Capturando e-mails da rede interna com mailsnarf

Colaboração: Edson Marco Ferrari Junior

Data de Publicação: 09 de Janeiro de 2008

Em um ambiente profissional, a empresa tem a necessidade e a obrigação de controle de todos os dados que trafegam em sua rede. Empresas que tercerizam o servidor de e-mail, tem algumas dificuldades de implantarem um maior controle em relação ao e-mail.

Com o Mailsnarf é possível ter uma cópia de todos os e-mails que são enviados ou recebidos e posteriormente baixá-los em seu gerenciador de e-mails.

Para isto será necessário que os e-mails sejam divididos em arquivos, e depois um servidor pop para baixar estes e-mails. Como servidor pop iremos utilizar o courier-pop.

Antes de começar este artigo devo avisar que não se deve abusar deste serviço. Em qualquer que seja a situação todos os usuário devem estar cientes que seus e-mails estão sendo capturados, e isto deve ser por escrito.

1. Justificativa

A empresa ao fornecer recursos de informação aos seus funcionários visa otimizar a comunicação e o controle das informações. Toda e qualquer informação que chegue a empresa é de sua propriedade. O funcionário em seu setor é um representante da empresa.

Este paragráfo foi baseado no artigo Controle de Acesso à internet pelas empresa X Direito de privacidade, de Osmar Lopes Junior.

A empresa tem o direito e o dever em manter o controle sobre a utilização dos recursos de informação que possui. A Negligência na Vigilância estende a culpa dos atos do funcionário até a empresa.

Outro ponto polêmico é a questão da "Negligência na Vigilância", uma vez que "a culpa do responsável consiste em não haver exercido, como deveria, o dever de vigiar, de fiscalizar ou de não haver retirado do serviço ou de haver aceito quem não podia exercer com toda correção o encargo". (Pontes de Miranda).

Baseado no artigo de Marcio Cots Não existe privacidade no trabalho

2. O Mailsnarf

É um programa que captura todos os dados que trafegam pelas portas 25,110 e 1109, este último é referente ao KPOP (A única coisa que encontrei na web sobre o Kpop foi música coreana, se alguem souber fique a vontade para esclarecer).

O Mailsnarf faz parte do pacote DSniff, que contém váriados tipos de programas de captura. Para você obter mais informações e download do DSniff visite o site: http://monkey.org/~dugsong/dsniff/

mailsnarf

mailsnarf -i eth1

mailsnarf -i eth1 pattern [expressão]

mailsnarf -i eth1 > /path/arquivo

3. O problema

Temos todos os e-mails em um único arquivo. A leitura destes e-mails é muito dificil, primeiro pelo seu tamanho, e depois por que todos os e-mails estão nos fontes.

Há a necessidade de se melhorar isto. Pesquisando soluções na internet, encontrei comentários sobre direcionar o arquivo para um diretório de pop e fazer o download via gerenciador de e-mail, ou visuáliza-los em um webmail.

O problema é como dividir estes e-mails em arquivos separados e salvá-los no diretório de e-mail do usuário desejado.

4. Solução

Para resolver este problema é usado a liberdade oferecida pelo Código Aberto. Pegamos o fonte e alteramos o programa para a situação que nós precisamos.

5. Baixando, descompactando e acessando os fontes

Como o mailsnarf faz parte do pacote dsniff, faça o download do pacote completo pelo site deles http://monkey.org/~dugsong/dsniff/

Descompacte o pacote

tar -xzvf dsniff-2.3.tar.gz

Lendo README, ou, nas mensagens do ./configure, será verificado que o pacote dsniff possui algumas dependências:

these programs require:

     Berkeley DB - http://www.sleepycat.com/
     OpenSSL - http://www.openssl.org/
     libpcap - http://www.tcpdump.org/
     libnids - http://www.packetfactory.net/Projects/Libnids/
     libnet - http://www.packetfactory.net/Projects/Libnet/

Baixe-as e instale-as. Usuários Debian contam com a facilidade

apt-get build-dep dsniff

Ele fará o download e instalação de todas as dependências do pacote dsniff, mas não irá baixar o dsniff.

Acesse o diretório dsniff-2.3. Para aqueles que utilizam o debian irão acessar o diretório dsniff-2.4 se fizeram o download dos fontes de www.debian.org.

Vamos abrir o fonte do mailsnarf.

vi mailsnarf.c

6. Localizando e editando a função responsável por imprimir em tela

Apesar de não estar comentado, é um código simples, então o entendimento será fácil.

