Wireshark tricks

Reading time: 5 minutes

tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks

Βελτιώστε τις δεξιότητές σας στο Wireshark

Tutorials

Τα παρακάτω tutorials είναι καταπληκτικά για να μάθετε μερικά ωραία βασικά κόλπα:

Analysed Information

Expert Information

Κάνοντας κλικ στο Analyze --> Expert Information θα έχετε μια επισκόπηση του τι συμβαίνει στα πακέτα που αναλύθηκαν:

Resolved Addresses

Κάτω από Statistics --> Resolved Addresses μπορείτε να βρείτε πολλές πληροφορίες που "έχουν επιλυθεί" από το wireshark όπως θύρα/μεταφορά σε πρωτόκολλο, MAC στον κατασκευαστή, κ.λπ. Είναι ενδιαφέρον να γνωρίζετε τι εμπλέκεται στην επικοινωνία.

Protocol Hierarchy

Κάτω από Statistics --> Protocol Hierarchy μπορείτε να βρείτε τα πρωτόκολλα που εμπλέκονται στην επικοινωνία και δεδομένα σχετικά με αυτά.

Conversations

Κάτω από Statistics --> Conversations μπορείτε να βρείτε μια σύνοψη των συνομιλιών στην επικοινωνία και δεδομένα σχετικά με αυτές.

Endpoints

Κάτω από Statistics --> Endpoints μπορείτε να βρείτε μια σύνοψη των endpoints στην επικοινωνία και δεδομένα σχετικά με το καθένα από αυτά.

DNS info

Κάτω από Statistics --> DNS μπορείτε να βρείτε στατιστικά σχετικά με το DNS αίτημα που καταγράφηκε.

I/O Graph

Κάτω από Statistics --> I/O Graph μπορείτε να βρείτε ένα γράφημα της επικοινωνίας.

Filters

Εδώ μπορείτε να βρείτε φίλτρα wireshark ανάλογα με το πρωτόκολλο: https://www.wireshark.org/docs/dfref/
Άλλα ενδιαφέροντα φίλτρα:

  • (http.request or ssl.handshake.type == 1) and !(udp.port eq 1900)
  • HTTP και αρχική κίνηση HTTPS
  • (http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002) and !(udp.port eq 1900)
  • HTTP και αρχική κίνηση HTTPS + TCP SYN
  • (http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002 or dns) and !(udp.port eq 1900)
  • HTTP και αρχική κίνηση HTTPS + TCP SYN + DNS αιτήματα

Αν θέλετε να αναζητήσετε περιεχόμενο μέσα στα πακέτα των συνεδριών πατήστε CTRL+f. Μπορείτε να προσθέσετε νέα επίπεδα στη βασική γραμμή πληροφοριών (No., Χρόνος, Πηγή, κ.λπ.) πατώντας το δεξί κουμπί και στη συνέχεια την επεξεργασία στήλης.

Free pcap labs

Εξασκηθείτε με τις δωρεάν προκλήσεις του: https://www.malware-traffic-analysis.net/

Identifying Domains

Μπορείτε να προσθέσετε μια στήλη που να δείχνει την κεφαλίδα Host HTTP:

Και μια στήλη που προσθέτει το όνομα του διακομιστή από μια αρχική σύνδεση HTTPS (ssl.handshake.type == 1):

Identifying local hostnames

From DHCP

Στο τρέχον Wireshark αντί για bootp πρέπει να αναζητήσετε DHCP

From NBNS

Decrypting TLS

Decrypting https traffic with server private key

edit>preference>protocol>ssl>

Πατήστε Edit και προσθέστε όλα τα δεδομένα του διακομιστή και το ιδιωτικό κλειδί (IP, Θύρα, Πρωτόκολλο, Αρχείο κλειδιού και κωδικό πρόσβασης)

Decrypting https traffic with symmetric session keys

Και οι δύο Firefox και Chrome έχουν τη δυνατότητα να καταγράφουν τα κλειδιά συνεδρίας TLS, τα οποία μπορούν να χρησιμοποιηθούν με το Wireshark για να αποκρυπτογραφήσουν την κίνηση TLS. Αυτό επιτρέπει σε βάθος ανάλυση των ασφαλών επικοινωνιών. Περισσότερες λεπτομέρειες σχετικά με το πώς να εκτελέσετε αυτήν την αποκρυπτογράφηση μπορείτε να βρείτε σε έναν οδηγό στο Red Flag Security.

Για να το ανιχνεύσετε αναζητήστε μέσα στο περιβάλλον τη μεταβλητή SSLKEYLOGFILE

Ένα αρχείο κοινών κλειδιών θα φαίνεται έτσι:

Για να το εισάγετε στο wireshark πηγαίνετε στο _edit > preference > protocol > ssl > και εισάγετε το στο (Pre)-Master-Secret log filename:

ADB communication

Εξαγάγετε ένα APK από μια επικοινωνία ADB όπου το APK στάλθηκε:

python
from scapy.all import *

pcap = rdpcap("final2.pcapng")

def rm_data(data):
splitted = data.split(b"DATA")
if len(splitted) == 1:
return data
else:
return splitted[0]+splitted[1][4:]

all_bytes = b""
for pkt in pcap:
if Raw in pkt:
a = pkt[Raw]
if b"WRTE" == bytes(a)[:4]:
all_bytes += rm_data(bytes(a)[24:])
else:
all_bytes += rm_data(bytes(a))
print(all_bytes)

f = open('all_bytes.data', 'w+b')
f.write(all_bytes)
f.close()

tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks