CEH Module 8: Sniffer, Kỹ thuật Bắt gói tin và Đánh chặn Mạng

Trong kiến trúc mạng máy tính truyền thông, phần lớn các cuộc tấn công đánh cắp danh tính, chiếm đoạt phiên làm việc (Session Hijacking) hoặc thu thập mật khẩu người dùng đều bắt nguồn từ một kỹ thuật cơ bản nhưng cực kỳ nguy hiểm: Đánh chặn và nghe lén gói tin (Packet Sniffing). Khi một kẻ tấn công có thể thâm nhập vào cùng phân đoạn mạng nội bộ (LAN) hoặc mạng không dây (Wi-Fi) với nạn nhân, mọi dữ liệu không được mã hóa đều có nguy cơ bị phơi bày toàn bộ.

Đối với các chuyên gia an ninh mạng và người học chứng chỉ Certified Ethical Hacker (CEH v12), việc nắm vững cơ chế bắt gói tin ở tầng liên kết dữ liệu (Data Link Layer), hiểu rõ sự khác biệt giữa Passive Sniffing và Active Sniffing, giải phẫu luồng tấn công đầu độc bộ đệm ARP (ARP Cache Poisoning), cùng kỹ thuật làm tràn bảng nhớ CAM (MAC Flooding) là nền tảng tối quan trọng. Bài viết này sẽ phân tích chi tiết toàn diện Module 8: Sniffer, từ nguyên lý hoạt động của card mạng ở chế độ hỗn tạp (Promiscuous Mode) đến các giải pháp phòng thủ cứng hóa Switch như Port Security, DHCP Snooping và Dynamic ARP Inspection (DAI).

1. Bản chất Kỹ thuật của Sniffer: Phân tầng Dữ liệu và Promiscuous Mode

Trong thuật ngữ tình báo và an toàn thông tin, từ "Sniffer" (hay máy nghe lén) chỉ các phần mềm hoặc thiết bị phần cứng chuyên dụng có khả năng chặn bắt, ghi lại và giải mã các luồng dữ liệu đang truyền qua môi trường mạng máy tính.

Phân biệt Khái niệm Packet (Gói tin) và Frame (Khung dữ liệu)

Một câu hỏi thường gặp trong các kỳ thi quốc tế là sự phân định giữa Frame và Packet:

• Frame (Khung dữ liệu): Là đơn vị dữ liệu hoạt động tại Tầng 2 (Data Link Layer) của mô hình OSI. Frame chứa địa chỉ phần cứng MAC nguồn (Source MAC) và địa chỉ MAC đích (Destination MAC), chịu trách nhiệm vận chuyển dữ liệu giữa các thiết bị kết nối trực tiếp trong cùng một mạng cục bộ (LAN).
• Packet (Gói tin): Là đơn vị dữ liệu hoạt động tại Tầng 3 (Network Layer) của mô hình OSI. Packet chứa địa chỉ logic IP nguồn (Source IP) và IP đích (Destination IP), chịu trách nhiệm định tuyến dữ liệu xuyên qua các mạng khác nhau trên Internet.

Một công cụ Sniffer thực chất làm việc ở Tầng 2: nó bắt toàn bộ các Frame từ card mạng, sau đó bóc tách tiêu đề Ethernet để lấy Packet IP ở Tầng 3, tiếp tục bóc tách tiêu đề TCP/UDP ở Tầng 4 để phục hồi dữ liệu ứng dụng (Application Payload) ở Tầng 7.

Nguyên lý Hoạt động của Card Mạng: Normal Mode vs Promiscuous Mode

Trong điều kiện vận hành bình thường, card giao tiếp mạng (NIC - Network Interface Card) của máy tính hoạt động ở chế độ tiêu chuẩn (Non-promiscuous Mode). Bộ điều khiển phần cứng của NIC chỉ tiếp nhận các Frame thuộc một trong ba điều kiện sau:

1. Địa chỉ MAC đích trong Frame trùng khớp chính xác với địa chỉ MAC vật lý của chính card mạng đó (Unicast).
2. Địa chỉ MAC đích là địa chỉ quảng bá chung cho toàn mạng: FF:FF:FF:FF:FF:FF (Broadcast).
3. Địa chỉ MAC đích thuộc nhóm địa chỉ đa hướng mà máy tính đã đăng ký lắng nghe (Multicast).

