Wireshark Handledning: Network & Passwords Sniffer

Datorer kommunicerar via nätverk. Dessa nätverk kan vara i ett lokalt nätverk (LAN) eller vara exponerade mot internet. Nätverkssniffrar är program som fångar paketdata på låg nivå transmitted över ett nätverk. En angripare kan analysera denna information för att upptäcka värdefulla detaljer som användar-ID:n och lösenord.

I den här artikeln kommer du att lära dig vanliga tekniker för nätverkssniffning, de verktyg som angripare och etiska hackare använder för att sniffa nätverk, och de motåtgärder som skyddar känslig information på tråden. Wireshark Genomgången nedan tillhandahålls endast för utbildningsändamål och auktoriserad testning.

Vad är nätverkssniffning?

Datorer kommunicerar genom att sända meddelanden i ett nätverk med hjälp av IP-adresser. När ett meddelande har skickats i ett nätverk svarar mottagardatorn med den matchande IP-adressen med sin MAC-adress.

Nätverkssniffning är processen att fånga upp datapaket som skickas över ett nätverk. Det kan utföras med specialiserad programvara, en hårdvarutappning eller en konfigurerad portspegel. Sniffing kan användas för att:

• Fånga känsliga uppgifter som inloggningsuppgifter
• Avlyssna chattmeddelanden
• Spara filer som har transmitöver ett nätverk

Följande protokoll är sårbara för sniffning när inloggningsuppgifter skickas i klartext:

• Telnet
• rlogin
• HTTP
• SMTP-
• NNTP
• POP
• FTP
• IMAP

Moderna motsvarigheter (HTTPS, SMTPS, IMAPS, SFTP, SSH) krypterar nyttolasten så att en sniffer ser chiffertext snarare än inloggningsuppgifter.

Passiv och aktiv sniffning

Innan vi tittar på passiv och aktiv sniffning, låt oss titta på två enheter som vanligtvis används för att nätverka datorer: hubbar och switchar.

En hubb fungerar genom att skicka broadcast-meddelanden till varje utgångsport utom den som skickade broadcasten. Mottagardatorn svarar på sändningen om IP-adressen matchar. Varje maskin på ett hubbbaserat segment kan därför se varje bildruta. En hubb fungerar på det fysiska lagret (lager 1) av OSI-modell.

Diagrammet nedan visar hur navet fungerar.

En switch fungerar annorlunda; den mappar IP- och MAC-adresser till fysiska portar. Ramar vidarebefordras endast till den port som matchar mottagarens MAC-adress, så andra värdar på LAN:et ser inte trafiken. Switchar fungerar på datalänklagret (lager 2) och, med routingfunktioner, på nätverkslagret (lager 3).

Diagrammet nedan visar hur omkopplaren fungerar.

Passiv sniffning är att avlyssna paket transmitöver ett nätverk som använder en hub. Det kallas passivt eftersom angriparen inte injicerar trafik, vilket gör det svårt att upptäcka. Det är också enkelt att utföra eftersom hubben skickar sändningsmeddelanden till varje värd i nätverket.

Aktiv sniffning avlyssnar paket transmitöver ett nätverk som använder en switch. Två huvudtekniker används för att sniffa växlade nätverk: ARP-förgiftning och MAC-översvämningar.

Hackingaktivitet: Sniff Network Traffic

I det här praktiska scenariot ska vi användning Wireshark att sniffa datapaket transmitted över HTTP-protokolletVi kommer att fånga trafik på det lokala gränssnittet och sedan logga in på ett exempel på en webbapplikation som inte använder säker kommunikation, Guru99 träningsplats på http://www.techpanda.org/.

Inloggningsadressen är admin@google.com och lösenordet är Password2010.

Obs: Vi loggar in på webbappen endast i demonstrationssyfte och på ett nätverk vi äger. Samma teknik kan också avslöja datapaket från andra värdar på samma nätverk som sniffern, vilket är anledningen till att du måste få skriftligt tillstånd innan du kör. Wireshark på alla nätverk du inte kontrollerar. Sniffningen är inte begränsad till techpanda.org; Wireshark fångar HTTP- och annan protokolltrafik som flyter förbi gränssnittet.

Sniffa nätverket med hjälp av Wireshark

Illustrationen nedan visar stegen du ska utföra för att slutföra den här övningen utan förvirring.

Ladda ner Wireshark från wireshark.org/download.htmlDen nuvarande stabila grenen är Wireshark 4.x, som körs på Windows, macOSoch Linux.

