Utilizando o Altivore

Vou fazer a instalação e execução do Altivore em um sistema FreeBSD, os mesmos resultados devem ser esperados em uma box Linux sem nenhuma distinção.

Para obter o source do altivore acesse:

• http://www.robertgraham.com/altivore/altivore.c

Para os que usam FreeBSD basta:

# cd /usr/ports/security/altivore
# make
# make install

E pronto! Para compilar no Linux use:

$ gcc altivore.c -lpcap -Ipcap -o altivore

Vamos dar uma olhada panorâmica no binário:

# ./altivore

--- ALTIVORE ---
Copyright (c) 2000 by Network ICE Corporation
Public disclosure of the source code does not
constitute a license to use this software.
Use "altivore -?" for help.
altivore.ini: No such file or directory
        mode = unspecified
Traffic seen
^C

Bom como podemos ver ele já tentou iniciar uma análise mesmo sem passarmos parâmetros para o mesmo. Vamos verificar o help dele e visualizar as opções que ele nos fornece:

# ./altivore -?

--- ALTIVORE ---
Copyright (c) 2000 by Network ICE Corporation
Public disclosure of the source code does not
constitute a license to use this software.
Use "altivore -?" for help.
altivore.ini: No such file or directory
Options:
<email-address> address to filter for, e.g.:
  rob@altivore.com (exact match)
  *@altivore.com (partial match)
  * (match all emails)
-h<ip-address>
        IP of host to sniff
-i<devicename>
        Network interface to sniff on
-l<logfile>
        Text-output logging
-m<mode>
        Mode to run in, see docs
-p<port>
        Server port to filter on
-r<tracefile>
        Test input
-w<tracefile>
        Evidence tracefile to write packets to

Vamos verificar algumas das opções mais interessantes:

• <email-address>
  
  E-mail que será filtrado, exemplo:
  • root@carnivore.com ( referência exata )
  • *@carnivore.com ( todos os logins de um domínio )
  • * irá capturar todos os e-mails
  
  
  
• -h<ip-address>
  
  Host que será sniffado ( em caso de conexões FTP ou Chat )
  
  
• -i<devicename>
  
  Network interface que será sniffada
  
  
• -l<logfile>
  
  Text-output logging
  
  
• -p<port>
  
  Porta que será filtrada

Vamos fazer uma sessão de testes para verificar seu funcionamento. Irei rodá-lo com parâmetros para capturar e-mails destinados ao root da máquina:

$ ./altivore root@RootSec -h127.0.0.1 -ilo -lLOG -p25

--- ALTIVORE ---
Copyright (c) 2000 by Network ICE Corporation
Public disclosure of the source code does not
constitute a license to use this software.
Use "altivore -?" for help.
altivore.ini: No such file or directory
        mode = unspecified
        logfile = LOG
        ip = 127.0.0.1
        port = 134572988
        email.address = root@RootSec
        interface = lo

Enquanto isso, em outro terminal, vamos enviar um email como root, para outro usuário local.

# telnet localhost 25
Trying ::1...
telnet: connect to address ::1: Connection refused
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 unsekurity.local ESMTP Postfix

Nesse instante o altivore já deu sinal de funcionamento:

Traffic seen
ehlo dead
250-unsekurity.local
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-XVERP
250 8BITMIME
mail from: spawn@RootSec
250 Ok
rcpt to: root@RootSec
250 Ok
data
354 End data with <CR><LF>.<CR><LF>
Olá root, iremos assaltar o banco às 9 O'Clock.
See Ya
.
250 Ok: queued as 73E472343C0
quit
221 Bye

Agora no terminal que estava sendo analisado pelo Altivore, vamos ver o log:

# cat LOG

Como vimos ele capturou o tráfego de e-mail destinado ao root.