Mọi Frame khác không đáp ứng các điều kiện trên sẽ bị phần cứng NIC loại bỏ (drop) ngay lập tức tại cổng giao tiếp, hoàn toàn không chuyển tiếp lên hệ điều hành hoặc CPU xử lý nhằm tiết kiệm tài nguyên hệ thống.

Tuy nhiên, khi một phần mềm Sniffer (như Wireshark, Tcpdump) được khởi chạy với đặc quyền quản trị viên, nó sẽ nạp một trình điều khiển đặc biệt (Packet Capture Driver như Npcap trên Windows hoặc libpcap trên Linux) để chuyển card mạng sang Chế độ hỗn tạp (Promiscuous Mode). Tại chế độ này, bộ lọc phần cứng bị vô hiệu hóa hoàn toàn: NIC tiếp nhận và chuyển tiếp lên hệ điều hành mọi Frame mạng xuất hiện trên đường truyền vật lý, bất kể địa chỉ MAC đích là của ai. Nhờ đó, máy tính trở thành một trạm giám sát toàn bộ dữ liệu đi ngang qua nó.

2. Các Giao thức Rủi ro Cao Dễ bị Tổn thương bởi Sniffer

Nguyên tắc vàng trong an toàn mạng: Bất kỳ giao thức truyền thông nào không áp dụng mã hóa đầu cuối đều có thể bị Sniffer đọc trộm toàn bộ nội dung mà không gặp bất kỳ rào cản nào.

Giao thức Mạng	Cổng Mặc định	Cơ chế Rủi ro và Dữ liệu Bị Lộ lọt
HTTP	TCP 80	Toàn bộ văn bản HTML, dữ liệu biểu mẫu (Form data), tham số URL, và đặc biệt là Cookie phiên làm việc (Session Cookie) được truyền ở dạng văn bản thuần (Cleartext), cho phép kẻ tấn công chiếm phiên đăng nhập ngay lập tức.
FTP	TCP 21	Lệnh xác thực USER và PASS gửi tên đăng nhập và mật khẩu không mã hóa. Kẻ nghe lén có thể đọc trọn vẹn thông tin đăng nhập máy chủ tập tin chỉ với một bộ lọc Wireshark đơn giản.
Telnet	TCP 23	Mọi ký tự gõ từ bàn phím (Keystroke) của quản trị viên, bao gồm lệnh hệ thống và mật khẩu root, đều được đóng gói nguyên trạng vào các gói tin TCP không mã hóa.
POP3 / IMAP / SMTP	TCP 110, 143, 25	Các giao thức gửi và nhận thư điện tử truyền thống truyền thông tin đăng nhập và toàn bộ nội dung thư, tệp đính kèm ở dạng văn bản rõ ràng nếu không cấu hình TLS/SSL.
SNMP v1 / v2c	UDP 161, 162	Chuỗi ký tự xác thực quản trị (Community String, thường là public hoặc private) được gửi không mã hóa, cho phép kẻ nghe lén chiếm quyền đọc toàn bộ cấu hình mạng của router và switch.

3. So sánh Chuyên sâu: Bắt gói Bị động (Passive) vs Bắt gói Chủ động (Active)

Khả năng thành công của việc nghe lén phụ thuộc trực tiếp vào cấu trúc phần cứng của mạng cục bộ, dẫn đến sự phân chia thành hai trường phái kỹ thuật: Passive Sniffing và Active Sniffing.

1. Bắt gói Bị động (Passive Sniffing trên Môi trường Hub)

Một thiết bị Hub mạng hoạt động tại Tầng 1 (Physical Layer) của mô hình OSI. Hub không có bộ nhớ, không có bảng định tuyến và không hiểu cấu trúc của Frame Ethernet. Khi nhận được tín hiệu điện từ một cổng, Hub đơn giản là khuếch đại và sao chép tín hiệu đó ra tất cả các cổng còn lại trong cùng một miền xung đột (Collision Domain).

