Wireshark Opetusohjelma: Network & Passwords Sniffer

Tietokoneet kommunikoivat verkkojen kautta. Nämä verkot voivat olla lähiverkossa (LAN) tai ne voivat olla yhteydessä internetiin. Verkkonuijat ovat ohjelmia, jotka sieppaavat matalan tason pakettidataa transmitverkon kautta. Hyökkääjä voi analysoida näitä tietoja löytääkseen arvokkaita yksityiskohtia, kuten käyttäjätunnuksia ja salasanoja.

Tässä artikkelissa opit yleisiä verkon nuuskimistekniikoita, hyökkääjien ja eettisten hakkereiden käyttämiä työkaluja verkkojen nuuskimiseen sekä vastatoimia, jotka suojaavat arkaluonteisia tietoja verkossa. Wireshark Alla oleva läpikäynti on tarkoitettu vain koulutus- ja valtuutettuun testaukseen.

Mikä on verkon haistaa?

Tietokoneet kommunikoivat lähettämällä viestejä verkossa IP-osoitteita käyttäen. Kun viesti on lähetetty verkossa, vastaanottajatietokone, jolla on vastaava IP-osoite, vastaa MAC-osoitteellaan.

Verkon haistaminen on prosessi, jossa siepataan verkon kautta lähetettyjä datapaketteja. Se voidaan suorittaa erikoisohjelmistolla, laitteistotapilla tai konfiguroidulla porttipeilillä. Nuuskimista voidaan käyttää seuraaviin tarkoituksiin:

• Tallenna arkaluontoiset tiedot, kuten kirjautumistiedot
• Kuuntele chat-viestejä
• Tallenna tiedostot, jotka on transmitted verkon kautta

Seuraavat protokollat ​​ovat alttiita nuuskinnalle, kun kirjautumistiedot liikkuvat selkotekstissä:

• Telnet
• rlogin
• HTTP
• SMTP
• NNTP
• POP
• FTP
• IMAP

Nykyaikaiset vastineet (HTTPS, SMTPS, IMAPS, SFTP, SSH) salaavat hyötykuorman, joten nuuskija näkee salatun tekstin tunnistetietojen sijaan.

Passiivinen ja aktiivinen nuuskiminen

Ennen kuin tarkastelemme passiivista ja aktiivista nuuhkimista, tarkastellaan kahta yleisesti tietokoneiden verkottumiseen käytettyä laitetta: keskittimiä ja kytkimiä.

Keskitin toimii lähettämällä lähetysviestejä kaikkiin muihin lähtöportteihin paitsi siihen, josta lähetys lähetettiin. Vastaanottava tietokone vastaa lähetykseen, jos IP-osoite täsmää. Jokainen keskittimeen perustuvan segmentin kone voi siis nähdä jokaisen kehyksen. Keskitin toimii verkon fyysisellä tasolla (taso 1). OSI-malli.

Alla oleva kaavio havainnollistaa, kuinka napa toimii.

Kytkin toimii eri tavalla; se yhdistää IP- ja MAC-osoitteet fyysisiin portteihin. Kehykset välitetään vain siihen porttiin, joka vastaa vastaanottajan MAC-osoitetta, joten muut lähiverkon isännät eivät näe liikennettä. Kytkimet toimivat tiedonsiirtokerroksella (kerros 2) ja reititysominaisuuksien avulla verkkokerroksella (kerros 3).

Alla oleva kaavio havainnollistaa kytkimen toimintaa.

Passiivinen nuuskiminen on pakettien sieppaamista transmitverkon kautta, joka käyttää keskitintä. Sitä kutsutaan passiiviseksi, koska hyökkääjä ei lisää verkkoliikennettä, mikä tekee sen havaitsemisesta vaikeaa. Se on myös helppo toteuttaa, koska keskitin lähettää lähetysviestejä jokaiselle verkon isännälle.

Aktiivinen nuuskiminen sieppaa paketteja transmitverkon kautta, joka käyttää kytkintä. Kytkettävien verkkojen nuuhkimiseen käytetään kahta päätekniikkaa: ARP-myrkytys ja MAC-tulvat.

Hakkerointitoiminta: Haista verkkoliikennettä

Tässä käytännön skenaariossa aiomme tehdä käyttää Wireshark nuuhkimaan datapaketteja transmitted HTTP-protokollan kauttaTallentamme liikenteen paikallisessa käyttöliittymässä ja kirjaudumme sitten sisään esimerkkiverkkosovellukseen, joka ei käytä suojattua tiedonsiirtoa. Guru99 harjoituspaikkaa osoitteessa http://www.techpanda.org/.

Kirjautumisosoite on admin@google.com ja salasana on Password2010.

Huomautus: Kirjaudumme verkkosovellukseen vain esittelytarkoituksiin ja omistamassamme verkossa. Samalla tekniikalla voidaan myös paljastaa datapaketteja muilta saman verkon isänniltä kuin nuuskija, minkä vuoksi sinun on hankittava kirjallinen lupa ennen suorittamista. Wireshark millä tahansa verkolla, jota et hallitse. Nuuskiminen ei rajoitu techpanda.org-sivustoon; Wireshark tallentaa rajapinnan ohi kulkevan HTTP- ja muun protokollaliikenteen.

Haistaa verkkoa käyttämällä Wireshark

Alla oleva kuva näyttää vaiheet, jotka sinun on suoritettava tämän harjoituksen suorittamiseksi ilman sekaannusta.

Lataa Wireshark alkaen wireshark.org/lataus.htmlNykyinen vakaa haara on Wireshark 4.x, joka toimii Windows, macOSja Linux.

• avoin Wireshark
• Näet seuraavan tervetulonäytön

• Valitse verkkoliitäntä, jota haluat tutkia. Tässä ohjeessa käytetään langatonta yhteyttä; langallisessa lähiverkossa valitse Ethernet-sovitin.
• Napsauta yllä olevaa aloituspainiketta (hain evä).

• Avaa verkkoselaimesi ja vieraile http://www.techpanda.org/.

• Kirjautumissähköpostiosoite on admin@google.com ja salasana on Password2010.
• Napsauta lähetä-painiketta.
• Onnistuneen kirjautumisen pitäisi näyttää seuraava kojelauta.

• Vaihda takaisin kohtaan Wireshark ja lopeta live-kuvaus.

• Suodata vain HTTP-liikenne ty:n mukaanping http näytön suodatinpalkkiin.

• Etsi Tiedot-sarake ja etsi merkintä, jossa on HTTP-verbi POST, ja napsauta sitä.

• Lokimerkintöjen alapuolella on paneeli, jossa on yhteenveto tallennetuista tiedoista. Etsi rivi Rivipohjainen tekstidata: application/x-www-form-urlencoded.

• Sinun pitäisi nyt pystyä lukemaan jokaisen palvelimelle HTTP:n kautta lähetetyn POST-muuttujan selkotekstiarvot, mukaan lukien sähköpostiosoite- ja salasanakentät.

Mikä on MAC-tulviminen?

MAC-tulvitus on verkon nuuskimistekniikka, jossa kytkimen CAM-taulukko (MAC-osoitetaulukko) täytetään väärennetyillä MAC-osoitteilla. Kun taulukko on täynnä, kytkin ei enää pysty oppimaan laillisia kohteita ja alkaa välittää kehyksiä jokaiseen porttiin toimien keskuksena. Hyökkääjä voi sitten kaapata datapaketteja niiden ylittäessä verkossa.

Vastatoimenpiteet MAC-tulvia vastaan

• Vaihda portin suojausta. Rajoita niiden määrää MAC-osoitteet sallittu porttia kohden, opi ensimmäinen havaittu MAC-osoite tarttuvalla tavalla ja lukitse tai sulje portti, jos raja ylittyy.
• Todennus-, valtuutus- ja kirjanpitopalvelimet (AAA) voidaan käyttää 802.1X:n kanssa löydettyjen MAC-osoitteiden suodattamiseen ja vain todennettujen laitteiden hyväksymiseen.
• Dynaaminen ARP-tarkastus ja DHCP-snooping lieventää siihen liittyvää ARP-myrkytyshyökkäystä, joka usein yhdistyy MAC-tulvitukseen.

Nuuskauksen vastatoimenpiteet

• Rajoita pääsyä fyysiseen mediaan. Lukitut kytkentäpaneelit, porttien kautta estetyt seinäpistorasiat ja segmentoidut VLANit vähentävät nuuskijan asentamisen todennäköisyyttä.
• Salaa liikenne siirron aikana. HTTPS (TLS 1.3), SSH, IPsec ja modernit VPN-protokollat ​​tekevät siepatuista paketeista lukukelvottomia hyökkääjälle.
• Korvaa suojaamattomat protokollat. Siirry Telnetistä osoitteeseen SSH, FTP:stä SFTP:hen tai FTPS:ään ja HTTP:stä HTTPS:ään koko sivustossa.
• Vahvista Wi-Fi. Käytä WPA3- tai WPA2-AES-salausta vahvalla salasanalla estääksesi langattoman verkon nuuskimisen.
• Näyttö IDS:llä. Työkaluja, kuten Suricata, Zeek ja Snort antaa hälytyksiä, kun ARP-myrkytys, MAC-taulukon ylivuoto tai satunnaisia ​​rajapintoja ilmenee.

Kuinka tekoäly vahvistaa verkon nuuskimisen puolustusta

Nykyaikaiset tunkeutumisen havaitsemis- ja SIEM-alustat yhdistävät nyt koneoppimisen pakettien sieppaukseen, jotta nuuskimiseen liittyvä toiminta voidaan havaita nopeammin kuin pelkät sääntöjoukot pystyvät. Tekoäly mallintaa ARP-, DHCP- ja MAC-taulukoiden normaalin toiminnan ja merkitsee sitten poikkeamat, kuten epätavallisen lähetysmäärän ja IP-MAC-osoitteiden kaksoiskappaleet.pingtai äkillinen CAM-taulukon vaihtuvuus, joka viittaa ARP-myrkytymiseen tai MAC-tulvitukseen.

Suuret kielimallit auttavat myös analyytikoita triaamaan Wireshark ja Zeek kirjaa lokit yhteenvedolla epäilyttävistä tietovirroista selkokielellä, ehdottamalla suodattimia ja vertaamalla havaittuja IOC-arvoja uhkatietojen syötteisiin. Puolustajien tulisi silti tarkistaa tekoälyn löydökset raakadataa vasten, mutta nopeudenlisäys kiireisessä verkossa on merkittävä.

Yhteenveto

• Verkon nuuskiminen sieppaa paketteja niiden kulkiessa verkossa ja voi paljastaa selkotekstiset tunnistetiedot.
• Passiivinen nuuskiminen tapahtuu keskittimiin perustuvissa verkoissa ja on vaikea havaita; aktiivinen nuuskiminen kohdistuu kytkimiin ja on helpompi havaita.
• Wireshark 4.x on tässä ohjeessa käytetty avoimen lähdekoodin analysaattori HTTP POST -datan lukemiseen.
• MAC-tulvitus ylikuormittaa kytkimen CAM-taulukon, joten kytkin toimii kuin keskitin.
• Salaus (HTTPS, SSH, VPN), kytkimen porttisuojaus, WPA3 Wi-Fi ja tekoälyavusteinen valvonta yhdessä neutraloivat useimmat nuuskimishyökkäykset.

UKK