Laboratorio: Esteganografía– ocultar datos en cabeceras TCP/IP

Creación manual de comunicados esteganográficos

Para la creación de mensajes esteganográficos también se puede usar un par de
programas – SendIP, que sirve para enviar los paquetes, y tcpdump – que permite
interceptar el tráfico TCP. Supongamos que queremos enviar un mensaje con la frase
hack de modo oculto. Por lo tanto seleccionamos uno de los muchos algoritmos
– ocultamos el mensaje en el campo Identificación del datagrama IP. Para enviar
la primera letra del comunicado, hay que introducir la siguiente instrucción:

# sendip -p ipv4 -ii 104 -p tcp -td 80 192.168.1.2

Estas banderas significan que queremos valernos de los protocolos IPv4 y TCP
(-p ipv4, -p tcp), para enviar el paquete al puerto 80 (-td 80) del host con dirección
192.168.1.2. Sin embargo, lo más importante es el valor el campo Identificación –
104 (-ii 104). En el código ASCII esta cifra es la letra h.

Para enviar todo el texto del mensaje (hackin), hay que repetir el procedimiento
para las letras sucesivas, cambiando apropiadamente el valor del campo Identificación:
104 para la letra h, 97 – a, 099 -c ,107 ,– k, 105 – i, 110 – n .
El código ASCII completo lo tenéis en el página http://www.neurophys.wisc.edu/comp/docs/ascii/
El destinatario, para leer el mensaje, antes debe ejecutar el programa tcpdump
que escucha en el puerto 80:

# tcpdump -vvv dst port 80

El valor, camuflado por el remitente, se encuentra en el campo id:
15:58:00.491516 192.168.1.1.0 > 192.168.1.2.http:
S [tcp sum ok] 3843951135:3843951135(0)
win 65535 (ttl 255, id 104, len 40)

Por supuesto, el modo manual de ocultar mensajes es ímprobo e incómodo. No obstante,
de esta manera el destinatario, siempre que conozca el algoritmo esteganográfico,
estará en capacidad de recibir y comprender el comunicado.

referencias: revista hakin9 N4

Conclusiones:

Por causas de perdidas de paquetes o drop , puede darce el problema de que no llegen algunos paquetes y no podamos entender con claridad o como diriamos mas tecnicamente la suma de integracion o la integridad se vio afectada , esto hace que el metodo sea poco utilizado y muy probablemente poco fiable.

Es un metodo dificil de detectar aun haciendo filtrado de paquetes

by bad_robot

saludos

Link en descarga en formato txt

http://www.mediafire.com/download.php?ov4onyyytjz