• Öppet Wireshark
• Du kommer att se följande välkomstskärm

• Välj det nätverksgränssnitt du vill sniffa. Den här genomgången använder en trådlös anslutning; på ett trådbundet nätverksnätverk väljer du istället Ethernet-adaptern.
• Klicka på startknappen (hajfena) som visas ovan.

• Öppna din webbläsare och besök http://www.techpanda.org/.

• Inloggningsmailen är admin@google.com och lösenordet är Password2010.
• Klicka på knappen Skicka.
• En lyckad inloggning bör visa följande instrumentpanel.

• Växla tillbaka till Wireshark och stoppa liveinspelningen.

• Filtrera endast för HTTP-trafik efter typping http i visningsfilterfältet.

• Leta reda på Info-kolumnen och leta efter en post med HTTP-verbet POST och klicka sedan på den.

• Under loggposterna finns en panel med en sammanfattning av den insamlade datan. Leta efter raden Radbaserad textdata: application/x-www-form-urlencoded.

• Du borde nu kunna läsa klartextvärdena för varje POST-variabel som skickas till servern via HTTP, inklusive fälten e-postadress och lösenord.

Vad är MAC-översvämning?

MAC-flooding är en nätverkssniffningsteknik som översvämmar switchens CAM-tabell (MAC-adress) med falska MAC-adresser. När tabellen är full kan switchen inte längre lära sig legitima destinationer och börjar vidarebefordra ramar till varje port och fungerar som en hubb. Angriparen kan sedan fånga datapaket när de passerar nätverket.

Motåtgärder mot MAC-översvämningar

• Säkerhet för switchport. Begränsa antalet MAC-adresser tillåtet per port, sticky-learn den första MAC-adressen som ses och lås eller stäng av porten om gränsen överskrids.
• AAA-servrar (Autentisering, auktorisering och redovisning) kan användas med 802.1X för att filtrera upptäckta MAC-adresser och endast acceptera autentiserade enheter.
• Dynamisk ARP-inspektion och DHCP-snooping mildra den relaterade ARP-förgiftningsattacken som ofta paras ihop med MAC-översvämningar.

Sniffande Motåtgärder

• Begränsa åtkomsten till fysiska medier. Låsta patchpaneler, portavaktiverade vägguttag och segmenterade VLAN minskar risken för att en sniffer installeras från första början.
• Kryptera trafik under överföring. HTTPS (TLS 1.3), SSH, IPsec och moderna VPN-protokoll gör insamlade paket oläsliga för en angripare.
• Ersätt osäkra protokoll. Flytta från Telnet till SSH, från FTP till SFTP eller FTPS, och från HTTP till HTTPS på hela webbplatsen.
• Härda Wi-Fi. Använd WPA3 eller WPA2-AES med ett starkt lösenord för att stoppa trådlös sniffning i luften.
• Övervaka med ett IDS. Verktyg som Suricata, Zeek och Snort utlösa varningar när ARP-förgiftning, MAC-tabellöversvämning eller promiskuösa gränssnitt uppstår.

Hur AI stärker försvaret mot nätverkssniffning

Moderna intrångsdetekterings- och SIEM-plattformar använder nu maskininlärning ovanpå paketinsamling för att upptäcka sniffningsrelaterad aktivitet snabbare än vad enbart regeluppsättningar kan. AI modellerar normalt ARP-, DHCP- och MAC-tabellbeteende och flaggar sedan avvikelser som ovanlig sändningsvolym, duplicerad IP-till-MAC-mappning.pings, eller plötslig CAM-tabellförändring som pekar på ARP-förgiftning eller MAC-översvämning.

Stora språkmodeller hjälper även analytiker att prioritera Wireshark och Zeek-loggar genom att sammanfatta misstänkta flöden i enkel text, föreslå filter och jämföra observerade IOC:er mot hotinformationsflöden. Försvarare bör fortfarande verifiera AI-fynd mot råfångsten, men hastighetsökningen på ett upptaget nätverk är betydande.

Sammanfattning

• Nätverkssniffning fångar upp paket när de färdas över nätverket och kan exponera klartextuppgifter.
• Passiv sniffning körs på hubbbaserade nätverk och är svår att upptäcka; aktiv sniffning riktar sig mot switchar och är lättare att upptäcka.
• Wireshark 4.x är standardanalysatorn med öppen källkod som används i den här genomgången för att läsa HTTP POST-data.
• MAC-översvämning överbelastar switchens CAM-tabell så att switchen beter sig som en hub.
• Kryptering (HTTPS, SSH, VPN), switchportsäkerhet, WPA3 Wi-Fi och AI-assisterad övervakning neutraliserar tillsammans de flesta sniffing-attacker.

Vanliga frågor