捕获telnet登录口令(4)

下午过来时想到，开始触发规则可以用clientIp <-- serverIp，服务器始终会给客户机一个"login:"提示，可以用它做开始触发。对于登录Solaris和Linux有所不同， 需要分别抓包确认其中区别，比如Solaris提示"login:"之后还有一些协商过程，而Linux没有。输入口令错误，第二次提示"login:"的报文就和Linux一样了，也是65个 字节(包括CRC)。提示"login:"的时候，如果连续两次回车，服务器给客户机的提示报文又有不同。根据具体情况抓包分析，按照某种原则选择合适的报文，设置开始触发规则。显然没有一劳永逸、放之四海皆准的触发规则。 

对于结束触发规则，如果服务器上用户主目录$HOME下有一个.hushlogin文件存在， 则服务器回显客户机的时候，没有"Last login:"信息，顶多是登录shell的显示(也 就几个字节)，此时前面设置的结束触发规则失效。演示举例中不考虑这些非普遍现象，真要对付所有情况，应该自己写程序做内容过滤，确定各种触发条件。 

现在来总结一下稍微通用点的Trigger设置： 

1) 开始触发规则"telnet_username begin" 

clientIp <-- serverIp 这个根据需要调整，必要时可以使用Any，不过对于Trigger， 使用Any的可能不大，仔细想想为什么。 

TELNET协议，只抓Normal报文。 

ACK+PSH标志，至少不要让带SYN的两个报文混进来吧。也就是在Data Pattern处设 置Packet 46 2 Hex，数据区设置50 18。这样做了之后实际意味着带IP选项、TCP选 项的报文被丢弃，进一步减少干扰信息。 

69 < Packet Size < 72，不解释了，分别登录Solaris/Linux，自己抓包看看。 

2) 持续抓包规则"telnet_username_passwd" 

clientIp --> serverIp 因为口令不回显，只能抓从客户机到服务器的击键获取口令。 没有必要抓服务器的回显，减少干扰信息。 

TELNET协议，只抓Normal报文。 

58 < Packet Size < 100 主要是考虑了使用Cterm登录的时候，进入行输入模式。如 果不考虑这种情况，完全可以指定Size = 59，这样要精确得多。 

在Data Pattern处设置Packet 46 2 Hex，数据区设置50 18。解释同上。 

3) 结束触发规则"telnet_passwd end" 

clientIp <-- serverIp，telnet协议，Packet Size > 100，只抓Normal报文。 

在Data Pattern处设置Packet 46 2 Hex，数据区设置50 18。解释同上。 

上面是说如何捕获telnet登录口令，同理，要在公共机房捕获BBS登录口令，首先抓包简单分析一下，设置不同的触发条件，一样容易实现。这个我就不写那么直白了，否则要被人砍死的。 

修改持续抓包规则，Size = 59，其他不变，起名"telnet_key"，不设置Trigger，直接捕获客户机到服务器的击键，我觉得这个设置简单、高效、实用。