Annual Ranking of America's Largest Corporation: Hacking

Showing posts with label Hacking. Show all posts

Saturday, February 19, 2011

Teknik Mengintai Jaringan Lawan

Langkahke empat (4) terakhir dalam proses footprinting adalah melakukan pengintaianjaringan lawan, dalam bahasa Inggris-nya adalah network reconnaissance. Prosespengintaian dapat dilakukan dengan menggunakan perangkat lunak traceroute (diUNIX / Linux), atau menggunakan tracert (di Windows).

Traceroutemerupakan perangkat lunak diagnostik yang pertama kali di kembangkan oleh salahsatu sesepuh Internet yaitu Van Jacobson. Dengan mengakali parameter Time ToLive (TTL) di paket IP agar setiap router yang dilewati mengirimkan berita ICMP_TIME_EXCEEDED,kita dapat memetakan route yang diambil oleh sebuah paket dalam jaringanInternet.

Sebagaicontoh kita akan melihat hasil traceroute ke beberapa mesin yang ada dilingkungan jaringan Telkom, seperti www.telkom.co.id, www.plasa.com,in-mta1.telkom.co.id. Proses traceroute dilakukan menggunakan sambungan dial-upmenggunakan ISP indo.net.id pada kecepatan 19.2Kbps. Mari kita lihat beberapakesimpulan dari peta yang kita peroleh.

[root@gate onno]# traceroute www.plasa.com

traceroute to www.plasa.com (202.134.0.172), 30 hopsmax, 38 byte packets

1 Digital-Tc.indo.net.id (202.159.33.29) 187.690 ms 189.692 ms 189.757 ms

2 Subnet-Gateway.indo.net.id(202.159.33.32) 189.820 ms 178.021 ms 179.822 ms

3 Loral-Gateway.indo.net.id (202.159.32.1) 189.840 ms 199.950 ms 182.850 ms 4 202.148.63.65 (202.148.63.65) 216.687 ms * 219.695 ms

5 * * 198.32.204.83 (198.32.204.83) 300.194 ms

6 *s2-4-gw1.gcc.jakarta.telkom.net.id (202.134.3.241) 490.050 ms 409.613 ms

7 *FE11-0-0.sm2.jakarta.telkom.net.id (202.134.3.149) 300.095 ms 309.653 ms

8 GigaE5-0.1.emm.jakarta.telkom.net.id(202.134.3.174) 349.822 ms 299.629 ms *

9 www.plasa.com (202.134.0.136) 400.178 ms 389.508 ms *

Tampaknyawww.plasa.comberada di Jakarta, karena memlalui beberapa mesin / router penting Telkom yangada di Jakarta; mesin gcc, sm2 kemungkinan ada di Semanggi / Sentral telkom diGatot Subroto – yah itu hanya tebakan dari gaya penamaan mesin Telkom yangkemungkinan mengambil referensi pola penamaan tempat cara abri yang agakkriptik tapi terprediksi Waktu yang dibutuhkan untuk mengirimkan paket &dikembalikan lagi oleh www.plasa.com adalah sekitar 400 mili detik.

[root@gate onno]# traceroute in-mta1.telkom.co.id

traceroute to in-mta1.telkom.co.id (202.134.0.196),30 hops max, 38 byte packets 1 Digital-Tc.indo.net.id (202.159.33.29) 507.252 ms 489.515 ms 509.857 ms

2 * Subnet-Gateway.indo.net.id(202.159.33.32) 200.130 ms 199.694 ms

3 Loral-Gateway.indo.net.id(202.159.32.1) 199.793 ms 189.703 ms 189.889 ms

4 202.148.63.65(202.148.63.65) 389.829 ms 269.620 ms *

5 * * *

6 s2-4-gw1.gcc.jakarta.telkom.net.id(202.134.3.241) 869.655 ms 669.665 ms

559.793 ms

7 FE11-0-0.sm2.jakarta.telkom.net.id(202.134.3.149) 489.828 ms 419.716 ms *

8 GigaE5-0.1.emm.jakarta.telkom.net.id(202.134.3.174) 369.912 ms 219.670 ms 219.859 ms

9 in-mta2.plasa.com (202.134.0.196) 339.852 ms 239.796 ms 289.778 ms

Secaratidak sengaja kita bisa melihat ternyata in-mta1.telkom.co.id adalah jugain-mta2.plasa.com, artinya semua mail ke orang telkom dengan hostnametelkom.co.id akan bisa di tangkap di in-mta2.plasa.com juga. Ini agak berbahayasebetulnya untuk sebuah perusahaan seperti Telkom. Tampaknya in-mta2.plasa.com,in-mta1.telkom.co.id & www.plasa.comberada dalam sebuah keluarga jaringan 202.134.0.x. Jika kita mengetahuistruktur organisasi Telkom, berarti 202.134.0.x merupakan tempat penyimpananmesin-mesin yang dikelola oleh Divisi Multimedia yang mengelola plasa.com.

