Wireshark Учебное пособие: Сниффер сети и паролей

Компьютеры общаются с помощью сетей. Эти сети могут находиться в локальной сети LAN или иметь доступ к Интернету. Сетевые снифферы — это программы, которые захватывают низкоуровневые данные пакетов, передаваемые по сети. Злоумышленник может проанализировать эту информацию, чтобы обнаружить ценную информацию, такую как идентификаторы пользователей и пароли.

В этой статье мы познакомим вас с распространенными методами и инструментами анализа сети, используемыми для анализа сетей. Мы также рассмотрим контрмеры, которые вы можете принять для защиты конфиденциальной информации, передаваемой по сети.

Что такое нюхание сети?

Компьютеры общаются посредством широковещательной рассылки сообщений по сети с использованием IP-адресов. После отправки сообщения по сети компьютер-получатель с соответствующим IP-адресом отвечает своим MAC-адресом.

Сетевой анализ — это процесс перехвата пакетов данных, отправляемых по сети.Это можно сделать с помощью специализированного программного обеспечения или аппаратного оборудования. К обнюхиванию можно привыкнуть;

Собирайте конфиденциальные данные, такие как учетные данные для входа в систему.
Подслушивать сообщения чата
Файлы захвата были переданы по сети

Ниже приведены протоколы, уязвимые для перехвата.

Telnet
Rлогин
HTTP
SMTP
NNTP
POP
Ftp
IMAP

Вышеуказанные протоколы уязвимы, если данные для входа отправляются в виде обычного текста.

Пассивное и активное обнюхивание

Прежде чем мы рассмотрим пассивное и активное прослушивание, давайте рассмотрим два основных устройства, используемых в сети компьютеров; концентраторы и коммутаторы.

Концентратор работает, отправляя широковещательные сообщения на все его выходные порты, кроме того, который отправил широковещательную рассылку.. Компьютер-получатель отвечает на широковещательное сообщение, если IP-адрес совпадает. Это означает, что при использовании концентратора все компьютеры в сети могут видеть широковещательное сообщение. Он работает на физическом уровне (уровень 1) Модель OSI.

На диаграмме ниже показано, как работает концентратор.

Переключатель работает по-другому; он сопоставляет IP/MAC-адреса с физическими портами на нем. Широковещательные сообщения отправляются на физические порты, соответствующие конфигурациям IP/MAC-адресов компьютера-получателя. Это означает, что широковещательные сообщения видны только компьютеру-получателю. Коммутаторы работают на канальном уровне (уровень 2) и сетевом уровне (уровень 3).

На схеме ниже показано, как работает переключатель.

Пассивный анализ — это перехват пакетов, передаваемых по сети, использующей концентратор.. Это называется пассивным сниффингом, потому что его трудно обнаружить. Это также легко сделать, поскольку концентратор отправляет широковещательные сообщения всем компьютерам в сети.

Активный сниффинг — это перехват пакетов, передаваемых по сети, использующей коммутатор.. Существует два основных метода, используемых для прослушивания сетей, связанных с коммутатором: ARP Отравлениеи MAC-флуд.

Хакерская деятельность: анализ сетевого трафика

В этом практическом сценарии мы собираемся использование Wireshark перехватывать пакеты данных при их передаче по протоколу HTTP. В этом примере мы будем анализировать сеть, используя Wireshark, затем войдите в веб-приложение, которое не использует защищенную связь. Мы войдем в веб-приложение на http://www.techpanda.org/

Адрес для входа admin@google.com, а пароль Password2010.

Примечание: мы войдем в веб-приложение только в демонстрационных целях. Этот метод также может перехватывать пакеты данных от других компьютеров, находящихся в той же сети, что и тот, который вы используете для перехвата. Обнаружение не ограничивается только сайтом techpanda.org, но также отслеживает все пакеты данных HTTP и других протоколов.

Прослушивание сети с помощью Wireshark

На рисунке ниже показаны шаги, которые вам следует выполнить, чтобы без путаницы выполнить это упражнение.

Скачать Wireshark из этой ссылки http://www.wireshark.org/download.html

Откройте Wireshark
Вы увидите следующий экран

Выберите сетевой интерфейс, который вы хотите прослушать. Обратите внимание, что в этой демонстрации мы используем беспроводное сетевое соединение. Если вы находитесь в локальной сети, вам следует выбрать интерфейс локальной сети.
Нажмите кнопку «Пуск», как показано выше.

Откройте веб-браузер и введите http://www.techpanda.org/

Электронная почта для входа admin@google.com и пароль Password2010
Нажмите на кнопку отправить
Успешный вход в систему должен открыть следующую панель мониторинга

Вернитесь в Wireshark и остановить захват в реальном времени

Фильтровать результаты протокола HTTP только с помощью текстового поля фильтра.

Найдите столбец «Информация», найдите записи с HTTP-командой POST и щелкните по нему.

Чуть ниже записей журнала находится панель со сводкой собранных данных. Найдите сводку, в которой говорится: Текстовые данные на основе строк: application/x-www-form-urlencoded.

Вы должны иметь возможность просматривать значения открытого текста всех переменных POST, отправленных на сервер по протоколу HTTP.

Что такое MAC-флуд?

MAC-флудинг — это метод анализа сети, который заполняет MAC-таблицу коммутатора поддельными MAC-адресами.. Это приводит к перегрузке памяти коммутатора и заставляет его работать как концентратор. После взлома коммутатора он отправляет широковещательные сообщения всем компьютерам в сети. Это позволяет перехватывать пакеты данных по мере их отправки в сеть.

Меры противодействия флуду MAC

Некоторые коммутаторы имеют функцию безопасности порта.. Эту функцию можно использовать для ограничения количества MAC-адреса по портам. Его также можно использовать для поддержки безопасной таблицы MAC-адресов в дополнение к таблице, предоставляемой коммутатором.
Серверы аутентификации, авторизации и учета может использоваться для фильтрации обнаруженных MAC-адресов.

Меры борьбы с обнюхиванием

Ограничение на сетевые физические носители значительно снижает вероятность установки сетевого сниффера
Шифрование сообщений поскольку они передаются по сети, их ценность значительно снижается, поскольку их трудно расшифровать.
Изменение сети на Secure Shell (SSH)сеть также снижает вероятность перехвата сети.

Итого

Сетевой снифинг — это перехват пакетов по мере их передачи по сети.
Пассивный анализ выполняется в сети, использующей концентратор. Это трудно обнаружить.
Активный анализ осуществляется в сети, использующей коммутатор. Это легко обнаружить.
MAC-флудинг работает путем заполнения списка адресов таблицы MAC поддельными MAC-адресами. Это позволяет коммутатору работать как концентратор.
Меры безопасности, описанные выше, могут помочь защитить сеть от перехвата.

Вы могли бы: