvo certo, vão tentando invadir tudo que vêm na frente. Pior que eles só os Lamers, aqueles
que chegam nos chats anunciando “vou te invadir, sou o melhor” mas acaba desistindo pois
não consegue descompactar nem um arquivo ZIP.
Engenharia social
A engenharia social é uma tática muito usada pelos crackers, desde o início dos tempos. É
o que a lei chama de estelionato. Consiste em enganar uma pessoa para se conseguir
vantagens. Como no caso do indivíduo que liga para o provedor e pergunta: “Por favor, perdi
minha senha de Internet. Poderia olhá-la para mim?”. Alguns provedores pedem
documentação para comprovar que é o dono da conta, outros (com funcionários insatisfeitos
em sua maioria) não ligam, passam até o número do cartão de crédito de algum usuário se lhe
pedirem. Esse método é utilizado também para conseguir informações sobre uma certa
pessoa.
Vá a uma companhia telefônica e peça a segunda via de um telefone qualquer. Na grande
maioria das vezes não lhe pedem documento e você consegue o endereço residencial de
qualquer pessoa. Alguns filmes como Hackers e Caçada Virtual mostram bastante essa
técnica.
Como conseguir uma política eficiente de proteção
Leia muito sobre as novidades do mundo da segurança. Veja se o seu administrador
realmente se preocupa com a proteção do sistema ou contrate alguém somente com essa
função. Faça sempre backup dos logs e varredura do sistema por falhas. Cheque o
computador dos funcionários procurando por programas escondidos e passe um bom antivírus
neles. Se for usar algum programa de segurança, como firewalls, detectores de invasão
e outros, dê preferência para aqueles mais conhecidos e confiáveis.

Tenha certeza de que quando despedir alguém, mudar as senhas de acesso ao sistema.
Nunca discuta com um cracker (para o seu próprio bem). E o mais importante: saiba que
apesar de tudo isso, nunca vai estar totalmente seguro. Nenhum sistema é 100% à prova de
falhas. Mas pelo menos você pode diminuir muito o risco.

Analisando o nível de perigo
A influência do sistema operacional
Como vimos no capítulo anterior, o sistema operacional não influi tanto na segurança
quanto algumas pessoas pensavam. Citei anteriormente que se alguém precisasse de um
servidor externo seria melhor que utilizasse o Linux ou o Windows NT se fosse apenas uma
rede local. E o Netware? A Novell passou a apostar na Internet recentemente, suas antigas
versões não possuem o suporte devido à rede. E os seus servidores web ainda não são tão
utilizados em larga escala quanto o Apache e o IIS. Por isso não nos aprofundaremos muito
nele, pois nosso principal foco são os ataques remotos. Leia um pouco mais sobre cada um.
Unix versus Windows
Por serem os dois sistemas mais usados quando se utiliza servidores externos(servidores
de e-mail, , abordaremos uma breve explicação sobre suas diferenças. Para mais detalhes ver
a seção sistemas operacionais. O Unix é multi-tarefa e o Windows também. Ambos são
largamente usados hoje em dia, sendo distribuídos em várias variantes (Linux, Xenix,
Windows ME, Windows XP). O Windows possui algumas vantagens sobre o Unix. Mais
simples de se usar, é fácil de se instalar programas e drivers, e possui mais programas no
mercado. Apenas isso. O Unix em comparação, possui inúmeras vantagens sobre o Windows.
Vamos listar algumas.
– Têm distribuções gratuitas (como é o caso do Linux)
– Criptografia inquebrável de senhas. Só se descobre no método da tentativa e erro.
– Melhores ferramentas de rede
– Melhor gerenciamento de permissões
– Código-fonte aberto
Vantagens do open source
As vantagens do código-fonte aberto (ou open-source) são muito grandes. Esse termo
significa que os programas criados (ou o próximo sistema operacional) vêm junto com o seu
código fonte, ou seja, você pode ver exatamente o que está executando. Para começar,
qualquer um pode fazer sua própria versão de Unix ou Linux. É só pegar o código fonte de
algum sistema já existente e alterá-lo. Como o sistema operacional foi feito de programadores

para programadores, ainda possuem alguns recursos que o usuário comum não consegue
entender. Mas até isso o open-source está mudando. Novas ferramentas gráficas foram
criadas para facilitar o uso do Unix. Podem torná-lo tão fácil de usar quanto o Windows. E o
melhor são melhoradas rapidamente pelos seus próprios usuários e distribuidas gratuitamente.
Alguns bons exemplos são o GNOME e o KDE, os ambientes gráficos mais usados na
atualidade.
Configurações malfeitas
A configuração malfeita é a perdição de um bom sistema. Contas padrões, serviços
desnecessários ativos e erros em permissões de arquivos são falhas muito grandes. As contas
padrões são perigosas pois todo mundo conhece sobre elas. O caso do Unix por exemplo.
Contas como bin e admin vêm com senhas padrões de acesso ao sistema. Desabilite-as ou
mude as senhas. Quanto aos serviços, se você possui um servidor telnet, ou mesmo ftp, que
estiver usando pouco, desabilite-os. Ou pelo menos configure para esse servidor as relações
de confiança dizendo qual endereço IP poderá ter acesso a ele e qual o acesso será restrito. As
permissões de arquivo também são importantes. Elas impedem que alguém execute algum
programa malicioso ou acesse o arquivo de senhas.
Ataques restritos a um tipo de sistema
Todo sistema sofre ataques de maneiras diferentes. E alguns desses ataques afetam o
sistema ou não causam absolutamente nada. Um bom exemplo é o caso dos vírus e trojans.
Para Unix, eles praticamente não existem. Mas para Windows há milhões deles. O Unix
possui falhas em alguns servidores que o Windows não, como o sendmail. O melhor arma
para invadir algum sistema é ele mesmo. Por exemplo, se quero conseguir acesso a um
servidor Linux, dificilmente conseguirei utilizando Windows NT.
Ataques universais intra-sistemas
São ataques em que não importa o tipo do SO (Sistema Operacional) de origem ou de
destino. Funciona em todos os sistemas. Como é o caso do IP Spoof. Ele trabalha a nível de
protocolo, utilizando-o você consegue acesso a qualquer máquina, seja Windows, Unix,
Novell, DEC-10, VMS, o que for.
Recusa de serviço e invasão
Existem apenas dois tipos de ataques que um sistema pode sofrer. O primeiro é o Denial of
Service (DoS) ou Recusa de serviço. Esse ataque consiste em inundar a máquina alvo com
dezenas de pacotes de informação, fazendo com que ela não consiga processar a todos e
consuma toda a sua memória, paralizando-a. Esse ataque apenas causa danos temporários,
como tirar o servidor do ar, mas não fornece acesso aos arquivos. É como se um ladrão,
vendo que não vai conseguir roubar um carro, fure os quatro pneus. É chato, demora pra
arrumar os pneus mas pelo menos o cd player e os documentos do carro não foram levados.
Já a invasão é diferente. Consiste em procurar e utilizar alguma falha do sistema contra ele
próprio. Ou então instalar programas residentes na memória (trojans ou sniffers) para que
monitorem todo o tráfego de senhas e forneçam acesso a arquivos importantes.
16
Protocolos ,
ferramentas
de rede e
footprinting

Protocolos
Esse capítulo foi feito para quem quer entender um pouco mais sobre protocolos de rede e
como eles funcionam. Se você não têm nenhum interesse em dados teóricos, pule o capítulo.
Protocolos são programas e devem ser instalados em componentes de rede que precisam
deles. Computadores só podem comunicar-se entre si se utilizarem o mesmo protocolo. Se o
protocolo usado por um computador não for compatível pelo usado em outro, eles não podem
trocar informações. Uma variedade de protocolos está disponível para uso em sistemas de
rede fechados (como Novell Netware)
Tipos de protocolos
Dois tipos de protocolos existem hoje: abertos e específicos.
Protocolos Abertos
Protocolos abertos são protocolos feitos para o padrão da indústria. Eles se comunicam
com outros protocolos que utilizam o mesmo padrão. Um protocolo aberto não possui dono e
todos os sistemas podem fazer implementações livremente. Um ótimo exemplo do que é um
protocolo aberto é o TCP/IP (Transfer Control Protocol / Internet Protocol). Ele é composto
por muitos outros protocolos e está implementado em muitos sistemas (como Macintosh,
Windows, Linux, Unix, etc…). O TCP/IP é o protocolo padrão da Internet.
Protocolos Específicos
Protocolos específicos são feitos para ambientes de redes fechados e possuem donos.
Como é o caso do IPX / SPX que foi desenvolvido especificamente para a estrutura Novell
Netware.
Tipos de transmissão de dados
Protocolos roteáveis permitem a transmissão de dados entre diversos segmentos de uma
rede. O problema é que o grande volume de certo tipo de tráfego (como executar uma
aplicação multimídia pesada) deixa a velocidade de conexão muito lenta. A quantidade de
tráfego gerada em uma rede, pode ser de três tipos: Unicast, Broadcast e Multicast.

Unicast
Em uma transmissão unicast, uma cópia separada dos dados são enviados de sua origem
para cada computador cliente que os requeste. Nenhum outro computador na rede precisa
processar o tráfego gerado. No entanto, em uma rede com muitos computadores o unicast não
é muito eficiente pois o computador de origem terá que transmitir múltiplas cópias dos dados
(resultado, ficará lento). O unicast é bom de ser usado apenas em pequenas redes.
Broadcast
Esse é o tipo de transmissão preferido da turma que gosta de um Denial of Service. Nesse
tipo de transmissão, os dados são enviados apenas uma vez mas para toda a rede. Esse
processo não é muito eficiente pois faz a velocidade cair bastante já que todos os
computadores irão receber os dados. Mesmo os hosts que não fizeram o pedido receberão os
dados. Somente não irão processá-los. Esse método é utilizado no ataque de smurf, em que é
enviado um broadcast para diversos endereços IP e o endereço de origem (que deveria ser o
IP de quem enviou) é modificado para o da vítima. Resultado: centenas de máquinas
mandarão milhares de unicasts para um pobre coitado.
Multicast
É uma mistura dos dois. É enviada apenas uma cópia dos dados e somente os
computadores que fizeram o pedido os recebem, assim evitando de se causar um tráfego
muito intenso e consequentemente um congestionamento na rede. Muitos serviços de Internet
usam multicast para se comunicar com computadores clientes (quando se diz cliente , é o
computador que faz o pedido, que espera uma resposta). Inclusive é nesse tipo de
comunicação que se baseia o protocolo IGMP.
NetBios
A interface NetBIOS (NetBEUI) foi um dos primeiros protocolos disponíveis para uso em
redes compostas de computadores pessoais. Como o próprio nome diz, o NETwork Basic
Input Output System, foi designado para ser um protocolo eficiente e pequeno para uso em
redes caseiras não roteadas de cerca de no máximo 200 computadores.
Atualmente o NetBIOS é usado mais exclusivamente em pequenas redes não-roteadas
podendo ou não estar rodando em vários sistemas operacionais. A implementação NetBIOS
do Windows é chamada de NetBEUI. As suas vantagens incluem:
• Grande velocidade de transferência
• Nenhuma necessidade de configuração
• Compatibilidade com praticamente todos os sistemas operacionais, inclusive o Linux
(usando o Samba).
A única desvantagem é que o NetBIOS não suporta roteamento. Trocando em miúdos: o
máximo que você vai conseguir invadir usando esse protocolo é o computador do seu

primo ou de sua namorada que usam o mesmo provedor que você. Se for um provedor
diferente, esqueça ( a não ser que seja o NBT ao invés do SMB, como foi explicado
anteriormente). Outro problema: a estrutura de segurança do NetBIOS é extremamente
pobre. Facilmente podemos quebrar as senhas utilizados (usando bruteforce). Além do
Shadow Scan já citado anteriormente, o NAT (NetBIOS Auditing Tool) também é uma
ótima ferramenta para fazê-lo.
Alguns bugs também são facilmente encontrados, como a má configuração do IPC$ do
Windows NT. Aliás, pense um pouco nesta pergunta: por quê o NetBIOS do Windows NT
possui o compartilhamento IPC$ padrão, o Windows 9x possui o $printer (que possibilita
cair no Windows\System usando o compartilhamento de uma impressora) e o Linux não
possui nenhum desses? Qual o objetivo desses compartilhamentos? Fiz essa pergunta a um
formando de Ciências da Computação e ele não soube me responder. Existem duas
respostas, uma longa e uma curta. A longa deixarei para a análise pessoal de cada um. Já a
curta é simples: o Linux é bem mais seguro.
Para se resolver nomes NetBIOS, podem ser usadas três maneiras:
1. Arquivo LMHOSTS
2. Broadcast
3. WINS
Vamos analisar o método do LMHOSTS que creio ser o mais simples de todos. Ele
consiste na tradução de endereços NetBIOS em endereços IP, somente configurando o
arquivo lmhosts. O arquivo não possui extensão e pode ser encontrado nos diretórios dos
seguintes sistemas:
UNIX ./etc
Mac OS X System Folder
Windows 9X c:\windows (ou onde o Windows foi instalado)
Windows NT c:\winnt\System32\Drivers\Etc
O arquivo deve ser criado utilizando a seguinte sintaxe:
< endereço IP> espaço <nome NetBIOS>
Esse é o modo mais simples de criação do arquivo. Podem-se adicionar comentários
utilizando o caractere #. Atenção: não confundir arquivo LMHOSTS com HOSTS (visto em
TCP/IP).
Um exemplo de arquivo LMHOSTS:

Nesse exemplo criamos um arquivo simples, ligando três endereços IP a nomes NetBIOS.
Observe que o primeiro é o endereço de local (o chamado loopback). Leia mais sobre
endereço na seção sobre TCP/IP
Há dois tipos de ambiente NetBIOS: Único e grupo. Um nome único deve ser único
através da rede (um usuário por exemplo). Um nome de grupo não precisa ser único e
processa informações de todo um grupo de trabalho. Cada nó NetBIOS mantêm uma tabela
de todos os nomes possuidos por ele. A convenção do nome NetBIOS possibilita que se crie
nomes com 16 caracteres. A Microsoft, entretando, limita esses nomes para 15 caracteres e
usa o 16º caracter como um sufixo NetBIOS. Um sufixo NetBIOS é usado pelo software de
rede da Microsoft para identificar o serviço que está rodando.
Nota: SMB e NBT (NetBIOS sobre o TCP/IP, alguns o chamam apenas de SMB por
TCP/IP) funcionam de modo muito parecido e ambos usam as portas 137, 138, 139. A
porta 137 é o nome NetBIOS por UDP. A port 138 é o datagrama NetBIOS por UDP. E
a port 139 é a sessão NetBIOS por TCP. Mas o NBT costuma usar a porta 445 também.
A seguir vemos uma tabela do NetBIOS com seus serviços comuns.
Nome Número Tipo Uso
==================================================================
<nome_do_computador> 00 U Serviço de workstation

<nome_do_computador> 01 U Serviço de mensagens
<\\_MSBROWSE_> 01 G Browser principal
<nome_do_computador> 03 U Serviço de mensagens
<nome_do_computador> 06 U Serviço de servidor RAS
<nome_do_computador> 1F U Serviço NetDDE
<nome_do_computador> 20 U Serviço de servidor de arquivos
<nome_do_computador> 21 U Serviço de cliente RAS
<nome_do_computador> 22 U Trocas de intercomunicação
<nome_do_computador> 23 U Trocas de Armazenamentos
<nome_do_computador> 24 U Diretórios do Exchange
<nome_do_computador> 30 U Servidor de compart. de modem
<nome_do_computador> 31 U Cliente de compart. de modem
<nome_do_computador> 43 U Cliente remoto SMS
<nome_do_computador> 44 U Admin remoto SMS
<nome_do_computador> 45 U Chat remoto SMS
<nome_do_computador> 46 U Transferência remota SMS
<nome_do_computador> 4C U Serviço TCP/IP DEC
<nome_do_computador> 52 U Serviço TCP/IP DEC
<nome_do_computador> 87 U Exchange MTA
<nome_do_computador> 6A U Exchange IMC
<nome_do_computador> BE U Agente monitor da rede
<nome_do_computador> BF U Software monitor da rede
<usuário> 03 U Serviço de mdensagens
<domínio> 00 G Nome de domínio
<domain> 1B U Browser de domínio
<domain> 1C G Controlador de domínio
<domain> 1D U Browser principal
<domain> 1E G Serviços do browser
<INet~Services> 1C G Internet Information Server
<IS~Computer_name> 00 U Internet Information Server
<nome_do_computador> [2B] U Servidor Lotus Notes
IRISMULTICAST [2F] G Lotus Notes
IRISNAMESERVER [33] G Lotus Notes
Forte_$ND800ZA [20] U Serviço de gateway DCA
As denominações mais importantes para nós aqui são:
Único (U): O nome pode ter apenas um endereço IP ligado a ele. Em uma rede, múltiplas
ocorrências de nomes simples podem parecer estarem registradas mas o sufixo será único
(em outras palavras, pode parecer um grupo mas não é)
Group (G): Um grupo normal; o nome simples pode existir com muitos endereços IP.
IPX/SPX
Internetwork Packet Exchange/Sequenced Packet Exchange (IPX/SPX) é um protocolo
desenvolvido especificamente para a estrutura Novell NetWare. O IPX define o
endereçamento da rede NetWare e o SPX fornece segurança e confiabilidade ao IPX. (O SPX

é como aqueles caras que só se sentem seguros ao lado da esposa). Para comparação, o IPX é
como se fosse o IP do protocolo TCP/IP (visto mais à frente).
O IPX/SPX possui as seguintes características:
• São usados com servidores NetWare
• São roteavéis, permitem que os computadores em um ambiente de rede trocam
informações através de segmentos.
AppleTalk
Protocolo criado pela apple para utilização em redes macintosh para o compartilhamento
de arquivos e impressoras. É componente específico, ou seja não é um padrão do mercado.
As duas principais características do AppleTalk são:
1. Possibilita clientes Macintosh acessarem servidores Windows NT
2. É roteável. (pode se comunicar com redes externas, tal como o IPX/SPX e o TCP/IP)
TCP/IP
Sem dúvida o melhor dos protocolos. Quando alguém chega a mim e diz que se converteu
ao TCP/IP, creio que sinto o mesmo prazer de um crente que consegue levar o amigo à sua
igreja. Diferente dos outros protocolos vistos aqui, o TCP/IP na verdade é um conjunto de
muitos protocolos. Usando uma arquitetura cliente-servidor quase perfeita, esse conjunto de
protocolos possibilita praticamente todo tipo de sistema operacional e rede de se
comunicarem entre si, possibilitando até a criação da Internet. Ora, como seria possível um
monte de computadores usando Macintosh, Unix , Linux e Windows comunicarem-se sem
maiores problemas? Não, não é um filme de Hollywood e muito menos um sonho distante. É
a tecnologia a nosso serviço. E o melhor de tudo, é um protocolo aberto.
Para começarmos o nosso estudo sobre os protocolos que compõem o TCP/IP, analisemos
um a um os mais importantes deles. Ou em outras palavras, os que mais iremos utilizar. Não
dá para vermos todos pois além de serem muitos, têm de ser estudados a fundo. Apenas darei
uma noção.
IP
O IP (Internet Protocol) é o responsável por rotear e entregar os pacotes contendo as
informações que serão enviadas. O endereço IP contém um cabeçalho aonde estão indicados
os endereços de redes e de hosts. Esse endereço é representado por quatro bytes separados
por pontos. Por exemplo:
200.202.36.251

As duas primeiras partes (200.202) indicam o endereço da rede. Ou seja, provavelmente
todos os hosts dessa rede começam com esse endereço. O que vai mudar de host para host é a
parte final do endereço (36.251). Claro que isso não é uma regra, existem redes gigantescas
em que essas propriedades podem mudar. Para saber se qual o endereço de rede e o endereço
de host de uma rede, cheque a máscara de sub-rede.
A máscara de sub-rede (subnet mask) nos informa quais àreas do ip são mutáveis (usadas
por hosts) e quais não mudam. Exemplo:
255.255.255.0
O que isso significa? Quando uma área da máscara de sub-rede tiver o número 255,
significa que aquela àrea é imutável e quando for 0 a àrea pode mudar. Achou difícil? Não é.
Preste atenção: observando o endereço acima, dá para notarmos o quê? Que somente a última
parte do endereço IP está com o zero. Supondo que o endereço IP de uma máquina da rede
seja 200.131.16.1 .Provavelmente existirão hosts com esses endereços:
200.131.16.2
200.131.16.3
200.131.16.4
200.131.16.5
Mas não existirão máquinas com esses endereços:
200.131.63.1
200.131.65.6
200.131.19.4
200.131.33.66
Por quê? Porquê como a máscara de sub-rede foi configurada para 255.255.255.0, somente
o último byte do ip pode ser alterado. Agora, se a máscara for mudada para 255.255.0.0, os
endereços ip acima seriam aceitos pois os últimos dois bytes (as duas últimas àreas separadas
por pontos) podem ser mudados. Nas propriedades de TCP/IP (que variam de um sistema
operacional para o outro) você encontra a máscara de sub-rede.
No Windows, siga os seguintes passos:
1. Clique em Iniciar e vá em Configurações e Painel de Controle
2. Procure entre os ícones o de Rede e clique duas vezes para acessá-lo
3. Na lista de protocolos, procure o TCP/IP e clique em propriedades
4. Em propriedades de TCP/IP, clique em Endereço IP

5. Agora selecione especificar um endereço IP e coloque como teste o endereço
200.131.16.1
6. Escreva a máscara de sub-rede desejada abaixo.
7. Não se esqueça depois de que se anteriormente a opção de obter um endereço IP
automaticamente estava habilitada, habilite-a antes de sair.
Propriedades do protocolo TCP/IP
No endereço IP os números podem variar de 0 a 255 , mas geralmente em hosts são
utilizados apenas de 1 a 254. O 0 e o 255 são usados apenas para a máscara de sub-rede.
Portas
Se você quisesse colocar um servidor de homepage e um servidor de jogos em um host
tendo um só endereço IP seria impossível. Como o cliente saberia identificar qual dos
servidores precisa se conectar? Para isso criaram as portas. Elas identificam conexões
utilizando números de 0 a 65536. Alguns serviços já possuem até suas portas padrões, como é
o caso do Telnet (porta 23) e do FTP (porta 21). Para saber quais serviços existem em um
servidor, leia a seção sobre scanners para saber como scannear portas.
DNS
Nosso próximo passo no estudo do TCP/IP é o Domain Name Server (DNS) ou Servidor
de Nome de Domínio, em português. A função dessa belezinha é extremamente útil. Já
imaginou se você tivesse que decorar o endereço IP de todas as página que visita na Internet?
No máximo uns 10 você decoraria, mas e o resto? Para acabar com esse problema surgiu o
DNS. A sua função é procurar em um banco de dados um nome que corresponda a um IP.
Quando digitamos http://www.yahoo.com por exemplo, não precisamos saber o endereço IP. O

DNS do nosso provedor de acesso vai checar esse nome em seu banco de dados e se
encarregar de nos direcionar ao IP encontrado. Olha que protocolo bonzinho :-) .
Nós mesmo podemos configurar e ligar alguns nomes a endereços IP. O método mais fácil
de se fazê-lo é utilizar o arquivo HOSTS. O processo é o mesmo do LMHOSTS do NetBIOS,
e o arquivo é encontrado no mesmo local. O interessante do HOSTS é que você pode pregar
peças nos seus amigos, direcionando endereços como http://www.fbi.gov para o IP de alguma
homepage hackeada ou até seu endereço IP local e contar vantagem de que invadiu o FBI.
Muitos “hackers” hoje em dia usam isso para aparecerem na televisão e “hackear” ao vivo.
SMTP
O Simple Mail Transfer Protocol é o protocolo responsável por entregar mensagens de email
a um destinatário. Toda vez que seus e-mails são enviados, um servidor smtp se
encarrega de levá-los ao seu destino. Esse servidor geralmente se aloja na porta 25. O
interessante do SMTP é que ao contrário do POP3 (visto a seguir), não é necessário senha
para enviar um e-mail. Eu posso abrir o Microsoft Outlook e mandar e-mails como se fosse
George Bush ou Tom Cruise. A falta de segurança no envio de mensagens é o ponto de
partida para a facilidade de se enviar e-mails anônimos (como visto em anonimidade). O
SMTP ainda permite anexar à uma mensagem de texto conteúdos binários (programas por
exemplo), utilizando o MIME.
POP3
Outro protocolo de mensagens, só que agora é o responsável por o recebimento dessas
mensagens. O POP3 já necessita de senhas para poder habilitar o acesso dos usuários às suas
caixas postais, além de saber “re-montar” os arquivos enviados em formato MIME com o
SMTP. O POP3 geralmente se localiza na porta 113. Uma grande desvantagem dele é que
fica muito fácil fazer um ataque de bruteforce para tentar descobrir as senhas, já que a
maioria dos servidores possui falhas que possibilitam softwares maliciosos de serem rodados.
TELNET
Telnet, ou terminal remoto é um modo de se acessar remotamente sistemas como se você
os estivesse operando localmente. Por exemplo: usando o telnet (e um trojan instalado)
podemos ter acesso ao MS-DOS de qualquer um. Do mesmo modo que poderíamos digitar
comandos para listar, copiar e apagar dados, conectados a outro computador também
podemos. Na verdade, todos os trojans são clientes telnet. Apenas são disfarçados com
botõezinhos bonitinhos pois geralmente quem precisa de trojans para invadir sistemas são
pessoas que não possuem um bom conhecimento de segurança. Se você encontrar alguma
porta ativa em algum sistema (qualquer uma, seja de trojan, SMTP, POP3, etc…), pode se
conectar a ela por telnet.
Resumindo, se você souber usar bem telnet não precisa mais de outros programas no
computador. Ele acessa servidores utilizados pelos browsers (como Netscape e Internet
Explorer), clientes de E-mail, IRC, absolutamente tudo. Leia sobre o cliente telnet do
Windows no capítulo seguinte.

FTP
File Transfer Protocol é seu nome real. O protocolo de transferência de arquivos serve
única e exclusivamente para ser um banco de software. Não se pode executar programas
remotamente como no caso do telnet, apenas pegar e colocar arquivos. Desde a criação da
Internet, o ftp é largamente usado. Uma de suas vantagens é, como ele é usado somente para
transferências de arquivos, sua velocidade pode chegar a ser muito maior do que pegar
arquivos em HTTP (visto mais à frente). No próximo capítulo você aprenderá os comandos
básicos de um cliente FTP e como manipular os arquivos dentro deste.
HTTP
Esse sem dúvida é conhecido por muitos. Afinal, quem nunca viu na frente do endereço de
uma homepage esse nome? http://www.altavista.com/. O Hyper Text Transfer Protocol é o
protocolo responsável de transmitir textos, imagens e multimídia na Internet. Sempre que
você abre uma homepage (mesmo que ele só contenha textos), você está usando esse
protocolo. Achei interessante comentar sobre ele para que se entenda melhor como a Internet
não funciona isolada com um só protocolo. HTTP, FTP, TELNET e os outros muitas vezes
trabalham em conjunto e nem percebemos. Quando você for baixar um arquivo, preste
atenção no link. É muito provável que de uma página navegada por HTTP, se envie a um
servidor FTP.
Exemplo do protocolo http

SNMP
Simple Network Management Protocol. Algo como protocolo simples para manejar a rede.
E é exatamente isso o que ele faz. Usando o SNMP você pode obter informações detalhadas
sobre contas de usuário, equipamentos de rede, portas e serviços abertos e muito mais. A má
configuração desse protocolo (deixando seu status como público principalmente). Use a
ótima ferramenta IP Network Browser da SolarWinds (www.solarwinds.net). Ela mostra até a
cor da cueca do administrador. Uma dica: se dá valor ao seu emprego desabilite o snmp.
Screenshot do IP Network Browser

Ferramentas TCP/IP
Programinhas úteis
Existem muitos programas que vêm junto ao Windows e que possuem grande utilidade. A
grande maioria deles também funciona em Linux e Unix (o que muda um pouco é apenas a
sintaxe). Agora que já passei uma noção do que é o TCP/IP e como funcionam muitos de seus
protocolos, ficará mais fácil de aprendermos sobre as ferramentas essenciais de rede. Será
apresentada a ferramenta, uma tela de ilustração e sua sintaxe de uso. Como as ferramentas
existentes são muitos, veremos apenas as mais importantes para nós.
Arp
Permite realizar consultas e alterações na tabela de mapeamento entre endereços IP e
endereços MAC do cache ARP.

arp -a [endereçoIP] [-N IPInterface]
arp -s endereçoIP endereçoMAC [IPInterface]
arp -d endereçoIP [IPInterface]
Parâmetro Descrição
endereçoIP Especifica o endereço IP a resolver ou alterar.
EndereçoMAC Especifica o endereço MAC a acrescentar ao cache do ARP.
O endereço MAC é composto por 6 bytes (expressos em notação
hexadecimal) separados por hífen.
IPInterface Especifica o endereço IP da placa de rede cuja tabela ARP deverá ser
alterada. Por default, a primeira interface disponível será utilizada.
-a Exibe as entradas de cache do ARP. Se o endereçoIP tiver sido especificado, mostra
somente a entrada referente a esse endereço.
-g O mesmo que –a.
-d Exclui do cache do ARP o host especificado por endereçoIP. Se IPInterface for
especificado, exclui o host do cache da placa de rede indicada por IPInterface.
-s Acrescenta ao cache do ARP uma associação entre endereçoMAC e endereçoIP. Se
IPInterface tiver sido especificado, acrescenta a associação no cache do ARP da placa.
de rede indicada por IPInterface.
-N Especifica o endereço IP da placa de rede à qual o comando se aplica.
FTP

Transfere arquivos de ou para um computador remoto.
ftp [-v] [-d] [-i] [-n] [-g] [-s:nomearq] [-a] [-w:tamanho] [computador]
O servidor ftp solicitará um usuário e a senha correspondente.
A maioria dos servidores FTP pode ser acessada por usuários não cadastrados, utilizando o
usuário Anonymous.
Esse usuário não requer senha, mas muitos servidores solicitam como senha um endereço
de e-mail.
Opção Descrição
-v Elimina as mensagens de resposta do servidor.
-d Ativa o modo de depuração, exibindo os comandos FTP enviados e recebidos.
-i Desativa a confirmação para a transferência de cada arquivo em operações com
múltiplos arquivos.
-n Elimina o login automático na conexão inicial.
-g Desativa o globbing, que permite o uso de caracteres de máscara (*, ?) em
nomes de arquivos.
-s Especifica um arquivo de texto contendo os comandos FTP a serem executados
automaticamente.
-a Utiliza qualquer placa de rede para estabelecer a conexão com o servidor FTP.
-w Define o tamanho do buffer de transferência (o default é de 4 KBytes).
Computador Nome do servidor FTP ou endereço IP. Deve ser o último parâmetro da linha
de comando.
A seguir está a sintaxe dos comandos interativos do protocolo FTP. Esses comandos
são utilizados de acordo com cada sistema e geralmente já com a conexão online.
Comando Descrição
append Acrescenta informações a um arquivo.
ascii Indica que a transferência de arquivos será feita no modo de texto
(arquivos apenas de texto, como TXT ou HTML)
bell Emite aviso sonoro ao término do comando.
binary Indica que a transferência de arquivos será feita no modo binário.
(utilizado para arquivos não-texto, como fotos, programas e vídeos)

bye Fecha a sessão FTP e sai do programa FTP.
cd Seleciona um novo diretório de trabalho no computador remoto.
close Fecha a sessão com um servidor FTP.
debug Ativa/desativa o modo de depuração.
delete Elimina arquivos no computador remoto.
dir Lista o conteúdo de um diretório remoto.
disconnect Fecha a sessão com um servidor FTP.
get Copia um arquivo de um computador remoto para o computador local
glob Ativa/desativa o uso de caracteres de máscara (*,?) em nomes de arquivos.
hash Ativa/desativa a impressão de “#” para cada buffer transferido.
help Exibe help on-line de um comando FTP. Se o comando não for especificado,
exibe a lista dos comandos disponíveis.
lcd Seleciona um novo diretório de trabalho no computador local.
literal Envia uma linha de comando diretamente ao servidor FTP.
ls Lista o conteúdo de um diretório remoto.
mdelete Elimina múltiplos arquivos no computador remoto.
mdir Lista o conteúdo de múltiplos diretórios no servidor remoto
mget Copia múltiplos arquivos do computador remoto para o computador local.
mkdir Cria um diretório no computador remoto.
mls Lista o conteúdo de múltiplos diretórios no servidor remoto
mput Copia múltiplos arquivos do computador local para o computador remoto.
open Estebelece uma conexão com um servidor FTP.
prompt Ativa/desativa a confirmação para a transferência com muitos arquivos
put Copia um arquivo do computador local para um computador remoto (upload).
pwd Exibe o diretório corrente no computador remoto.
quit Fecha a sessão FTP e sai do programa FTP.
quote Envia uma linha de comando diretamente ao servidor FTP.
recv Copia um arquivo de um computador remoto para o computador local
remotehelp Exibe help on-line para comandos diretos do servidor FTP.
rename Renomeia um arquivo.
rmdir Remove um diretório no computador remoto.
send Copia um arquivo do computador local para um computador remoto (upload).
status Exibe informações sobre a configuração do cliente FTP.
trace Ativa/desativa o modo trace (exibição de todas as ações executadas).
type Define ou exibe o tipo de transferência de arquivo (ASCII ou binary).

user Especifica um novo usuário para o computador remoto.
IPCONFIG
Exibe a configuração do protocolo TCP/IP. Sem nenhum parâmetro, exibe os valores de
endereço IP, máscara de sub-rede e default gateway para cada placa de rede instalada.
ipconfig [/? | /all | /release [adaptador] | /renew [adaptador]]
Opção Descrição
/all Exibe informações detalhadas de IP para as placas de rede instaladas. Além do
endereço IP, da máscara de sub-rede e do default gateway,são exibidos também
os endereços dos servidores DHCP, WINS e DNS para cada placa de rede
instalada.
/release Libera o endereço IP obtido para uma placa de rede através de um servidor
DHCP. Se a placa de rede não for especificada, libera os endereços IP obtidos
para todas as placas de rede do computador.
/renew Renova um endereço IP obtido para uma placa de através de um servidor
DHCP. Se a placa de rede não for especificada, renova os endereços IP obtidos
para todas as placas de rede instaladas no computador.
adaptador Especifica uma placa de rede na renovação ou liberação de um endereço IP
obtido através de um servidor DHCP. Para saber os nomes associados às placas
de rede, utilize o comando Ipconfig sem parâmetros.

