Wireshark Kurz: Network & Passwords Sniffer

Počítače komunikují pomocí sítí. Tyto sítě mohou být v místní síti (LAN) nebo připojené k internetu. Síťové sniffery jsou programy, které zachycují nízkoúrovňová paketová data. transmitpřenášeno přes síť. Útočník může tyto informace analyzovat a zjistit cenné podrobnosti, jako jsou uživatelská jména a hesla.

V tomto článku se dozvíte o běžných technikách síťového sniffingu, nástrojích, které útočníci a etičtí hackeři používají k sniffingu sítí, a o protiopatřeních, která chrání citlivé informace v síti. Wireshark Níže uvedený návod je poskytován pouze pro vzdělávací účely a autorizované testování.

Co je Network Sniffing?

Počítače komunikují vysíláním zpráv v síti pomocí IP adres. Jakmile je zpráva odeslána v síti, přijímající počítač s odpovídající IP adresou odpoví svou MAC adresou.

Network sniffing je proces zachycování datových paketů odeslaných přes síť. Lze to provést pomocí specializovaného softwaru, hardwarového tapu nebo nakonfigurovaného zrcadla portů. Sniffing lze použít k:

• Zachyťte citlivá data, jako jsou přihlašovací údaje
• Odposlouchávejte chatové zprávy
• Zachyťte soubory, které byly transmitpřes síť

Následující protokoly jsou zranitelné vůči sniffingu, když se přihlašovací údaje přenášejí v prostém textu:

• Telnet
• Přihlašuji se
• HTTP
• SMTP
• NNTP
• POP
• FTP
• IMAP

Moderní ekvivalenty (HTTPS, SMTPS, IMAPS, SFTP, SSH) šifrují datový obsah, takže sniffer vidí šifrovaný text, nikoli přihlašovací údaje.

Pasivní a aktivní šňupání

Než se podíváme na pasivní a aktivní sniffing, podívejme se na dvě zařízení běžně používaná k propojení počítačů v síti: rozbočovače a přepínače.

Hub funguje tak, že odesílá zprávy všesměrového vysílání na každý výstupní port kromě toho, který všesměrové vysílání odeslal. Přijímající počítač reaguje na vysílání, pokud se IP adresa shoduje. Každý počítač v segmentu založeném na hubu proto může vidět každý rámec. Hub pracuje na fyzické vrstvě (vrstva 1) segmentu. Model OSI.

Níže uvedený diagram ukazuje, jak hub funguje.

Přepínač funguje jinak; mapuje IP a MAC adresy na fyzické porty. Rámce jsou přeposílány pouze na port, který odpovídá MAC adrese příjemce, takže ostatní hostitelé v síti LAN provoz nevidí. Přepínače pracují na datové vrstvě (vrstva 2) a s funkcemi směrování i na síťové vrstvě (vrstva 3).

Níže uvedený diagram ukazuje, jak přepínač funguje.

Pasivní sniffing zachycuje pakety transmitpřenášeno přes síť, která používá rozbočovač. Říká se tomu pasivní, protože útočník nevkládá provoz, což ztěžuje jeho detekci. Je také snadno proveditelný, protože hub odesílá všesměrové zprávy všem hostitelům v síti.

Aktivní sniffing zachycuje pakety transmitpřenášeno přes síť, která používá přepínač. Pro sniffing přepínaných sítí se používají dvě hlavní techniky: Otrava ARP a zahlcení MAC adres.

Hacking Activity: Sniff Network Traffic

V tomto praktickém scénáři se chystáme použití Wireshark prohledávat datové pakety transmitpřes HTTP protokolZachytíme provoz na lokálním rozhraní a poté se přihlásíme do ukázkové webové aplikace, která nepoužívá zabezpečenou komunikaci, tj. Guru99 výcvikových míst na adrese http://www.techpanda.org/.

Přihlašovací adresa je admin@google.com a heslo je Heslo2010.

Poznámka: Do webové aplikace se přihlásíme pouze pro demonstrační účely a v síti, kterou vlastníme. Stejná technika může také odhalit datové pakety od jiných hostitelů ve stejné síti jako sniffer, a proto je nutné před spuštěním získat písemné povolení. Wireshark v jakékoli síti, kterou neovládáte. Čmuchání se neomezuje pouze na techpanda.org; Wireshark zachycuje HTTP a další protokolový provoz protékající přes rozhraní.

Snímání sítě pomocí Wireshark

Níže uvedený obrázek ukazuje kroky, které budete muset provést, abyste toto cvičení dokončili bez zmatku.

Ke stažení Wireshark od wireshark.org/download.htmlAktuální stabilní větev je Wireshark 4.x, která běží na Windows, macOSa Linux.

• Otevřená Wireshark
• Zobrazí se vám následující uvítací obrazovka

• Vyberte síťové rozhraní, které chcete prohledat. Tento návod používá bezdrátové připojení; v kabelové síti LAN zvolte místo toho ethernetový adaptér.
• Klikněte na tlačítko Start (žraločí ploutev) zobrazené výše.

• Otevřete webový prohlížeč a navštivte http://www.techpanda.org/.

• Přihlašovací email je admin@google.com a heslo je Heslo2010.
• Klikněte na tlačítko Odeslat.
• Úspěšné přihlášení by mělo zobrazit následující řídicí panel.

• Přepnout zpět na Wireshark a zastavit živé nahrávání.

• Filtrovat HTTP provoz pouze podle typuping http do panelu filtrů zobrazení.

• Vyhledejte sloupec Informace a vyhledejte položku s HTTP slovesem POST, poté na ni klikněte.

• Pod položkami protokolu se nachází panel se shrnutím zaznamenaných dat. Hledejte řádek Řádková textová data: application/x-www-form-urlencoded.

• Nyní byste měli být schopni číst hodnoty prostého textu každé proměnné POST odeslané na server přes HTTP, včetně polí pro e-mail a heslo.

Co je to zahlcení MAC adres?

Zahlcení MAC adresami je technika síťového sniffingu, která zaplaví tabulku CAM (MAC adres) přepínače falešnými MAC adresami. Jakmile je tabulka plná, přepínač se již nedokáže naučit legitimní cíle a začne přeposílat rámce na každý port, čímž se chová jako rozbočovač. Útočník pak může zachytit datové pakety, které procházejí sítí.

Protiopatření proti záplavám MAC

• Zabezpečení portu přepínače. Omezit počet MAC adresy povoleno na port, trvale zjistit první viděnou MAC adresu a v případě překročení limitu port uzamknout nebo vypnout.
• Servery pro ověřování, autorizaci a účtování (AAA) lze použít s 802.1X k filtrování zjištěných MAC adres a akceptování pouze ověřených zařízení.
• Dynamická inspekce ARP a odposlech DHCPping zmírnit související útok ARP poisoning, který se často vyskytuje společně se zahlcením MAC adres.

Opatření proti čichání

• Omezte přístup k fyzickým médiím. Uzamčené patch panely, nástěnné zásuvky s deaktivovanými porty a segmentované VLAN snižují pravděpodobnost instalace snifferu.
• Šifrujte provoz během přenosu. Protokoly HTTPS (TLS 1.3), SSH, IPsec a moderní VPN znemožňují útočníkovi číst zachycené pakety.
• Nahraďte nezabezpečené protokoly. Přechod z Telnetu na SSH, z FTP na SFTP nebo FTPS a z HTTP na HTTPS v rámci celého webu.
• Zpevněte Wi-Fi. Použijte WPA3 nebo WPA2-AES se silným heslem, abyste zabránili bezdrátovému snickování ve vzduchu.
• Monitorujte pomocí IDS. Nástroje jako Suricata, Zeek a Snort vyvolat upozornění, když se objeví otrava ARP, přetečení tabulky MAC adres nebo promiskuitní rozhraní.

Jak umělá inteligence posiluje obranu proti síťovému sniffingu

Moderní platformy pro detekci narušení a SIEM nyní využívají strojové učení nad zachycováním paketů, aby detekovaly aktivity související se sniffingem rychleji než samotné sady pravidel. Umělá inteligence modeluje základní normální chování tabulky ARP, DHCP a MAC adres a poté signalizuje odchylky, jako je neobvyklý objem vysílání nebo duplicitní mapa IP-MAC.pingnebo náhlé změny v tabulce CAM, které ukazují na otravu ARP nebo zahlcení MAC adres.

Rozsáhlé jazykové modely také pomáhají analytikům s tříděním Wireshark a protokoly Zeek shrnutím podezřelých toků v jednoduchém jazyce, návrhem filtrů a křížovým odkazováním pozorovaných IOC s informačními kanály o hrozbách. Obránci by i nadále měli ověřovat zjištění umělé inteligence oproti nezpracovaným datům, ale v rušné síti je to značné.

Shrnutí

• Sniffing v síti zachycuje pakety během jejich přenosu po síti a může odhalit přihlašovací údaje v prostém textu.
• Pasivní sniffing probíhá v sítích založených na uzlech a je obtížné jej odhalit; aktivní sniffing cílí na přepínače a je snáze odhalitelný.
• Wireshark 4.x je standardní open-source analyzátor používaný v tomto návodu ke čtení dat HTTP POST.
• Zahlcení MAC adres přetíží tabulku CAM přepínače, takže se přepínač chová jako rozbočovač.
• Šifrování (HTTPS, SSH, VPN), zabezpečení portů přepínačů, Wi-Fi s WPA3 a monitorování s pomocí umělé inteligence společně neutralizují většinu útoků sniffingem.

Nejčastější dotazy