Na linha 88 inicia a nossa função procurada

static void
print_mbox_msg(char *from, char *msg)
{
        char *p;
        time_t t;

        t = time(NULL);

        if (from == NULL)
                from = "mailsnarf";

        printf("From %s %s", from, ctime(&t));

        while ((p = strsep(&msg, "\n")) != NULL) {
                if (strncmp(p, "From ", 5) == 0)
                        putchar('>');
                for (; *p != '\r' && *p != '\0'; p++)
                        putchar(*p);
                putchar('\n');
        }
        putchar('\n');
        fflush(stdout);
}

static void
print_mbox_msg(char *from, char *msg)
{
        /*
         * Foi declarada uma variável global
         * de nome cont.
         * int cont = 0;
         */

        char *p;
        time_t t;

        FILE *fl; //ponteiro para o arquivo

     /*
         * Neste ponteiro char, armazenaremos o
         * diretório onde iremos salvar nossos
         * arquivos.
         */
        char *dir = "/home/edmafer/Maildir/new/";

        /*
         * path será a concatenação do diretório
         * com o nome do arquivo.
         */
        char path[30];

        t = time(NULL); //Pegando a data e hora de agora

        /*
      * Estamos concatenando em path, o diretorio
          * o nome do arquivo, e a extensão eml
      * e incrementa 1 em cont
      */
     sprintf(path,"%s%d.%s",dir,cont++,"eml");

     fl = fopen(path,"w"); //Abrindo o arquivo para escrita

        if (!fl) { //Verificando se houve erro ao abrir
             printf("\n<!>Erro ao tentar criar arquivo<!>\n");
                return;
     }

        if (from == NULL) //Definindo o from
                from = "mailsnarf";

        fprintf(fl,"From %s %s", from, ctime(&t)); //Direcionando para o arquivo com data

        while ((p = strsep(&msg, "\n")) != NULL) { //Todas as saidas para o arquivo
                if (strncmp(p, "From ", 5) == 0)
                        putc('>',fl);
                for (; *p != '\r' && *p != '\0'; p++)
                        putc(*p,fl);
                putc('\n',fl);
        }

        putc('\n',fl);
        fflush(stdout); //Limpando buffer de tela (pra que? Não sai mais nada lá)

        fclose(fl); //Fechando o arquivo
}

int cont = 0;

FILE *fl;
char *dir = "/home/edmafer/Maildir/new/";
char path[30];

sprintf(path,"%s%d.%s",dir,cont++,"eml");

fl = fopen(path,"w");

fprintf(fl,"From %s %s", from, ctime(&t));

putc(*p,fl);

fclose(fl);

./configure
make

7. Instalando o servidor pop

Utilizando o courier, para usuários debian o courier-pop.

Download e manual do courier: http://www.courier-mta.org/

Usuários debian

apt-get install courier-pop

Eu não alterei a configuração padrão do courier. A instalação foi feita pelo apt-get do Debian, e o servidor somente aceita a conexão de um host específico, então não me preocupei com outras seguranças. Verifique o manual do courier para mais informações de configuração.

Feita a instalação do mesmo, somente precisamos criar o diretório de e-mails para o usuário

maildirmake /home/usuario/Maildir

Agora é só configurar o gerenciador de e-mail

login: usuario_linux
senha: senha_linux
pop:ip_servidor do courier.

Os e-mails serão iguais aos recebidos pelos usuários da sua rede, no campo from é quem enviou e no campo to para quem é destinado. Os anexos estarão disponíveis, da mesma forma como se o e-mail fosse direcionado para você.

8. Executando o mailsnarf

Como ele se trata de apenas um executável, você simplesmente tem que chamá-lo e definir alguns argumentos

mailsnarf -i eth1

Eu coloco sempre como exemplo a eth1, para diferenciar justamente a questão da definição da interface de rede, mas isto deve ser definido pelo seu esquema.

Para colocá-lo em daemon, é necessário somente adcionar o "&" ao final da chamada do comando

mailsnarf -i eth1 &

É possível verificar a sua execução pelo comando ps aux

ps aux | grep mailsnarf

E isto irá te retornar

BOSS:/# ps aux | grep mailsnarf
root     18962  1.0  5.7 47488 28004 ?       S    Apr19  13:41 mailsnarf -i eth1
root     24902  0.0  0.1  1852  728 pts/2    S+   13:19   0:00 grep mailsnarf
BOSS:/#

Para sempre iniciáliza-lo com o sistema, adicione esta chamada em /etc/init.d/rc.

Ou leia o artigo de Rubens Queiroz de Almeida para uma melhor configuração de inicialização http://www.dicas-l.com.br/dicas-l/20060127.php

9. Conclusão

Este é um sistema de controle, que justifico sua necessidade no início do artigo. Lembro que o meu objetivo era o controle de e-mails, e não montar um servidor robusto de pop, a segurança deste servidor eu deixei por conta do iptables, onde libero acesso somente de host específico.

Acredito que a justificativa possa vir a gerar algumas discussões, mas o escopo não é discutir se é ético ou não este controle. Ensinei como se faz, se deseja utilizar ou não a opção é da instituição onde você trabalha.

A distribuição utilizada foi o Debian Sarge 3.0. Peço desculpas a usuários de outras distribuições que eu possa ter deixado faltar algumas informações específicas.