Nbtstat
Exibe estatísticas de protocolos e conexões TCP/IP usando NetBIOS sobre TCP/IP.
nbtstat [-a hostname] [-A endereço IP] [-c] [-n] [-R] [-r] [-RR] [-S] [-s] [intervalo] [-?]
Opção Descrição
-a Exibe a tabela de nomes NetBIOS registrados em um computador
(determinado pelo hostname).
-A Exibe a tabela de nomes NetBIOS registrados em um computador remoto
(determinado pelo endereço IP).
-c Exibe a lista de nomes NetBIOS (e endereços IP) do cache NetBIOS do
computador.
-C Exibe a lista de nomes NetBIOS (e endereços IP) do cache NetBIOS do
computador para cada placa de rede.
-n Exibe os nomes NetBIOS e os serviços registrados no computador local.
-r Exibe os nomes NetBIOS resolvidos através de WINS ou mensagens
broadcast.
-R Recarrega o cache de nomes NetBIOS utilizando as entradas no arquivo
LMHOSTS com o parâmetro #PRE.
-RR Envia pacotes de liberação de nomes ao WINS e atualiza a lista de nomes.
-s Exibe as sessões TCP/IP estabelecidas no computador (usando nomes de host
do arquivo HOSTS).
-S Exibe as sessões TCP/IP estabelecidas no computador (usando endereços IP).
intervalo Especifica o tempo (em segundos) de pausa intermediária para reexibir as
informações selecionadas. Pressione Ctrl+C para interromper a exibição.

Ping
Utilizado para testar a conexão com outro host. O Ping envia uma mensagem ao host
remoto e aguarda uma resposta contendo a mesma mensagem (echo). Se essa resposta chegar,
presume-se que o host esteja vivo (literalmente).
ping endereçoIP | hostname [chaves]
Opção Descrição
endereçoIP Endereço IP (ou hostname) do host com o qual se está testando a conexão.
-a Realiza a resolução DNS reversa, informando o hostname do host.
-n número Define o número de comandos Ping que serão executados.
-l tamanho Define o tamanho da mensagem utilizada no comando Ping
(default=32 bytes).
-f Define a flag; “Do Not Fragment” – envia a mensagem sem fragmentá-la.
-i ttl Time To Live – Define o máximo número de hops pelos quais os pacotes
podem passar (1-255).
-j hosts Rota de origem livre usando as entradas em hosts.
-k hosts Rota de origem restrita usando as entradas em hosts.
-r número Registra a rota dos pacotes. Define quantos hops serão armazenados
(máximo=9).
-s número Timestamp do número de hops especificado.
-v TOS Especifica o tipo de serviço a ser utilizado.
-t Emite comandos Ping continuamente até ser interrompido. Normalmente
Ctrl+C é utilizado para interromper.

-w Define o tempo máximo que o comando aguardará por uma resposta
(timeout).
Alguns roteadores, por questões de segurança, não encaminham pacotes enviados através
do protocolo ICMP (utilizado pelo Ping). O comando Ping pode não obter sucesso devido a
essa filtragem.
Telnet
Conecta-se a uma máquina remota , utilizando seus recursos disponíveis.
telnet [host [porta]]
Opção Descrição
host Nome de host ou endereço IP do endereço remoto.
porta Endereço da porta remota.
Comandos Interativos do Telnet
close Fecha uma conexão.
display Exibe opções de conexão.
environ Define variáveis de ambiente.
logout Encerra uma conexão.
mode Alterna entre o modo de transferência ASCII e binário.
open Efetua a conexão com um computador remoto.

quit Sai do Telnet.
send Envia seqüências de protocolo Telnet especiais para um computador remoto.
set Define opções de conexão.
unset Desativa parâmetros de conexão.
Tracert
O Tracert (traçar rota) serve para verificarmos quantos e quais computadores os nossos
dados passam até chegar a um destino especificado. No exemplo acima, levou apenas um
computador para alcançar o destino pedido.
tracert [-d] [h- hopsmáx] [-j listahops] [-w timeout] destino
Opção Descrição
-d Não converte os endereços em nomes de host.
-h Número máximo de hops (TTL) para encontrar o destino.
-j Rota de origem livre com a listahops.
-w Timeout, ou tempo máximo para resposta (em milissegundos).
destino Nome do host de destino (ou endereço IP).

Winipcfg
O Winipcfg é uma excelente ferramenta no que se trata de mostrar informações sobre o
protocolo IP. Podemos dizer que ele é o IPCONFIG com interface GUI (digamos, bonitinha).
Ele lhe mostra seu IP local, IP da rede, máscara da sub-rede e muito mais. Para acessá-lo, vá
em iniciar / executar e digite winipcfg. Só funciona em Windows 95, 98 e ME.

Footprinting
Footprinting é a arte de obter informações sobre um sistema alvo usando táticas “seguras”,
sem perigo de detecção, e que pode dar muitas informações sobre ele. Tais como visitar o site
da empresa em que se quer invadir e ler as seções para ver se encontra algo de interessante.
Whois
O Whois é excelente para obtermos informações sobre sites. Bancos de dados como o
Internic (www.internic.org) mantêm informações interessantes sobre os domínios, tais como
nome do dono, endereço e telefone. No Brasil, o orgão responsável por essa tarefa é a Fapesp
e podem ser feitas pesquisas no seguinte endereço: http://www.registro.br.

Análise de homepages
Consiste em entrar no site , ler tudo quanto é página, homepages pessoais de funcionários
(se for uma empresa), absolutamente tudo. Parece incrível mas muitos lugares mostram até
configurações da rede em suas páginas. O código em html também deve ser analisado a
procura de comentários. Muitos deles podem ser extremamente úteis. Cheque todos os links,
observe os endereços em que as páginas se posicionam. Já dá para começarmos o montar um
mapa da rede (antes de fazer um ataque direto scanneando mais tarde). Use ferramentas de
busca como o Altavista (www.altavista.com) para procurar páginas que contenham links para
o site alvo, usando a expressão “link:www.host.com”.
Use também algum programa gráfico para traçar rotas e descobrir qual a conexão entre o
seu sistema alvo e os outros sistemas, descobertos pelo Altavista (estão na mesma rede?).
O VisualRoute faz bem o seu trabalho de mostrar informações ótimas
Pesquisa geral
Use ferramentas de busca como o Altavista para descobrir outras páginas com o nome do
domínio atacado. Pesquise em jornais notícias em jornais e revistas sobre o “inimigo” , tais
como se ele já foi atacado, se já sofreu algum tipo de invasão, etc. Tente conhecer pessoas
que trabalham lá , ter uma noção de quantos empregados existem tomando conta daquele
servidor. Enfim, quanto mais você puder descobrir na pesquisa geral, mas fácil o seu trabalho
ficará depois.

