25/02/2005
Sniffer para Linux
Um empresa em que trabalhei gostaria de saber o que
anda rolando nas conversas de MSN de seus funcionários, achei
interessante e ao mesmo tempo uma questão de falta de ética, mas
como não cabe a mim uma análise filosófica do que o cliente
requisita e sim tentar vender esta solução para ele, fui atrás de
um meio de tornar isso possível.
Foi aí que encontrei o IMHear (Instant Message Hear), um
sniffer de pacotes MSN bastante simples. Funciona com base na
biblioteca libpcap.
Dá para fazer uma analogia entre o IMHear e o tcpdump, o resultado é o mesmo (claro, o tcpdump pega todos os pacotes TCP). É possível rodar o programa em background e deixar ele criando logs automáticos separados por IP de todas as conversas de MSN que trafegam por sua rede.
Importante: instale o IMHear na sua máquina gateway
(desculpem se isto parece óbvio).
Baixe o pacote IMHear-1.0.zip e descompacte-o
em algum diretório no seu Linux. Como exemplo vou usar o /msndump.
# mkdir /msndump
# unzip IMHear-1.0.zip -d /msndump
# cd /msndump/libpcap-0.8.3/
# ./configure
# make
# make install
O processo é rápido.
Depois de executados os passos acima com sucesso, volte à pasta
anterior /msndump e digite:
# make
Pronto! Um arquivo chamado hear foi criado na pasta atual. Este é o
programa compilado que você usará.
OK, agora alguns truquezinhos básicos para ele funcionar legal.
Digitando:
# ./hear
ele vai listar as interfaces de rede presentes na máquina.
NOTA: Selecione a placa de rede que é conectada a sua rede interna,
apesar de eu acreditar que funcione também usando a placa gateway
(teoricamente).
Se você quiser fazer o programa farejar na eth0, simplesmente execute:
# ./hear 0
Caso queira eth1:
# ./hear 1
e assim por diante.
Para que o programa gere os logs, você precisa criar manualmente o
diretório "log" dentro da pasta em que o programa foi instalado, ou
seja, no exemplo:
# mkdir /msndump/log
Abaixo segue como botei pra funcionar aqui em minha rede.
# /usr/local/msndump/hear 0 > /dev/null &
(executa em segundo plano e não manda resultados de execução para
a tela, apenas para os logs)
Aí é só deixar rodando, no fim do dia ou quando quiser dar uma
olhadinha nos logs criados e demitir quem merecer hehehehehe....
Um abraço e espero que tenha sido útil.