Do đó, trong một mạng dùng Hub, khi Host A gửi dữ liệu cho Host B, gói tin cũng đồng thời xuất hiện tại cổng kết nối của máy Attacker. Kẻ tấn công chỉ cần bật card mạng ở chế độ Promiscuous Mode là có thể thu thập toàn bộ dữ liệu mà không cần phát sinh thêm bất kỳ gói tin nào ra mạng. Phương pháp này gọi là Passive Sniffing (nghe lén thụ động):

• Ưu điểm của kẻ tấn công: Hoàn toàn vô hình (Stealthy). Không thể bị phát hiện bởi các hệ thống giám sát lưu lượng mạng vì kẻ tấn công không hề phát ra tín hiệu nào.
• Hạn chế thực tế: Thiết bị Hub hiện nay đã hoàn toàn bị khai tử trong các hạ tầng doanh nghiệp và được thay thế bằng thiết bị Switch chuyển mạch thông minh.

2. Bắt gói Chủ động (Active Sniffing trên Môi trường Switch)

Một thiết bị Switch hoạt động tại Tầng 2 (Data Link Layer). Để tối ưu hóa hiệu năng và bảo mật, Switch duy trì một bảng nhớ địa chỉ gọi là Bảng CAM (Content Addressable Memory) hoặc Bảng MAC. Bảng CAM ghi nhận sự tương ứng giữa địa chỉ MAC vật lý của từng thiết bị với số hiệu cổng vật lý tương ứng trên Switch.

Khi Host A gửi một Frame Unicast cho Host B, Switch tra cứu bảng CAM và chỉ chuyển tiếp Frame đó đến đúng cổng vật lý kết nối với Host B. Cổng của kẻ tấn công hoàn toàn không nhận được Frame này. Do đó, việc bật Promiscuous Mode trên Switch là vô dụng nếu chỉ lắng nghe thụ động.

Để bắt được gói tin trong môi trường Switch, kẻ tấn công bắt buộc phải thực hiện Active Sniffing (nghe lén chủ động): chủ động can thiệp vào hoạt động của Switch hoặc các giao thức mạng để bẻ lái luồng dữ liệu (traffic redirection) đi vòng qua máy tính của mình trước khi đến đích.

4. Các Kỹ thuật Tấn công Active Sniffing Điển hình

Để đánh bại cơ chế phân mạch an toàn của Switch, các kỹ sư kiểm thử bảo mật và hacker sử dụng ba đòn tấn công kinh điển ở Tầng 2: ARP Cache Poisoning, MAC Flooding và DNS Spoofing.

Kỹ thuật 1: Đầu độc Bộ đệm ARP (ARP Cache Poisoning / ARP Spoofing)

Giao thức phân giải địa chỉ (ARP - Address Resolution Protocol) là cầu nối giữa địa chỉ IP (Tầng 3) và địa chỉ MAC (Tầng 2) trong mạng LAN. Điểm yếu chết người của giao thức ARP là hoàn toàn phi trạng thái (Stateless) và không có cơ chế xác thực nguồn gốc: một thiết bị sẽ tự động chấp nhận và cập nhật bản ghi ARP mới khi nhận được một gói tin ARP Reply, ngay cả khi nó chưa từng gửi gói tin ARP Request trước đó.

Quy trình triển khai cuộc tấn công ARP Poisoning Man-in-the-Middle (MITM) diễn ra theo chuỗi hành động sau:

1. Bước 1 (Đầu độc máy Nạn nhân): Kẻ tấn công gửi liên tục các gói tin Gratuitous ARP Reply giả mạo đến máy Nạn nhân với nội dung: "Địa chỉ IP của Default Gateway (192.168.1.1) đang nằm tại địa chỉ MAC của Attacker (BB:BB:BB:BB:BB:BB)". Máy nạn nhân tin tưởng và ghi đè mục Gateway trong bảng ARP Cache của mình thành MAC của kẻ tấn công.
2. Bước 2 (Đầu độc Default Gateway): Đồng thời, kẻ tấn công gửi các gói tin Gratuitous ARP Reply giả mạo đến Default Gateway với nội dung: "Địa chỉ IP của Nạn nhân (192.168.1.100) đang nằm tại địa chỉ MAC của Attacker (BB:BB:BB:BB:BB:BB)". Gateway cũng ghi đè mục IP Nạn nhân thành MAC của kẻ tấn công.
3. Bước 3 (Bật chuyển tiếp gói tin IP Forwarding): Trên máy tính của kẻ tấn công, kích hoạt tính năng định tuyến hạt nhân:

   # Lệnh bật chuyển tiếp gói tin trên Linux:
   echo 1 > /proc/sys/net/ipv4/ip_forward

4. Bước 4 (Đánh chặn toàn phần): Khi nạn nhân truy cập web, gói tin được gửi đến MAC của kẻ tấn công. Kẻ tấn công ghi lại nội dung bằng Wireshark, sau đó chuyển tiếp gói tin đến Gateway thực sự. Khi máy chủ web phản hồi về Gateway, Gateway lại gửi về MAC của kẻ tấn công, kẻ tấn công ghi nhận và chuyển tiếp về cho nạn nhân. Nạn nhân vẫn lướt web bình thường mà không hề hay biết toàn bộ thông tin đăng nhập đã bị sao chép.

Kỹ thuật 2: Làm Tràn Bảng Nhớ CAM (MAC Flooding Attack)

Bảng nhớ CAM trên thiết bị Switch có dung lượng bộ nhớ phần cứng hữu hạn (thường từ vài nghìn đến vài chục nghìn mục tùy theo dòng Switch doanh nghiệp). Khi một địa chỉ MAC mới xuất hiện, Switch ghi nhận cổng kết nối tương ứng vào bảng CAM.

Kẻ tấn công sử dụng các công cụ như macof (nằm trong bộ công cụ Dsniff) để phát sinh hàng trăm nghìn Frame Ethernet mỗi phút với các địa chỉ MAC nguồn ngẫu nhiên hoàn toàn giả tạo:

# Lệnh thực thi tấn công MAC Flooding bằng macof trên Kali Linux:
$ macof -i eth0 -n 100000

Hậu quả kỹ thuật:

1. Bảng CAM của Switch nhanh chóng bị lấp đầy bởi các mục MAC giả mạo (CAM Table Overflow).
2. Khi bảng CAM đã đầy, Switch không thể học thêm bất kỳ địa chỉ MAC thực tế nào của các máy tính hợp lệ.
3. Để duy trì khả năng truyền dữ liệu mạng và không làm gián đoạn kết nối, Switch buộc phải kích hoạt cơ chế an toàn dự phòng gọi là Fail-Open (Hub Mode): đối với bất kỳ Frame Unicast mới nào mà địa chỉ MAC đích không có trong bảng CAM, Switch sẽ phát tán (flood) gói tin đó ra toàn bộ các cổng mạng còn lại.
4. Lúc này, Switch hoạt động y hệt như một chiếc Hub truyền thống, và kẻ tấn công chỉ cần lắng nghe là có thể thu thập toàn bộ dữ liệu của toàn mạng doanh nghiệp.

Kỹ thuật 3: Giả mạo Phân giải Tên miền (DNS Spoofing / DNS Poisoning)

Sau khi đã thiết lập thành công vị thế Man-in-the-Middle thông qua ARP Poisoning, kẻ tấn công có thể nâng cấp cuộc tấn công lên tầng ứng dụng bằng kỹ thuật DNS Spoofing:

• Khi nạn nhân gõ tên miền ngân hàng hoặc email (ví dụ bank.com) vào trình duyệt, máy tính sẽ gửi gói tin truy vấn DNS Query (UDP cổng 53) đến DNS Server.
• Máy tấn công chặn bắt gói tin truy vấn này, và lập tức gửi trả về một gói tin DNS Response giả mạo trước khi DNS Server thật kịp phản hồi. Gói tin giả mạo chứa địa chỉ IP của máy chủ độc hại do hacker dựng sẵn.
• Nạn nhân bị chuyển hướng đến trang web đăng nhập giả mạo (Phishing Portal) có giao diện giống hệt trang thật và vô tình nhập tài khoản, mật khẩu vào tay kẻ tấn công.

5. Các Công cụ Sniffer và Đánh chặn Mạng Hàng đầu

Trong thực hành bảo mật và bài thi CEH, các công cụ sau đây là tiêu chuẩn đánh giá năng lực phân tích:

1. Wireshark (Tiền thân là Ethereal)

Wireshark là công cụ phân tích giao thức mạng mã nguồn mở số 1 thế giới. Điểm cốt lõi cần phân biệt trong Wireshark là hai loại bộ lọc:

• Capture Filter (Bộ lọc khi bắt gói): Được cấu hình trước khi bắt đầu phiên bắt gói, áp dụng cú pháp chuẩn BPF (Berkeley Packet Filter). Ví dụ: host 192.168.1.100 and tcp port 80. Bộ lọc này loại bỏ gói tin ngay tại tầng driver, giúp giảm tải bộ nhớ khi mạng có lưu lượng lớn.
• Display Filter (Bộ lọc hiển thị): Được áp dụng sau khi gói tin đã được nạp vào bộ nhớ, cho phép tìm kiếm và phân tích linh hoạt. Ví dụ: http.request.method == "POST" hoặc tcp.flags.reset == 1.

2. Cain & Abel

Công cụ huyền thoại trên nền tảng Windows chuyên dùng cho các cuộc tấn công Active Sniffing. Cain & Abel tích hợp sẵn module ARP Poisoning, giải mã mật khẩu truyền bằng các giao thức Cleartext (FTP, POP3, Telnet), nghe lén các cuộc gọi thoại VoIP qua giao thức SIP, và bẻ khóa các thuật toán băm (MD5, NTLM).

3. Dsniff và Ettercap

• Dsniff: Bộ công cụ dòng lệnh cực mạnh trên Unix/Linux, tích hợp tiện ích macof (MAC Flooding), arpspoof (ARP Poisoning), dnsspoof (DNS Spoofing) và filesnarf (trích xuất tập tin truyền qua mạng).
• Ettercap: Nền tảng đánh chặn Man-in-the-Middle toàn diện, hỗ trợ cả giao diện dòng lệnh lẫn đồ họa, cho phép lọc và sửa đổi nội dung gói tin mạng theo thời gian thực (Packet Injection/Modification).

6. Giải pháp Phòng thủ Đa tầng Chống Lại Sniffer và Đánh chặn Mạng

Để bảo vệ hạ tầng mạng doanh nghiệp trước các đòn tấn công Active Sniffing, người quản trị mạng bắt buộc phải triển khai mô hình phòng thủ theo chiều sâu (Defense-in-Depth):

1. Kỹ thuật Cứng hóa Cổng Switch bằng Port Security

Để triệt tiêu hoàn toàn cuộc tấn công làm tràn bảng CAM (MAC Flooding), quản trị viên kích hoạt tính năng Port Security trên các cổng truy cập (Access Ports) của thiết bị Switch Cisco:

Switch(config)# interface range FastEthernet 0/1 - 24
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport port-security
# Giới hạn số lượng địa chỉ MAC tối đa trên mỗi cổng là 1:
Switch(config-if-range)# switchport port-security maximum 1
# Tự động gán và lưu địa chỉ MAC hợp lệ đầu tiên vào cấu hình (Sticky MAC):
Switch(config-if-range)# switchport port-security mac-address sticky
# Thiết lập hành vi trừng phạt khi có vi phạm:
Switch(config-if-range)# switchport port-security violation shutdown

Khi kẻ tấn công chạy macof để bơm địa chỉ MAC lạ thứ hai vào cổng, Switch sẽ kích hoạt quy tắc vi phạm shutdown: cổng mạng lập tức bị đưa vào trạng thái err-disabled (ngắt kết nối vật lý hoàn toàn) và gửi cảnh báo SNMP Trap đến hệ thống giám sát SIEM của SOC.

2. Phòng chống ARP Poisoning bằng Dynamic ARP Inspection (DAI) và DHCP Snooping

Để ngăn chặn triệt để kỹ thuật ARP Spoofing, hạ tầng Switch cần kết hợp hai công nghệ bảo mật nâng cao:

• DHCP Snooping: Switch giám sát các gói tin DHCP trên các cổng không tin cậy (Untrusted Ports) và xây dựng một cơ sở dữ liệu ánh xạ an toàn gọi là DHCP Snooping Binding Database, ghi lại chính xác bộ ba: [Địa chỉ MAC - Địa chỉ IP được cấp phát - Số hiệu cổng Switch].
• Dynamic ARP Inspection (DAI): Khi tính năng DAI được kích hoạt, Switch sẽ kiểm tra toàn bộ các gói tin ARP Reply đi qua cổng. Switch so khớp thông tin IP và MAC trong gói tin ARP với cơ sở dữ liệu DHCP Snooping Binding Database. Nếu phát hiện gói tin ARP giả mạo (ví dụ MAC của Attacker tự nhận là IP của Gateway), Switch sẽ hủy bỏ gói tin ngay lập tức (Drop), ngăn chặn hoàn toàn việc đầu độc bảng ARP của các máy trạm.

3. Cấu hình Bản ghi ARP Tĩnh (Static ARP Entries)

Đối với các máy chủ quan trọng hoặc trong môi trường quản lý tập trung Active Directory, quản trị viên có thể triển khai chính sách cấu hình địa chỉ MAC tĩnh cho Default Gateway thông qua lệnh hệ thống hoặc kịch bản Group Policy (GPO):

# Gán địa chỉ MAC tĩnh cố định cho Default Gateway trên Windows:
C:> arp -s 192.168.1.1 00-14-22-01-23-45

Khi bản ghi ARP đã được thiết lập ở trạng thái tĩnh (Static), hệ điều hành sẽ từ chối mọi yêu cầu cập nhật từ các gói tin ARP Reply gửi đến sau đó, vô hiệu hóa nguy cơ bị đầu độc bộ đệm.

4. Mã hóa Đầu cuối Toàn diện (End-to-End Encryption)

Biện pháp phòng thủ tối thượng chống lại việc nghe lén gói tin là đảm bảo toàn bộ dữ liệu nhạy cảm đều được mã hóa bằng các giao thức bảo mật hiện đại trước khi truyền ra dây mạng:

• Thay thế hoàn toàn HTTP bằng HTTPS (TLS 1.3) với chứng chỉ số hợp lệ.
• Thay thế Telnet và FTP bằng SSH (Secure Shell) và SFTP.
• Áp dụng giải pháp mạng riêng ảo IPsec VPN hoặc WireGuard khi nhân viên kết nối qua các mạng không dây công cộng (quán cà phê, sân bay) để toàn bộ luồng dữ liệu đều được đóng gói trong một đường hầm mã hóa an toàn.

7. Tổng kết và Trọng tâm Ôn luyện Kỳ thi CEH

Chuyên đề Sniffer và Network Sniffing trong kỳ thi CEH v12 là bài kiểm tra toàn diện về kiến thức mạng căn bản và các kỹ năng phân tích luồng dữ liệu Tầng 2. Những điểm trọng tâm bắt buộc phải ghi nhớ bao gồm:

• Promiscuous Mode vô hiệu hóa bộ lọc phần cứng của NIC, cho phép thu nhận mọi Frame mạng xuất hiện trên dây truyền tín hiệu.
• Passive Sniffing chỉ hoạt động trên thiết bị Hub (chia sẻ miền va chạm); trong khi Active Sniffing là bắt buộc đối với môi trường Switch (sử dụng bảng CAM để chuyển mạch Unicast).
• ARP Cache Poisoning khai thác tính chất phi trạng thái của giao thức ARP thông qua việc gửi liên tục các gói tin Gratuitous ARP Reply giả mạo để chiếm vị trí Man-in-the-Middle giữa Client và Gateway.
• MAC Flooding (macof) bơm lượng lớn Frame chứa MAC rác làm cạn kiệt bảng CAM, đẩy Switch vào trạng thái an toàn Fail-Open (Hub Mode).
• Cơ chế phòng thủ Switch vững chắc: Kết hợp Port Security (giới hạn số lượng MAC trên mỗi cổng) với DHCP Snooping và Dynamic ARP Inspection (DAI) để tiêu diệt tận gốc các kỹ thuật tấn công Tầng 2.