Ferramentas
e segredos

Trojans
Definição de Trojan
O nome trojan é uma alusão à história do antigo cavalo de tróia, em que o governante da
cidade de Tróia na antiga Grécia foi presenteado com um cavalo de madeira no qual havia
escondido soldados inimigos. Possui muitas características similares aos vírus, tais como:
perda de arquivos, falhas na memória, erros em periféricos, etc… A grande diferença é que o
trojan pode ser considerado um vírus inteligente, pois é controlado à distância pela pessoa
que o instalou. Esse indivíduo então, consegue “enxergar” o seu computador, podendo
realizar desde as mais simples tarefas como mexer o mouse à utilização do seu IP como ponte
para outros ataques. Conseguem ficar escondidos em arquivos de inicialização do sistema
operacional e se iniciam toda vez que a máquina é ligada.
Perigo real
A popularização da Internet e a facilidade de se criar um programa cavalo de tróia fazem
com que esse método de invasão seja atualmente o mais perigoso de todos. Ele não depende
de falhas no seu sistema, é quase indetectável e pela sua facilidade de uso pode ser operado
por crianças de 6 anos. Pode-se esconder um trojan em fotos, arquivos de música, aplicativos
e jogos. Sendo assim, nunca abra arquivos executáveis enviados por estranhos ou pegos em
sites duvidosos. Existem muitas técnicas para se instalar um trojan em uma máquina. Um
bom exemplo no Windows 98/ME é mapeando a unidade desse computador (netbios), copiar
o programa e alterar o arquivo win.ini Assim toda vez que você for jogar paciência ou mesmo
abrir o bloco de notas, tome cuidado com o tamanho do arquivo executável. Se estiver muito
grande, desconfie.
Tipos de cavalo de tróia
Invasão por portas TCP e UDP
Esse é o trojan mais comum existente na Internet hoje. Netbus, Back Orifice, SubSeven,
Hack’a’tack, Girlfriend, Netsphere e muitos outros são facilmente encontrados pela rede.
Possuem na sua maioria dois arquivos: um servidor para ser instalado no computador da
vítima e um cliente com interface gráfica para manipular o servidor remotamente. As portas
de um sistema variam entre 0 e 65535 e servem para identificar serviços rodando no sistema(
como o servidor web que utiliza a porta 80). O servidor se torna mais um serviço ao escolher
alguma porta para “escutar” as chamadas do cliente.O trojan que utiliza portas TCP,
estabelece uma conexão com o servidor, atuando diretamente de dentro do sistema. Já o que

utiliza portas UDP, comunica-se via pacotes de dados enviados ao host alvo. Não tão
confiável como o TCP, não garante a entrega dos pacotes e o recebimento da resposta. Quase
todos os trojans atuais são para a arquitetura Windows. Os poucos existentes em outros
sistemas, tais como: Unix, Linux, Novell e Macintosh são chamados de backdoors. A
diferença entre o trojan comum e o backdoor é que o último é muito mais difícil de se
instalar. Em um sistema Unix por exemplo, para conseguir se instalar um backdoor é preciso
possuir privilégios de super usuário (root).
Trojans de informação
Não é tão usado quanto o de portas mas igualmente (ou até mais) perigoso. Enquanto a
maioria das funções dos trojans comuns é apenas para aborrecer( sumir com a barra de
tarefas, apagar o monitor, desligar o Windows, etc…), o trojan de informação se concentra em
ficar residente detectando todos os tipos de dados vitais do sistema. Ele consegue toda senha
digitada no servidor junto ao endereço ip das máquinas e envia a informação para uma conta
de e-mail configurada pelo invasor. Existem alguns programas mais sofisticados que além de
enviar por e-mail, pode enviar a informação por icq ou qualquer outro tipo de messenger.
Geralmente o programa envia a informação em um prazo de cada 5 a 10 minutos. Ao
contrário do trojan de portas, possui apenas o arquivo servidor e um tamanho bem menor.
Exemplo: o servidor do trojan de portas Netbus possui cerca de 490 kb de tamanho. Já o
trojan de informações k2ps possui cerca de 17 kb.
Trojans de ponte
É um tipo não muito conhecido mas largamente usado por hackers e crackers do mundo
inteiro. Consiste em instalar um servidor no seu computador que possibilite que através dele
(e do seu endereço ip) o invasor possa realizar ataques de invasão e de recusa de serviço.
Então, se um grande site for invadido e baterem na sua casa, procure pois deve haver algum
desses no seu sistema. Um programa comum é o WinProxy, que pode ser instalado
facilmente e não levanta nenhum tipo de suspeitas. Conheço alguém que o possui na sua
máquina e jura que é um firewall. Leia mais sobre os trojans de ponte na seção anonimidade.
Rootkits
Esse tipo especial de backdoor é utilizado no Unix e Linux. Ao ser executado pelo
operador do sistema ele substitui arquivos executáveis importantes (como o ps por exemplo)
por versões “infectadas”. Essas versões podem ser tanto trojans de portas quanto de
informação. Vão fornecer acesso irrestrito ao invasor com poderes de super-usuário, e o mais
importante: os acessos não ficam registrados nos logs. Para conhecer alguns dos rootkits mais
usados e o tipo de alteração causada por eles, visite o website: http://www.rootshell.com.
Trojans comerciais
Alguém já ouviu falar do PcAnywhere? Ou do terminal remoto do Windows 2000 e XP?
Esses programas (além de muitos outros) possibilitam que você controle completamente a
máquina de alguém, como se estivesse sentado ali. Quer jogar Quake no computador
invadido? Clique no botão iniciar dele e faça tudo como se estivesse no seu próprio
computador. A vantagem desses programas (já que são comerciais), é que o anti-vírus não
pega. Tente também o excelente VNC (que pode ser pego em http://www.superdownloads.com.br),
que é gratuito. Se você configurar direitinho um programa desses na vítima, seja piedoso.

Seção de VNC estabelecida.
Escondendo o trojan em arquivos confiáveis
Existem muitos programas na Internet que escondem os servidores em arquivos
executáveis. Um deles é o The Joiner, que possibilita você juntar o trojan com algum outro
executável e criar um terceiro contendo os dois. Além de possibilitar que o coloque em fotos.
Um método engraçado muito utilizado hoje pelos que se dizem “hackers”, é renomear algum
executável para foto e deixar um largo espaço. Por exemplo: supondo que o nosso servidor é
o arquivo server.exe. Então iríamos renomeá-lo para loira.jpg .exe.
Assim muitos usuários inexperientes caem no truque. Todos os métodos citados
anteriormente têm somente uma falha: se você criar um executável pelo The Joiner ou
renomear o servidor, qualquer programa anti-vírus logo detectará o arquivo. Para que o antivírus
não o detecte, é só usar a imaginação. Crie um programa em alguma linguagem e
coloque o servidor no meio dos arquivos. Faça com que o programa quando executado
renomeie o servidor e o execute. Assim, se o servidor estiver como voodoo.dll passe-o para
sysconf.exe e execute. Esse método não é infalível mas engana a grande maioria dos
programas de detecção. Mas não todos. Anti-vírus geralmente o pega.

The Joiner: esconda o servidor em outro arquivo
Utilizando compressores de executáveis
Como vimos no ítem anterior, vários métodos podem ser usados para esconder um cavalo
de tróia. Depende mais da imaginação do invasor. Só que ainda assim podem ser facilmente
detectados. Esse é o primeiro livro a citar o método do compressor de executáveis windows
32 bits, apesar de essa técnica já vir sendo utilizada em larga escala. Consiste em usar um
programa compressor de arquivos EXE, que apenas diminua o seu tamanho retirando espaços
vazios desnecessários.
Um programa comum é o Petite que diminui cerca de 30% ou mais do arquivo original.
Um trojan (ou mesmo um vírus) comprimido é absolutamente indetectável por anti-vírus e
scanners. Isso porquê esses programas se baseiam na estrutura do arquivo para identificá-lo.
É como se tivesse fotos na memória e as comparasse. Como não encontrou nenhuma igual,
não mostra nenhum tipo de aviso. Um operador de sistemas têm que conhecer muito bem
seus arquivos e conferir sempre novas alterações (como datas e horas de novos arquivos) para
evitar que um trojan comprimido seja instalado em seu sistema. Não dependa só de anti-vírus.
Mas atenção: os compressores de executáveis não comprimem arquivos que já foram
comprimidos (como o server do trojan subseven).
Vamos realizar passo a passo o processo de esconder um trojan de um anti-vírus.
1. Passaremos o Norton para que encontre o arquivo infectado:

2. Agora, abriremos o programa PETITE para comprimir o arquivo EXE do
servidor do Netbus.
3. Com o arquivo já comprimido, novamente testamos o anti-vírus:

Spoofando uma porta
É muito raro a utilização do spoof em trojans. Isso porquê se a pessoa envia um pedido de
conexão a um servidor, ela precisa estar usando o seu endereço IP real para receber a
resposta. Apenas com o protocolo UDP, que envia comandos sem estabelecimento de
conexão, isso é possível. Em quase todos os casos, o endereço IP capturado por um programa
anti-trojans é realmente o do invasor. A única exceção é quando se utiliza um trojan de ponte
para se conectar a outro (geralmente TCP). Exemplo:
A máquina A têm duas opções. Pode se conectar ao trojan existente na máquina C. Mas
o invasor não quer correr nenhum risco pois não está usando nenhum tipo de recursos de
anonimidade. Então ele se conecta à máquina B que está na mesma rede que a máquina C
mas não possui nenhum tipo de segurança. Se utilizando da confiança entre as duas
máquinas, ele se conecta à máquina C que vai responder tudo o que invasor quiser, pois
pensa que é a máquina B. Essa técnica, chamada de IP Spoof, foi utilizado pelo hacker
Kevin Mitnick para conseguir acesso ao computador do analista de sistemas Shimomura. O
processo será descrito em detalhes na seção anonimidade.
Métodos eficazes e os não tão eficazes de se retirar o programa
Basicamente existem quatro métodos de se retirar um cavalo de tróia. Cada um possui suas
vantagens e falhas. O ideal seria usar um pouco de todos.
Máquina
A
Máquina
B
Máquina
C

Detecção por portas
Esse é um método utilizado por programas como o Xôbobus, o meu Anti-Trojans e
muitos outros. Funciona do seguinte modo: os programadores estudam as portas TCP e UDP
utilizadas pelos trojans e criam um programa que abre essas portas. Assim, quando um
invasor vir a porta aberta e pensar que é um cavalo de tróia que está instalado ali, cairá em
uma armadilha tendo o seu endereço IP detectado. Esse método não é muito eficiente pois
facilmente podemos mudar as portas que os trojans utilizam. Mas ainda é um método muito
usado pois muitas pessoas não se lembrar de trocar as portas.
Detecção pelo arquivo
Esse é o método usado pelos anti-vírus e o programa The Cleaner. Ele detecta o trojan
checando a sua estrutura. Se o arquivo estiver renomeado (sem ser para executável) ou estiver
comprimido, esse método se torna inútil. Para ser realmente eficaz, deve ser usado junto à
detecção de portas. Assim, mesmo que seu anti-vírus não encontrou um trojan, o Anti-
Trojans pode encontrar.
Detecção por string
Na minha opinião, o melhor método de todos. Pouco divulgado publicamente, se torna a
melhor garantia para se detectar um trojan sem falhas. Isso porquê mesmo que o programa for
comprimido ou mude suas portas, ele ainda estará usando uma das 65535 portas do sistema e
se comunicará com o cliente. A comunicação entre cliente e servidor se dá por uma string
(texto) enviada. Por exemplo: O Netbus 1.7 envia uma string assim “Netbus 1.7x” quando
alguma conexão é estabelecida. Se for o cliente, ele responderá com outra string. Então para
analisar todas as portas do seu sistema e saber quais estão abertas e possuem strings, utilize
um programa como o Chaoscan ou algum outro scanner de porta que lhe dê essas
informações.
Detecção manual
Muito eficaz também, a checagem manual do sistema pelo operador pode facilitar muito a
vida. Olhando registro, arquivos de inicialização, conferindo os programas carregados na
memória, o tamanho dos arquivos, etc… Todas essas precauções evitam dores de cabeça. Essa
política adotada junto aos outros tipos de detecção faz com que você exclua em 100% a
chance de uma invasão por cavalos de tróia.
Passo-a-passo: cavalos de tróia
Utilizando um trojan
Vamos utilizar um trojan para nos conectarmos a algum computador infectado. Antes de
tudo, verifique se o computador alvo está com o servidor instalado (o arquivo que
comprimimos anteriormente). Agora seguiremos os seguintes passos com o trojan Netbus:
1. Abra o programa Netbus (se o anti-vírus acusar vírus, passe o petite nele também)
2. Em hostname / IP , coloque o IP da máquina a ser invadida (se for seu próprio
computador, utilize 127.0.0.1). Se a porta no servidor for diferente de 12345 (o padrão
do Netbus), coloque-a em port.

3. Clique em connect!
Ao aparecer a mensagem “Connected” na barra de status, significa que a invasão foi bem
sucedida. Vamos agora realizar algumas ações:
1. Clique em Open CD-ROM para abrir o drive de cd da vítima.
2. Vá em Start Program e coloque c:\windows\calc.exe para abrir a calculadora.
3. Clique em Go to URL e mande a pessoa para algum site.
4. Use Listen para pegar os caracteres digitados pela pessoa e intervir no meio (como se
você estivesse escrevendo no Word e de repente as palavras se formam sozinhas).
5. A Port Redirect cria uma ponte. Coloque uma porta (geralmente use a 80) e um site.
Assim quando for ao Internet Explorer e digitar o IP do computador invadido, você
cairá nesse site configurado. Por exemplo: ao digitar 127.0.0.1 no browser fui enviado
para http://www.whitehouse.gov.
6. Dá para fuçar bem nas opções, mas a mais interessante é a App Redirect. Abra-a,
coloque uma porta qualquer (100 por exemplo) e mande executar um shell nessa porta
(no caso do Windows 95, 98 e ME, use c:\command.com , no NT, 2000 e XP use
cmd.exe). Agora utilize o telnet (vá em iniciar/ executar e digite: telnet 127.0.0.1 100 ,
trocando o endereço ip padrão pelo da vítima) e pronto. Você está no prompt do MSDOS
da pessoa. Têm o controle total da máquina.
7. Para desconectar, apenas clique em disconnect.
8. A opção server admin retira o servidor.
Utilizando o Anti-Trojans
Vamos utilizar como exemplo de detecção por portas, o meu programa Anti-Trojans
versão 1.6. Se quiser tentar outro programa, tente o Xô Bo Bus brasileiro ou algum
estrangeiro (procure no Superdownloads). É claro que um firewall (como veremos depois) é
mais potente. Mas é mais complicado para usuários comuns. Veremos passo a passo.

1. Abra o programa
2. Clique na pasta Configuração , e coloque a mensagem para a pessoa que tentar lhe
invadir. Se quiser, configure um e-mail para que a tentativa de invasão seja reportada.
3. Clique na pasta Monitorar.
4. Clique no botão Monitorar. Agora clique com o botão direito no ícone do superman na
barra de tarefas e selecione esconder.
5. Simule uma tentativa de invasão indo em Iniciar / Executar e digitando:
telnet 127.0.0.1 12345
O programa irá detectar a tentativa de invasão e mostrará uma mensagem com o horário,
o endereço IP do invasor, o seu host e o tipo de invasão tentada.
Para terminar o capítulo de trojans, uma pequena dica: altere o arquivo autorun.inf
de algum cd (aquele que faz o cd rodar sozinho quando no drive) e faça-o executar
algum servidor. É simples, até com o bloco de notas dá para fazer a alteração. Daí é
só gravar o cd (em uma gravadora, com alguns outros programas para despistar) e
pronto. Quem desconfiará de colocar um simples cd no drive? Esse processo também
funciona na unidade C e em disquetes. Experimente! Mas como curiosidade.

Denial of Service
Definição
A diferença entre um cracker e um script kiddie pode ser vista aqui. Um invasor decente
estuda em detalhes o sistema alvo, às vezes por meses, conhecendo todo o seu processo de
autenticação, usuários e falhas que podem levá-lo a ter acesso a arquivos vitais. Já o script
kiddie pega algum programinha de alguma homepage duvidável de fundo preto e imagens de
caveiras animadas, tenta usá-lo no primeiro sistema que vê na frente e se não consegue
invadí-lo , o derruba para mostrar que é “bom”. Isso é absolutamente inútil, afinal se o
sistema travar e cair devido ao Denial of Service, provavelmente ele volta a funcionar com
questão de poucos minutos. Ou o administrador competente rapidamente percebe. Alguns
programas bons para essa tarefa são o Agressor, o IGMP Nuker e o Divine Intervention
(para Windows). Para Linux e Unix, sem dúvida o melhor é o excelente Tribal Flood
Network.
Danos sem invasões
Por ser um ataque apenas voltado para o consumo de memória ou do processamento, o
DoS não é usado para invasão. Ao contrário de alguns programas que causam um estouro de
memória já sabendo que esse problema lhe dará acesso ao sistema (programas que causam
buffer overflow), a intenção do DoS é só chatear. Mesmo assim em grandes empresas o
prejuízo pode ser grande. Quando a Amazon.com foi tirada do ar por exemplo, chegou a ficar
apenas poucos minutos desligada, mas nesse tempo perdeu muito dinheiro em compras. O
mesmo aconteceu com o Yahoo e até com o UOL, que já foi tirado do ar.
Utilizando o broadcast como arma
Realizar um ataque de DoS é muito simples. Pode-se utilizar vários tipos de programas e
softwares zumbis para fazê-lo. Às vezes nem é preciso um programa adicional. Sites como
Yahoo e Altavista utilizam webspiders (programa utilizado para procurar informações
pulando de link em link) para checar o conteúdo de homepages. Muitos webspiders checando
o mesmo servidor ao mesmo tempo pode levá-lo ao colapso. Causar um DoS em algum
servidor de e-mail é ainda mais fácil. Utilizando um programa de e-mail bomba (software
que envia milhares de e-mails para o mesmo endereço) ou cadastrando o e-mail alvo em
serviços de spam (como mensagens de anjos, piadas, notícias e outros) pode encher a sua
caixa postal e travar todo o sistema. Ou mande um e-mail para alguém que tenha serviço de
resposta automática , utilizando o próprio endereço da pessoa. É assim: mande uma
mensagem para fulano@provedor.com.br usando esse e-mail (como se fosse o seu, já que

pra mandar e-mails não se precisa de senha). A resposta automática da caixa postal do Fulano
mandará mensagens para ele mesmo, travando sua caixa postal. O endereço de broadcast de
redes geralmente é o com final 255 (exemplo: 200.202.243.255). A solução para o problema
do e-mail é mais simples. Apenas use um bom filtro ou algum programa que impossibilite
que se receba mais de três e-mails enviados da mesma origem (endereço IP) durante um certo
intervalo de tempo.
Uma tela de um programa e-mail bomba
Syn-flood
O tipo de ataque usado para gerar o ip spoof. A autenticação por Syn é feita em três vias.
O ataque consiste em não completar essas três vias. Mais ou menos assim. No caso do ping,
ele é em duas vias, apenas envia o pacote e recebe a resposta. Para o Syn-flood, primeiro é
enviado o pacote Syn e logo depois teria que ser enviado o Ack para a conexão se
estabelecer, mas ele não é enviado, fazendo com que a máquina alvo consuma seus recursos
ao receber muitos Syns e esperar muitos Acks. O ataque por ping é parecido, é enviado vários
pings com grandes pacotes fazendo com que um sistema trave. Mas é mais difícil de ocorrer
o travamento do que o ataque por syn.
OOB
Ataque Out-of-Band ou popularmente conhecido como WinNuke. Consiste em mandar
pacotes malformados para uma porta Netbios do Windows. Geralmente usado nas portas 135,
137 e 139, essa última sendo a mais usada. O sistema não consegue lidar com os pacotes,
trava e mostra a famosa tela azul de erro. No Windows 95 esse ataque era mais eficaz, agora
está se tornando obsoleto.

Smurf
Na minha opinião o mais devastador de todos os ataques. Envia pacotes ICMP (protocolo
que informa condições de erro) spoofados para centenas, talvez milhares de sites. Envia-se os
pacotes com o endereço IP da vítima, assim fazendo com que ela receba muitos pacotes ping
de resposta ao mesmo tempo, causando um travamento total. Ainda não existe uma proteção
eficaz contra esse tipo de ataque. Um programa bom (para Windows) que realiza o smurf é o
WinSmurf.
De azul e bonitinho esse smurf não têm nada.
Softwares Zumbis
Programas que automatizam o processo de causar um DoS em alguma máquina. São
instalados em computadores estratégicos (como universidades, centros de pesquisa e outros)
que possuem conexão rápida à Internet e configurados para atacar ao mesmo tempo. Se eu
instalar o programa em vinte máquinas de diferentes endereços e configurá-las para enviar
10.000 pacotes cada uma, com certeza derruba qualquer host. Um programa muito utilizado
para isso é o Tribal Flood Network. Trojans também são largamente usados para esse fim.
Diminuindo o impacto causado pelos ataques
O melhor procedimento para se adotar é procurar os sites do fabricante do sistema
operacional e pegar atualizações para as falhas. Como é o caso do OOB(Winnuke). A
Microsoft já colocou um patch de correção em sua homepage. Evitar o máximo de uso
desnecessário da memória, assim dificultando um pouco os ataques. E sempre que puder,

aumentar a capacidade de processamento e a memória RAM do sistema. Isso não vai impedir
os ataques pois alguns não têm solução, mas só funcionam mesmo quando utilizados em
larga escala. O Smurf por exemplo, para derrubar um computador pessoal é fácil, mas um
grande host para cair seria preciso muitas pessoas realizando o ataque ao mesmo tempo. Ou a
utilização do software zumbi. A não ser que tenha comprado briga com alguns crackers, pode
ficar tranqüilo.
Sniffers
Definição
Os sniffers ou farejadores são o tipo de programas mais usados para conseguir senhas em
uma rede. Eles ficam residentes na memória como um cavalo de tróia, analisando todo o
tráfego que ali passa. Qualquer entrada ou saída de dados é capturada, seja em um servidor
FTP, uma página de chat ou um e-mail digitado. O sniffer pega os pacotes recebidos em seu
estado bruto e os transforma em texto puro para serem lidos. Sempre foram mais usados em
sistemas Unix, mas ultimamente todos os outros sistemas contam com poderosos sniffers.
Desde sniffers comercias como o excelente Íris até sniffers mais simples, como o tcpdump e
sniffers de trojans. Vamos fazer uma análise de como esses perigosos programas funciona.
Exemplo de uma tela de sniffer (programa IRIS)
Filtrando pacotes na rede

Muitas pessoas pensam que o sniffer pode ser usado em seu computador para capturar
pacotes do seu provedor. Não é bem assim. O programa têm de estar instalado no computador
central de uma rede em que se quer capturar pacotes. Utilizando o exemplo do provedor,
todos os seus usuários realizam o processo de autenticação em um servidor antes de
conectarem-se à rede. Assim, primeiro é necessário conseguir invadir o servidor e depois
colocar o sniffer. Ele irá monitorar absolutamente tudo, às vezes até informações pessoais dos
usuários, como endereço e telefone. Como são muitos os pacotes em uma rede, o farejador é
configurado para obter somente o essencial e importante: as senhas.
Capturando senhas
A principal preocupação de um operador é , ou pelo menos deveria ser, as senhas. Afinal,
por mais seguro que o sistema seja, uma senha adquirida maliciosamente é sempre perigosa.
O único interesse dos crackers é capturar logins e senhas. Nem se encontrar um e-mail de sua
namorada para o amante o cracker deixará de se concentrar em sua tarefa. Existem algumas
opções que ainda possibilitam filtrar os tipos de pacotes recebidos. Vamos supor que eu
quero descobrir todas as senhas que comecem com “C”. Após configurar o sniffer e esperar,
ele começa a me enviar os pacotes recebidos já “selecionados” com o que desejo.
Sniffers em trojans
Alguns trojans como o Back Orifice possuem sniffers como plug-ins (partes extras que
podem ser anexadas ao programa). O Buttsniffer, um dos melhores plug-ins para o BO
monitora absolutamente tudo no sistema Windows. Além de ter um arquivo executável à
parte, podendo funcionar sem depender do Back Orifice. Alguns outros trojans mais novos já
possuem o sniffer embutido. A tendência do sniffer e do trojan é de se tornarem uma
ferramente apenas, já que ambos têm características parecidas. O trojan de e-mail k2ps é um
bom exemplo disso. Ele monitora e envia todo tipo de senha importante por e-mail (na
verdade, alguns o consideram um keylogger que é um programa que loga tudo que se escreve
no teclado, eu não o considero assim pois ele é seletivo: só envia coisas importantes).
Roteadores
Alguns sniffers conseguem obter dados direto do roteador. Mesmo que seja instalada uma
proteção eficaz no sistema operacional, como um anti-sniffer, não adiantaria de nada se o
programa estiver pegando os dados diretamente roteados. A correção têm de ser feita
atualizando-se o próprio roteador. O ideal seria procurar a página do fabricante e verificar se
existe alguma dica ou informação sobre o assunto. Afinal, o seguro morreu de velho.
Anti-Sniffers
Como o próprio nome diz, são programas que detectam tentativas de sniffing. Ficam
residentes na memória como um anti-trojans, aguardando o invasor tentar algo. Há vários
tipos de anti-sniffers, alguns bem ruinzinhos e outros muito bons. Uma boa opçãos do
software são fingir o envio de dados, para que o cracker engane-se e pense que realmente está
conseguindo as senhas. Se você têm sofrido muitas invasões, certificou-se de não ser por
falhas ou trojans, monte um honeypot com um anti-sniffer. Com certeza deve pegar alguma
abelhinha. Experimente o programa Anti-sniff

GOSTOU SIGA O SITE