Wireshark Tutorial: Sniffer de rede e senhas
Oliver Jones
⚡ Resumo Inteligente
Wireshark Tutoriais sobre sniffers de senhas mostram como os atacantes capturam credenciais que trafegam em uma rede e como os defensores os impedem. Este guia explica passo a passo como fazer isso. Wireshark Captura, análise de texto simples HTTP, ataque de inundação de MAC e controles de criptografia que neutralizam a interceptação de dados.
Os computadores comunicam-se através de redes. Essas redes podem estar em uma rede local (LAN) ou expostas à internet. Os analisadores de rede são programas que capturam dados de pacotes de baixo nível. transmittransmitido por meio de uma rede. Um atacante pode analisar essas informações para descobrir detalhes valiosos, como IDs de usuário e senhas.
Neste artigo, você aprenderá técnicas comuns de sniffing de rede, as ferramentas que atacantes e hackers éticos usam para inspecionar redes e as contramedidas que protegem informações confidenciais na rede. Wireshark O passo a passo abaixo é fornecido apenas para fins educacionais e testes autorizados.
O que é Network Sniffing?
Os computadores se comunicam transmitindo mensagens em uma rede usando endereços IP. Depois que uma mensagem é enviada pela rede, o computador destinatário com o endereço IP correspondente responde com seu endereço MAC.
Sniffing de rede é o processo de interceptação de pacotes de dados enviados por uma rede. Pode ser realizado com software especializado, um dispositivo de interceptação de dados (hardware tap) ou um espelhamento de porta configurado. A captura de pacotes (sniffing) pode ser usada para:
- Capture dados confidenciais, como credenciais de login
- Escute mensagens de bate-papo
- Capturar arquivos que foram transmitted através de uma rede
Os seguintes protocolos são vulneráveis a interceptação de dados quando as informações de login são transmitidas em texto não criptografado:
Os equivalentes modernos (HTTPS, SMTPS, IMAPS, SFTP, SSH) criptografam a carga útil, de modo que um sniffer vê o texto cifrado em vez das credenciais.
Farejamento Passivo e Ativo
Antes de analisarmos a captura de pacotes passiva e ativa, vamos examinar dois dispositivos comumente usados para conectar computadores em rede: hubs e switches.
Um hub funciona enviando mensagens de transmissão para todas as portas de saída, exceto aquela que enviou a mensagem de transmissão. O computador destinatário responde à transmissão se o endereço IP corresponder. Portanto, todas as máquinas em um segmento baseado em hub podem ver todos os quadros. Um hub opera na camada física (camada 1) da rede. Modelo OSI.
O diagrama abaixo ilustra como o hub funciona.
Um switch funciona de maneira diferente; ele mapeia endereços IP e MAC para portas físicas. Os frames são encaminhados apenas para a porta que corresponde ao endereço MAC do destinatário, portanto, outros hosts na LAN não veem o tráfego. Os switches operam na camada de enlace de dados (camada 2) e, com recursos de roteamento, na camada de rede (camada 3).
O diagrama abaixo ilustra como o switch funciona.
A captura passiva de pacotes consiste na interceptação de pacotes. transmittransmitido por uma rede que utiliza um hub. É chamado de ataque passivo porque o atacante não injeta tráfego, o que dificulta sua detecção. Também é fácil de executar porque o hub envia mensagens de broadcast para todos os hosts da rede.
A captura ativa de pacotes consiste na interceptação de pacotes. transmittransmitido por uma rede que utiliza um switch. Duas técnicas principais são usadas para inspecionar redes comutadas: envenenamento por ARP e inundação MAC.
Atividade de hacking: detectar tráfego de rede
Neste cenário prático, vamos usar Wireshark para capturar pacotes de dados transmitted através do protocolo HTTPCapturaremos o tráfego na interface local e, em seguida, faremos login em um aplicativo web de exemplo que não usa comunicação segura. Guru99 local de treinamento em http://www.techpanda.org/.
O endereço de login é admin@google.com e a senha é Password2010.
Observação: Faremos login no aplicativo web apenas para fins de demonstração e em uma rede que nos pertence. A mesma técnica também pode revelar pacotes de dados de outros hosts na mesma rede que o analisador de pacotes, motivo pelo qual você deve obter autorização por escrito antes de executá-la. Wireshark em qualquer rede que você não controle. A interceptação não se limita a techpanda.org; Wireshark Captura o tráfego HTTP e de outros protocolos que passam pela interface.
ManageEngine Firewall Analyzer é uma solução robusta de gerenciamento e auditoria de políticas, projetada para aprimorar a segurança e a transparência da rede. Ela fornece visibilidade em tempo real do tráfego do firewall, auxiliando na verificação e no gerenciamento de políticas.ping Os administradores identificam falhas de segurança, otimizam conjuntos de regras e monitoram o uso da largura de banda.
Farejando a rede usando Wireshark
A ilustração abaixo mostra os passos que você deverá seguir para concluir este exercício sem confusão.