[root@gateonno]# traceroute www.telkom.net.id

traceroute to www.telkom.net.id (202.134.0.12), 30hops max, 38 byte packets

1 Digital-Tc.indo.net.id (202.159.33.29) 197.334 ms 189.571 ms 189.805 ms

2 Subnet-Gateway.indo.net.id(202.159.33.32) 199.799 ms 189.752 ms 189.969

3 Loral-Gateway.indo.net.id(202.159.32.1) 189.734 ms 199.678 ms 189.795 ms

4 202.148.63.65(202.148.63.65) 249.844 ms 316.807 ms 289.855 ms

5 * * *

6 *s2-4-gw1.gcc.jakarta.telkom.net.id (202.134.3.241) 260.189 ms 299.710 ms

7 *FE11-0-0.sm2.jakarta.telkom.net.id (202.134.3.149) 320.187 ms 319.636 ms

8 *GigaE5-0.1.emm.jakarta.telkom.net.id (202.134.3.174) 330.246 ms *

9 game.plasa.com (202.134.0.12) 460.078 ms * 420.131 ms

Ahsemakin yakin saja kita, dari hasil traceroute www.telkom.net.idterlihat sekali bahwa ternyata www.telkom.net.idternyata identik dengan game.plasa.com. Jelas bahwa semua keluarga besarplasa.com & telkom.net.id adalah servis TelkomNet yang merupakan bagian dariservis Divisi Multimedia PT. Telkom; termasuk tentunya TelkomNet Instant yangsering menjadi bulan-bulan ISP Indonesia yang lain yang menunjukan ketidakadilan (ketidak fairan) Telkom dalam memberikan servis di Indonesia.

Menarikuntuk di simak ternyata Divisi Multimedia memegang keluarga IP 202.134.0.xsangat predictable sekali karena logikanya 202.134.x.x kemungkinan besar adalahkeluarga IP-nya PT. Telkom, dan nomor terkecil (0) di ambil oleh penyelenggara/ operator-nya, yaitu Divisi Multimedia. Dari hasil traceroute juga terlihatbahwa jaringan backbone / router utama Telkom tampaknya menggunakan keluarga IP202.134.3.x.

Selanjutnyakita mencoba melihat bagaimana dengan kantor pusat PT. Telkom Indonesia diBandung. Mari kita lihat hasil traceroute ke www.telkom.co.id yangtampaknya berada di kantor pusat PT. Telkom di Bandung.

[root@gate onno]# traceroute www.telkom.co.id

traceroute to www.telkom.co.id (202.134.2.15), 30hops max, 38 byte packets

1 Digital-Tc.indo.net.id (202.159.33.29) 341.254 ms 189.285 ms 189.863 ms

2 Subnet-Gateway.indo.net.id(202.159.33.32) 389.814 ms 539.738 ms 339.843 ms

3 Loral-Gateway.indo.net.id(202.159.32.1) 379.842 ms 189.737 ms 629.806 ms

4 ** *

5 198.32.204.83 (198.32.204.83) 520.177 ms 529.823 ms 489.612 ms

6 * * s2-4-gw1.gcc.jakarta.telkom.net.id(202.134.3.241) 490.196 ms

7 * FE11-0-0.sm2.jakarta.telkom.net.id(202.134.3.149) 720.213 ms *

8 * * *

9 * * fe-sm2.jakarta.telkom.net.id(202.134.3.179) 599.379 ms

10 s0-lembong.bandung.telkom.net.id (202.134.3.38) 719.669 ms 659.553 ms S4.lbg.bandung.telkom.net.id (202.134.3.50) 529.925 ms

11 192.168.16.250 (192.168.16.250) 765.193 ms 859.890 ms *

12 202.134.2.15 (202.134.2.15) 1070.083 ms 769.732 ms *

Darihasil traceroute ke www.telkom.co.id ada yang menggelitik hati saya,ternyata ada router di IntraNet Telkom menggunakan IP 192.168.16.250 yangtampak ke jaringan public. Ini terus terang, agak menyalahi pakem untukmendisain jaringan yang baik. Router yan menjadi firewall ke jaringan IntraNettelkom tampaknya ber-alamat IP 202.134.3.50.

Biasanyajaringan IntraNet 192.168.x.x & 10.x.x.x, harusnya tertutup untuk dilihatoleh publik. Jika perancang jaringan tersebut secara benar merancangjaringannya akan sangat sulit melakukan penetrasi jaringan menggunakantraceroute. Salah satu cara untuk melakukan traceroute menembus IntraNet,adalah dengan melakukan traceroute pada port tertentu, misalnya port 53 yangmerupakan port Domain Name System (DNS) menggunakan perintah:

# traceroute –s –P53IP_mesin_tujuan_dibalik_firewall

Bagipara administrator jaringan, tentunya akan sangat menyakitkan jika mengetahuibahwa jaringan-nya di intai oleh para hacker menggunakan traceroute. Adabeberapa software yang dapat digunakan untuk menipu / membatasi prosespengintaian tersebut, seperti snort (http://www.snort.org)yang merupakan software untuk melakukan Network Intrusion Detection System(NIDS). Kalau mau lebih jail lagi mungkin bisa menggunakan RotoRouter (http://packetstorm.securify.com/linux/trinux/src/rr-1.0.tgz) yang dapat mengirimkan respondspalsu terhadap program yang melakukan tracreroute. Selain itu, anda juga dapatmembatasi router-router yang ada di luar jaringan untuk membatasi traffik ICMP& UDP ke sistem yang spesifik, yang akhirnya akan mengurangi keterbukaanjaringan anda ke luar.

Teknik Mengcrack

Dalamtulisan ini saya coba ketengahkan beberapa teknik yang umumnya digunakanteman-teman untuk melakukan crack ke sistem komputer. Referensi-nya bisa dibacadi

Salahsatu referensi menarik lainnya adalah artikel dari Front-line Information SecurityTeam, "Techniques Adopted By 'System Crackers' When Attempting To BreakInto Corporate or Sensitive Private Networks," fist@ns2.co.uk & http://www.ns2.co.uk

Lembagaapa saja sebetulnya yang biasanya rentan terhadap serangan cracker ini? Adacukup banyak sebetulnya mulai dari:

institusi finansial & bank
Internet service provider (ISP)
Perusahaan farmasi
Lembaga pemerintah & pertahanan
Perusahaan multinasional

Paracracker ini profile-nya seperti apa? Jika kita perhatikan baik-baik makaumumnya mereka adalah pria berusia antara 16-25 tahun. Mereka umumnya melakukancracking untuk meningkatkan kemampuan cracking mereka atau untuk menggunakanresource yang ada di jaringan untuk keperluan pribadinya. Umumnya mereka adaopportunis yang secara untung-untung menscan sistem untuk melihat lubang darisistem. Umumnya setelah berhasil memasuki sistem yang dimaksud kemudianmengambil akses administrator (root) dari sistem tersebut; kemudian membuatakses backdoor agar dikemudian hari dapat memasuki sistem tersebut lagi sambilmenutup berbagai lubang security yang ada supaya cracker lain tidak bisamemanfaatkan sistem yang dia kuasai ini.

Sebelummemasuki berbagai teknik yang dipakai oleh para cracker untuk menguasai sistemada baiknya kita melihat secara sepintas saja metoda apa saja yang digunakanoleh berbagai perusahaan ini untuk menyambungkan ke Internet. Secara sederhanaumumnya berbagai perusahaan / instansi menyambung ke Internet menggunakanteknik-teknik firewall dan proxy server untuk akses bagi anggota / karyawan /siswanya agar bisa akses bersama melalui satu saluran komunikasi. Adapunhubungan ke Internet umumnya digunakan untuk hosting webserver, servis e-mailagar bisa berhubungan dengan dunia luar dan memberikan akses ke Internet bagiperusahaan / anggota / siswa.

Dalamsetup jaringan komputer yang demikian umumnya webserver bukanlah tempat yangcukup menarik untuk di serang jika kita menginginkan akses ke informasi yangada dalam corporate network. Kalaupun seorang cracker menyerang webserverumumnya digunakan untuk mengubah file yang ada untuk menjatuhkan citraperusahaan / lembaga. Bagi cracker yang berkeinginan untuk memasuki intranetcorporate maka serangan akan dilakukan ke server e-mail karena biasanya servere-mail yang mempunyai saluran secara langsung ke dalam intranet untuk bertukare-mail antara dunia intranet dan dunia internet. Bagi cracker yang cukupcanggih maka serangan akan dilakukan pada router menggunakan scanner secaraagresif terhadap protokol managemen SNMP yang akhirnya bisa mengubah routeryang ada menjadi jembatan mereka memasuki intranet dari internet.

Setelahmengetahui berbagai modus yang ada di atas mari kita bahas sedikit lebih detailtentang cara mereka menyerang. Teknik pertama yang perlu dilakukan oleh paracracker ini adalah teknik ‘cloak’ yang pada dasarnya menyembunyikan diri padasaar menyerang agar administrator jaringan di ujung sebelah sana tidakmenyadari bahwa mesin-nya sedang di serang. Teknik ‘cloak’ yang biasanyadigunakan oleh para cracker ini adalah:

Melakukan bouncing (melompat) dari mesin yang sebelumnya telah di serang melalui program telnet atau remote shell rsh.
Melakukan bouncing (melompat) dari mesin yang menjalankan windows melalui software wingate mereka.
Melakukan bouncing (melompat) dari server proxy yang salah di konfigurasinya.

Seorangcracker pada saat menyerang harus mengumpulkan banyak informasi tentangjaringan yang akan dia serang. Beberapa teknik yang umumnya digunakan untukmengumpulkan informasi tersebut biasanya dijalankan di perangkat Unix (bukanwindows) yang antara lain adalah:

Menggunakan perangkat lunak nslookup dalm memberikan perintah ‘ls <domain atau network>.
Melihat file HTML di server Web anda untuk mengidentifikasi host lain di intranet anda.
Melihat berbagai dokumen yang ada di server file (FTP) anda.
Melakukan hubungan ke server mail anda menggunakan perintah ‘telnet host 25’ dan memberikan perintah ‘expn <user>’.
Mem-‘finger’ pengguna yang memiliki account di mesin yang terbuka di internet.

Selanjutnyaadalah mengidentifikasi komponen jaringan apa saja yang di set sebagai komponenyang paling di percaya di jaringan intranet perusahaan tersebut. Biasanya mesinyang digunakan administrator atau server biasanya dipercaya sebagai mesinpaling aman di jaringan. Untuk melihatmesin mana yang di anggap paling aman di jaringan biasanya para cracker inistart dengan melihat men-cek daftar export dari Network File System (NFS) kedirectory /usr/bin, /etc dan /home dimesin mana saja dilakukan operasi NFStersebut. Jika bisa mengakses webserver maka bisa juga mengeksploitasikelemahan Common Gateway Internet (CGI) untuk mengakses file /etc/hosts.allow.

Setelahmelihat mesin mana yang dianggap paling aman / paling bisa dipercaya dijaringan intranet yang ingin kita serang. Langkah selanjutnya adalahmengidentifikasi kelemahan mesin-mesin tersebut. Ada beberapa program yangumumnya bersifat public domain & bisa secara mudah + gratisan di ambil diinternet yang bisa digunakan untuk melakukan operasi tersebut, beberapadiantara program di Linux untuk keperluan tersebut adalah ADMhack, mscan, nmap &banyak scanner kecil. Biasanya agar administrator mesin tidak mengetahui bahwakita melakukan scanning tersebut maka program ini di sembunyikan di balikprogram ‘ps’ atau ‘netstat’. Jika router di institusi / lembaga lawan tersebutternyata mengaktifkan kemampuan agar bisa dimanage jarak jauh menggunakanprotokol SNMP maka cracker yang lebih canggih bisa mengaktifkan teknik scanningSNMP yang bisa menguasai router tersebut.

Beberapahal yang biasanya di cek pada saat melakukan scanning pada sebuah alat dijaringan komputer antara lain adalah:

Scan port TCP dari sebuah mesin.
Melihat servis RPC yang dijalankan menggunakan portmapper.
Melihat daftar export melalui nfsd.
Melihat daftar directory yang di share melalui samba / netbios.
Melakukan banyak finger untuk mengidentifikasi account default.
Scan kelemahan Common Gateway Interface (CGI).
Identifikasi kelemagan berbagai software server yang dijaankan di mesin seperti, sendmail, IMAP, POP3, RPC status & RPC mountd.

Setelahmengetahui kelemahan sistem, cracker tinggal mengambil alih sistem sistemdengan menjalankan program dari jauh untuk mengeksploit kelemahan softwaredaemon server untuk memperoleh akses administrator / root dari mesin anda.Setelah cracker berhasil memperoleh akses ke peralatan yang lemah tadi makacracker umumnya melakukan operasi pembersihan ‘clean up’ terhadap file log agartidak terlihat oleh si administrator mesin tentang apa yang dilakukan oleh sicracker. Kemudian cracker akan memasang software / program yang diperlukanuntuk membuat ‘backdoor’ agar dikemudian hari dapat mengakses sistem tersebut.Memasang .rhosts file di /usr/bin agar dikemudian hari dapat menjalankanprogram di mesin yang sudah dikuasai menggunakan perintah rsh & csh dari jauhsaja.

Padatitik ini sebetulnya mesin sudah dikuasai tinggal dimanfaatkan saja. Ada banyakhal yang bisa dilakukan oleh cracker dalam memanfaatkan mesin yang sudah diakuasai, antara lain:

Menjadikan jembatan antara Internet dengan intranet network.
Menginstalasi sniffer untuk melihat traffic yang sedang berjalan di LAN Corporate network di situ bisa dilihat berbagai password, nomor kartu kredit kalau tidak dilindungi. Program cpm di http://www.cert.org/ftp/tools/cpm mungkin bisa membantu memperbaiki interface yang dipasangi sniffer ini.
Yang paling sial kalau cracker menjalankan perintah ‘rm –rf /&’ karena mesin akan hancur lebur. Anda akan membutuhkan waktu beberapa jam s/d beberapa bulan untuk memperbaikinya kalau anda tidak pernah memback-up setting anda. Hal ini akan sangat berbahaya jika dijalankan di mesin-mesin yang menjalankan operasi ‘mission critical’ misalnya server di perbankan dll.

