Le sniffing de mot de passe capture le login ; l'interception de commandes capture tout ce qui vient après. Puisque toute la session Telnet est en clair, un attaquant sur le chemin reconstruit l'interaction complète : chaque commande que l'utilisateur exécute, toute la sortie du serveur, tout identifiant secondaire tapé pendant la session (un mot de passe enable sur un routeur, un mot de passe su/sudo, des identifiants pour un autre système), et toutes les données que l'utilisateur consulte. Cela donne souvent plus que le login lui-même, parce que les opérateurs exécutent des commandes privilégiées et saisissent d'autres secrets à l'intérieur de la session.
# capture and reconstruct the full session
tcpdump -i eth0 -A port 23 -w telnet.pcap
# Wireshark Follow TCP Stream shows the entire session (commands + output)
tshark -r telnet.pcap -q -z follow,tcp,ascii,0
Notes d'exploitation#
- La capture de session dépasse fréquemment le login en valeur : mots de passe
enable/su/sudosaisis en cours de session, identifiants pour d'autres systèmes, configuration d'appareil (y compris des secrets dans unshow running-config), et toute sortie sensible apparaissent en clair. - Reconstruisez le flux bidirectionnel complet pour associer les commandes à leur sortie ; la direction client vers serveur contient ce que l'utilisateur a tapé, la direction serveur vers client contient les résultats.
- C'est passif et discret ; combinez avec le sniffing de mot de passe à partir de la même capture pour le login plus tout ce qui suit.
- Pour un contrôle actif plutôt qu'une observation, passez au détournement de session.