Baixar Wireshark da wireshark.org/download.htmlO ramo estável atual é Wireshark 4.x, que roda em Windows, macOSe Linux.
- Abra Wireshark
- Você verá a seguinte tela de boas-vindas.
- Selecione a interface de rede que deseja monitorar. Este passo a passo utiliza uma conexão sem fio; em uma rede local com fio, escolha o adaptador Ethernet.
- Clique no botão Iniciar (barbatana de tubarão) mostrado acima.
- Abra seu navegador e visite http://www.techpanda.org/.
- O e-mail de login é admin@google.com e a senha é Password2010.
- Clique no botão enviar.
- Após o login bem-sucedido, o seguinte painel deverá ser exibido.
- Voltar para Wireshark e interrompa a captura ao vivo.
- Filtrar tráfego HTTP apenas por tipoping http na barra de filtro de exibição.
- Localize a coluna Informações e procure uma entrada com o verbo HTTP POST e clique nela.
- Abaixo das entradas de registro, há um painel com um resumo dos dados coletados. Procure pela linha Dados de texto baseados em linhas: application/x-www-form-urlencoded.
- Agora você deve ser capaz de ler os valores em texto simples de todas as variáveis POST enviadas ao servidor via HTTP, incluindo os campos de e-mail e senha.
O que é inundação de MAC?
O ataque de inundação de MAC é uma técnica de espionagem de rede que inunda a tabela CAM (endereço MAC) do switch com endereços MAC falsos. Quando a tabela está cheia, o switch não consegue mais aprender destinos legítimos e começa a encaminhar frames para todas as portas, agindo como um hub. O atacante pode então capturar pacotes de dados enquanto eles atravessam a rede.
Medidas contrárias contra inundações MAC
- Segurança da porta do switch. Limite o número de Endereços MAC Permitido por porta, aprende automaticamente o primeiro endereço MAC visto e bloqueia ou desativa a porta se o limite for ultrapassado.
- Servidores de Autenticação, Autorização e Contabilização (AAA) Pode ser usado com 802.1X para filtrar endereços MAC descobertos e aceitar apenas dispositivos autenticados.
- Inspeção ARP dinâmica e DHCP snooping mitigar o ataque de envenenamento de ARP relacionado, que frequentemente ocorre em conjunto com a inundação de MAC.
Contra-medidas para cheirar
- Restringir o acesso à mídia física. Painéis de conexão bloqueados, tomadas de parede com portas desativadas e VLANs segmentadas reduzem a probabilidade de um sniffer ser instalado.
- Criptografar o tráfego em trânsito. HTTPS (TLS 1.3), SSH, IPsec e protocolos VPN modernos tornam os pacotes capturados ilegíveis para um atacante.
- Substitua os protocolos inseguros. Migrar do Telnet para SSH, de FTP para SFTP ou FTPS, e de HTTP para HTTPS em todo o site.
- Reforce a segurança do Wi-Fi. Use WPA3 ou WPA2-AES com uma senha forte para impedir a interceptação de dados sem fio.
- Monitore com um IDS. Ferramentas como Suricata, Zeek e Snort Gera alertas quando ocorrem envenenamento de ARP, estouro da tabela MAC ou interfaces promíscuas.
Como a IA fortalece a defesa contra a interceptação de dados em redes
As plataformas modernas de detecção de intrusão e SIEM agora utilizam aprendizado de máquina em conjunto com a captura de pacotes para detectar atividades relacionadas a sniffing mais rapidamente do que apenas conjuntos de regras. Os modelos de IA estabelecem uma linha de base para o comportamento normal das tabelas ARP, DHCP e MAC e, em seguida, sinalizam desvios, como volume de broadcast incomum e mapeamento duplicado de IP para MAC.pings, ou alterações repentinas na tabela CAM que apontam para envenenamento de ARP ou inundação de MAC.
Grandes modelos de linguagem também ajudam os analistas na triagem. Wireshark O Zeek processa logs resumindo fluxos suspeitos em linguagem simples, sugerindo filtros e cruzando indicadores de comprometimento (IOCs) observados com feeds de inteligência de ameaças. Os defensores ainda devem verificar as descobertas da IA comparando-as com a captura bruta, mas o ganho de velocidade em uma rede congestionada é significativo.
Resumo
- A interceptação de pacotes na rede, também conhecida como "network sniffing", permite que os pacotes sejam vistos enquanto trafegam pela rede, podendo expor credenciais em texto não criptografado.
- A captura passiva de pacotes ocorre em redes baseadas em hubs e é difícil de detectar; a captura ativa de pacotes tem como alvo switches e é mais fácil de identificar.
- Wireshark A versão 4.x é o analisador padrão de código aberto usado neste passo a passo para ler dados HTTP POST.
- O flooding de MAC sobrecarrega a tabela CAM do switch, fazendo com que ele se comporte como um hub.
- Criptografia (HTTPS, SSH, VPN), segurança de porta de switch, Wi-Fi WPA3 e monitoramento assistido por IA neutralizam a maioria dos ataques de sniffing.