Tcpdump Untuk Melihat Paket Data di Jaringan

Carapaling mudah mempelajari cara kerja jaringan komputer adalah dengan melihatpaket data yang berseliweran di jaringan komputer. Terus terang, saya selamabertahun-tahun (tepatnya 8 tahun-an) belajar jaringan komputer dengan caramelihat isi paket data yang lewat di jaringan. Pada saat itu saya menggunakanjaringan paket radio pada kecepatan 1200bps jadi sangat lambat dan sangat mudahuntuk melihat interaksi antar komputer berprotokol TCP/IP menggunakan program Network Operating System (NOS)yang di jalankan di PC/XT di atas program DOS 3.3..

Padasaat ini teknologi telah berkembang, jarang sekali kita memperoleh PC/XT denganDOS 3.3. Alternatif yang paling dekat adalah menjalankan program tcpdump disistem operasi Linux.

Tidakbanyak yang perlu anda siapkan untuk menjalakan kan tcpdump ini, yang pastisebuah komputer kelas Pentium dengan Linux di dalamnya. Kemudian installsoftware tcpdump, bisa dilakukan pada saat instalasi linux di lakukan ataumenggunakan proses instalasi software Linux baik melalui RPM atau install filetar-nya. Software tcpdump sendiri biasanya sudah ada dalam distribusi Linuxseperti Red Hat atau Mandrake, jika anda belum memilikinya atau tidakmenemukannya, dapat di ambil di http://www.tcpdump.org.

Untukmenjalankan tcpdump anda harus menggunakan user root. Adapun sintaks untukmenjalankan tcpdump adalah sebagai berikut

tcpdump [ -adeflnNOpqRStuvxX ] [ -c count ] [ -C file_size] [ -F file ]

[ -i interface ] [ -m module ] [ -r file ][ -s snaplen ] [ -T type ]

[ -w file ] [ -E algo:secret ] [ expression]

carastandard yang biasa saya gunakan untuk menjalankan tcpdump adalah

# tcpdump –i eth0

atau

# tcpdump –X –i eth0

Padaperintah yang pertama anda akan melihat semua header paket yang termonitor olehinterface eth0. Pada perintah yang ke dua, selain header paket akan ditampilkan isi data yang di bawa dalam paket yang termonitor oleh interface eth0baik dalam bentuk binary (hexadesimal) maupun dalam bentuk ASCII. Tentunyateknik yang ke dua akan berbahaya karena anda dapat dengan mudah membaca semuausername & password user di jaringan anda yang lewat di LAN, integritasmoral seorang hacker akan sangat menentukan apakah informasi yang di perolehakan digunakan untuk kebaikan atau keburukan.

Denganke dua cara di atas, jangan kaget kalau layar monitor anda akan dipenuhi printout paket yang lewat & akan scrolling dalam waktu yang sangat cepat. Bagianda yang menggunakan tcpdump untuk memonitor kegiatan di ppp0 (internetdial-up) maupun Wireless LAN mungkin scrolling di layar tidak akan se dramatisjika anda memonitor trafik di LAN.

Untukmengatasi kecepatan scrolling yang demikian gila-nya, ada baiknya kitamelakukan sedikit pemrograman untuk memfilter paket agar hanya paket tertentusaja yang di tampilkan di layar. Pemrogramman tcpdump tidak sukar, seluruhparameter yang digunakan dapat di tambahkan melalui sebuah file dan diinjeksikan ke tcpdump melalui parameter –F, sepert,

# tcpdump –i eth0 –Fnama-file-filter

nama-file-filterberisi parameter / teknik pemfilteran yang digunakan agar hanya segelintirpaket yang sesuai dengan kehendak kita yang akan di tampilkan di layar.

Tentunyabagi anda yang ingin menangkap paket yang lewat dalam jumlah besar ada baiknyadi simpan langsung ke file, untuk kemudian di analisa. Untuk menyimpan langsunghasil tangkapan paket ke file dalam menggunakan parameter –w, seperti,

# tcpdump –i eth0 –wfile-tangkapan-paket-data

semuapaket yang lewat akan masuk ke file bernama file-tangkapan-paket-data, sedanguntuk memainkan kembali hasil tangkapan tersebut, dapat dilakukan denganmenggunakan flag –b sebelum –w.

Contohcuplikan hasil tcpdump yang saya lakukan pada interface eth0 yang berupajaringan wireless LAN untuk akses ke Internet di daerah Jakarta Utara padafrekuensi 2.4GHz, terlihat sebagai berikut,

[root@gate onno]# tcpdump -X-i eth0

tcpdump: listening on eth0

20:13:19.539482host251.ignore.net.5235 > 203.77.237.255.8859: udp 10

0x0000 4500 0026 b6c6 0000 ff11 9269 cb4d edfb E..&.......i.M..

0x0010 cb4d edff 1473 229b 0012 df09 4845 4152 .M...s".....HEAR

0x0020 5442 4541 5400 4006 0400 4a02 7172 0000 TBEAT.@...J.qr..

0x0030 78bf a840 1400 x..@..

20:13:20.539467 802.1d config8000.00:03:e3:80:cb:09.8001 root 8000.00:03:e3:80:cb:09 pathcost 0 age 0 max 20hello 2 fdelay 15

0x0000 4242 0300 0000 0000 8000 0003 e380 cb09 BB..............

0x0010 0000 0000 8000 0003 e380 cb09 8001 0000 ................

0x0020 1400 0200 0f00 0000 0000 0000 0000 ..............

20:13:22.149482host145.ignore.net > host24.mcast.net: ip-proto-88 40 [tos 0xc0]

0x0000 45c0 003c 0000 0000 0258 1ec1 cb4d ed91 E..<.....X...M..

0x0010 e000 000a 0205 ee6c 0000 0000 0000 0000 .......l........

0x0020 0000 0000 0000 0064 0001 000c 0100 0100 .......d........

0x0030 0000 000f 0004 0008 0c01 0101 0010 0000 ................

0x0040 0100 0000 ....

20:13:22.749478 arp who-hashost163.ignore.net tell host164.ignore.net

0x0000 0001 0800 0604 0001 0000 21f7 c659 cb4d ..........!..Y.M

0x0010 eda4 0000 0000 0000 cb4d eda3 2020 2020 .........M......

0x0020 2020 2020 2020 2020 2020 2020 2020 0100 ................

0x0030 0000 000f 0004 ......

20:13:22.819484203.77.237.252.netbios-ns > 203.77.237.255.netbios-ns:

>>> NBT UDPPACKET(137): QUERY; REQUEST; BROADCAST

0x0000 4500 004e 25ae 0000 8011 a259 cb4d edfc E..N%......Y.M..

0x0010 cb4d edff 0089 0089 003a 53ec ac6c 0110 .M.......:S..l..

0x0020 0001 0000 0000 0000 2046 4545 4a45 4e45 .........FEEJENE

0x0030 4646 4b45 5045 4f45 4643 4143 4143 4143 FFKEPEOEFCACACAC

0x0040 4143 4143 4143 4142 4c00 0020 0001 0a08 ACACACABL.......

0x0050 6865 he

20:13:22.819674

>>> NetBeui Packet

Type=0x3 Length=44 (0x2c)Signature=0xEFFF Command=0x8

NetbiosDataGram:

Destination=TIMEZONE NameType=0x1B (Domain Controller)

Source=PROXY NameType=0x00 (Workstation)

SMB PACKET: SMBtrans(REQUEST)

0x0000 f0f0 032c 00ff ef08 0000 0000 0000 0054 ...,...........T

0x0010 494d 455a 4f4e 4520 2020 2020 2020 1b50 IMEZONE........P

0x0020 524f 5859 2020 2020 2020 2020 2020 00ff ROXY............

0x0030 534d 4225 0000 0000 1803 0000 0000 0000 SMB%............

0x0040 0000 0000 0000 0000 00fe ca00 0000 0011 ................

0x0050 0000 ..

20:13:22.828100gate.yc1dav.ampr.org.1190 > ns1.indo.net.id.domain: 50267+ PTR? 252.237.77.203.in-addr.arpa. (45)(DF)

0x0000 4500 0049 12a0 4000 4011 0448 c0a8 7872 E..I..@.@..H..xr

0x0010 ca9f 2002 04a6 0035 0035 b844 c45b 0100 .......5.5.D.[..

0x0020 0001 0000 0000 0000 0332 3532 0332 3337 .........252.237

0x0030 0237 3703 3230 3307 696e 2d61 6464 7204 .77.203.in-addr.

0x0040 6172 7061 0000 0c00 01 arpa.....

20:13:22.849461 arp who-hasgate.yc1dav.ampr.org tell sumaryo.gate.net

0x0000 0001 0800 0604 0001 0010 5a63 fd7a c0a8 ..........Zc.z..

0x0010 7801 0000 0000 0000 c0a8 7872 0000 0000 x.........xr....

0x0020 0000 0000 0000 0000 0000 0000 0000 4e45 ..............NE

0x0030 4646 4b45 5045 FFKEPE

20:13:22.849643 arp replygate.yc1dav.ampr.org is-at 0:0:f0:64:96:ae

0x0000 0001 0800 0604 0002 0000 f064 96ae c0a8 ...........d....

0x0010 7872 0010 5a63 fd7a c0a8 7801 xr..Zc.z..x.

20:13:22.859513ns1.indo.net.id.domain > gate.yc1dav.ampr.org.1190: 50267 NXDomain 0/1/0 (133) (DF)

0x0000 4500 00a1 0000 4000 3811 1e90 ca9f 2002 E.....@.8.......

0x0010 c0a8 7872 0035 04a6 008d 17ae c45b 8183 ..xr.5.......[..

0x0020 0001 0000 0001 0000 0332 3532 0332 3337 .........252.237

0x0030 0237 3703 3230 3307 696e 2d61 6464 7204 .77.203.in-addr.

0x0040 6172 7061 0000 0c00 01c0 1400 0600 0100 arpa............

0x0050 0027 .'

41 packets received by filter

0 packets dropped by kernel

Bagi anda yang belum terbiasa kemungkinan akan cukuppusing membaca demikian banyak data yang lewat, secara umum,

· paket pertama yang ada dalam hasil tangkapan iniberisi paket broadcast ke alamat 203.77.237.255 port 8859 berisi message HEARTBEAT, entah untuk apa inidilakukan.

· Paket ke dua berisi informasi routing dari salahsatu base station menggunakan protokol IEEE 802.11b yang bekerja di frekuensi2.4GHz.

· Paket ke tiga menandakan bahwa mesin tersebutdapat melakukan servis multicast, yang beralamat pada 224.0.0.24.

· Paket ke empat berisi protokol AddressResolution Protocol (ARP) dan menanyakan hardware address salah satu mesin dijaringan.

· Paket ke lima berisi protokol SMB yang digunakandalam Network Neighbourhood di Windows. Node 203.77.237.252 menanyakan apakahada node SMB lain di jaringan.

· Paket ke enam berisi permohonan untuk menanyakandomain name dari mesin penulis gate.yc1dav.ampr.org ke mesin ns1.indo.net.id.

· Dst ..

Terlihat sekali operasional sebuah jaringan komputerseperti Internet sangatlah kompleks dan melibatkan banyak sekali tata carakomunikasi (protokol). Keterangan lengkap tentang cara kerja protokol-protokolini dapat di download secara gratis di berbagai situs di Internet terutama diInternet Engineering Task Force (IETF) http://www.ietf.org.

Tentunya membaca sekian banyak header cukup membuat kepalapusing, bagi anda yang ingin melihat proses interaksi yang berlangsung tanpamelihat isi message yang di transaksikan dapat menggunakan tcpdump –i sajaseperti terlihat di tampilan selanjutnya.

[root@gate onno]# tcpdump -ieth0

tcpdump: listening on eth0

20:13:44.699472 802.1d config8000.00:03:e3:80:cb:09.8001 root 8000.00:03:e3:80:cb:09 pathcost 0 age 0 max 20hello 2 fdelay 15

20:13:45.239465 arp who-hashost163.ignore.net tell host164.ignore.net

20:13:45.259470host145.ignore.net > host24.mcast.net: ip-proto-88 40 [tos 0xc0]

20:13:46.409466host232.sumaryo.gate.net.4488 > 192.168.120.255.8859: udp 10

20:13:46.719462 802.1d config8000.00:03:e3:80:cb:09.8001 root 8000.00:03:e3:80:cb:09 pathcost 0 age 0 max 20hello 2 fdelay 15

20:13:48.729463 802.1d config8000.00:03:e3:80:cb:09.8001 root 8000.00:03:e3:80:cb:09 pathcost 0 age 0 max 20hello 2 fdelay 15

20:13:49.739471 arp who-hashost163.ignore.net tell host164.ignore.net

20:13:49.859466host145.ignore.net > host24.mcast.net: ip-proto-88 40 [tos 0xc0]

20:13:50.739465 802.1d config8000.00:03:e3:80:cb:09.8001 root 8000.00:03:e3:80:cb:09 pathcost 0 age 0 max 20hello 2 fdelay 15

20:13:51.999468

>>> NetBeui Packet

Type=0x3 Length=44 (0x2c)Signature=0xEFFF Command=0xA

NameQuery:

SessionNumber=0xD

NameType=0x0

ResponseCorrelator=0xD

Destination=15 NameType=0x20 (Server)

Source=SERVER NameType=0x00 (Workstation)

20:13:53.859461 arp who-has203.77.237.172 tell host161.ignore.net

20:13:53.867775gate.yc1dav.ampr.org.1190 > ns1.indo.net.id.domain: 4214+ PTR? 172.237.77.203.in-addr.arpa. (45)(DF)

20:13:53.889518ns1.indo.net.id.domain > gate.yc1dav.ampr.org.1190: 4214 NXDomain 0/1/0 (133) (DF)

44 packets received by filter

0 packets dropped by kernel

[root@gate onno]#

Tampakpada tampilan hanya header paket data yang lewat yang di tampilkan tanpa isi(payload) paket. Masing-masing jenis protokol akan memberikan tampilan headeryang berbeda, detail tentang informasi yang di kandung dalam print out headertersebut dapat dibaca di manual tcpdump yang bisa di ambil di www.tcpdump.orgatau di Linux pada

$ man tcpdump

[root@gate onno]# tcpdump -ieth1

tcpdump: listening on eth1

20:31:36.462156

>>> NetBeui Packet

Type=0x406C Length=14 (0xe)Signature=0xEFFF Command=0x14

NetbiosDataAck:

TransmitCorrelator=0x28

RemoteSessionNumber=0xB

LocalSessionNumber=0xE

20:31:36.464914

>>> NetBeui Packet

Type=0x406E Length=14 (0xe)Signature=0xEFFF Command=0x15

Unknown Netbios Command Data:(9 bytes)

[000] 04 00 00 00 00 28 000B 0E .....(.. .

SMB PACKET: SMBwritebraw(REQUEST)

20:31:36.466129

>>> NetBeui Packet

Type=0x4070 Length=14 (0xe)Signature=0xEFFF Command=0x16

NetbiosDataOnlyLast:

Flags=PIGGYBACK_ACK_ALLOWED

ResyncIndicator=0x0

ResponseCorelator=0x28

RemoteSessionNumber=0xB

LocalSessionNumber=0xE

20:31:36.470069

>>> NetBeui Packet

Type=0x7240 Length=14 (0xe)Signature=0xEFFF Command=0x16

NetbiosDataOnlyLast:

Flags=PIGGYBACK_ACK_ALLOWEDPIGGYBACK_ACK_INCLUDED

ResyncIndicator=0x0

ResponseCorelator=0x28

RemoteSessionNumber=0xE

LocalSessionNumber=0xB

SMB PACKET: SMBwritebraw(REPLY)

Berbedadengan sebelumnya pada tampilan berikutnya adalah hasil tangkapan paket datayang lewat di eth1 (bukan eth0), eth1 merupakan interface LAN yang tersambungke jaringan lokal di rumah. Kebanyakan trafik yang lewat adalah trafik transferfile antar komputer menggunakan network neighbourhood di Windows. Terlihatjelas sekali praktis di dominasi oleh paket-paket SMB atau NetBeui.

Untuk memfilter sekian banyak paket yang lewat ada baiknyakita membuat file teks berisi parameter untuk filtering yang dapat di jalankanmenggunakan perintah

# tcpdump–i eth0 –F nama-file-filter

beberapa contoh perintah yang dapat di isikan dalam‘nama-file-filter’, untuk memudahkan saya coba terjemahkan beberapa contoh yanganda dalam manual tcpdump ke bahasa indonesia.

· Untuk melihat semua paket yang dapat & pergidari mesin sundown, gunakan perintah:

tcpdumphost sundown

· Untuk melihat semua trafik di mesin heliosdengan mesin hot atau ace, gunakan perintah:

tcpdumphost helios and $ hot or ace $

· Untuk melihat semua paket antara mesin acedengan semua mesin, kecuali mesin helios, gunakan perintah:

tcpdump ip host ace and nothelios

· Untuk melihat semua trafik di mesin lokal padajaringan (net) berkeley, gunakan perintah:

tcpdumpnet ucb-ether

· Untuk melihat semua trafik ftp melalui internetgateway snup, gunakan perintah berikut (perlu dicatat tanda kutip digunakanagar shell tidak salah interpretasi tanpa kurung):

tcpdump'gateway snup and (port ftp or ftp-data)'

· Untuk melihat trafic yang sumber atau tujuannyabukan ke mesin lokal network, gunakan perintah:

tcpdumpip and not net localnet

· Untuk melihat paket start & stop (SYN &FIN paket) dalam setiap hubungan TCP yang dilakukan dengan mesin non-lokal,gunakan perintah:

tcpdump 'tcp[tcpflags] &(tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

· Untuk melihat paket IP yang panjang-nya lebihdari 576 byte yang dikirim melalui gateway snup, gunakan perintah:

tcpdump'gateway snup and ip[2:2] > 576'

· Untuk melihat paket IP broadcast atau multicastyang tidak dikirim melalui ethernet broadcast atau multicast, gunakan perintah:

tcpdump 'ether[0] & 1 =0 and ip[16] >= 224'

· Untuk melihat semua paket ICMP yang bukan ping,gunakan perintah:

tcpdump 'icmp[icmptype] != icmp-echoand icmp[icmptype] != icmp-echoreply'

Untukbenar-benar mengerti makna dari masing-masing perintah sangat di sarankan untukmempelajari header & cara kerja protokol TCP, IP, ICMP, UDP dll. Naskahyang mendeskripsikan kerja masing-masing protokol tersebut dapat di ambil di http://www.ietf.orgdi kenal dengan Request For Comment (RFC).