Sniffer II: Wireshark

De wikijoan
Salta a la navegació Salta a la cerca

Introducció

Instal.lació

$ sudo apt-get install wireshark

$ sudo wireshark

Com que tcpdump s'ha d'executar com a root, també ho haurem de fer amb wireshark.

Desenvolupament

Wireshark és ben fàcil d'utilitzar. Bàsicament el que hem de veure és que les diferents opcions que teníem amb tcpdump ara les tenim de forma gràfica, i que ara és molt més fàcil interpretar els paquets, així com aplicar filtres.

Per tant, el primer que has de fer és jugar una estona amb el wireshark per familiaritzar-te amb les diferents opcions. Bàsicament has de clicar sobre el primer botó (available interfaces), mirar que eth1 està activa, escollir les opcions que vulguis (hi ha filtres predefinits, escollir un fitxer de captura), i Start.

Una pràctica típica és veure la diferència entre telnet i SSH a nivell de seguretat. En el cas de Telnet la informació viatja per la xarxa sense encriptar i pots veure el login i el password en text pla.

Telnet

Concretament, com a pràcticament veurem que telnet no és un protocol segure i que les dades de quan fem telnet viatgen sense encriptar a través de la xarxa.

En el wireshark, en la casella Filter posem: telnet.

Fem login al nostre servidor de telnet, i ens demana el login i el password.

$ telnet 192.168.1.131
login: joan
password:

A Wireshark hem capturat múltiples paquets. Podem fer doble click sobre els paquets, i anar al final de tot on posa Data. Aquí surt la informació rellevant. Encara que sigui una mica engorrós, encadenant els bytes, podràs veure el login i el password amb què t'has logat a la sessió de telnet.

Truco per fer més fàcil la pràctica:

Telnet sends characters one by one, that's why you don't see the username/password straight away. But with "Follow TCP Stream", wireshark will put all data together and you will be able to see the username/password. Just rightclick on a packet of the telnet session and choose: "Follow TCP Stream".

SSH

Wireshark ssh.png

Ara farem el mateix amb SSH. Si no tens instal.lat el servidor de SSH, ara és el moment de fer-ho:

$ sudo apt-get install ssh

Des d'una altra màquina pots realitzar una connexió al teu servidor SSH. La forma més fàcil:

$ ssh joan@192.168.1.131
password:

i ara quan mires la informació rebuda amb el wireshark és totalment críptic:

(Oah.O0Dx..jb3.$...#{....Wgi=z.}'C1I|..}.i...^.......NF..T.p.f....KQa.Q`T..s2.....d..R..x.D8n.r|..........l.....0..r.y.&)'.......}G`.u..z......j.P1..-0.."..Q....$....[.;.......c...`mo.A..!.c1uY
.q...X...........y.....q.@...-..T.eQQ../.xy5..........lOI..m...5.!1.L?......x6..Hc.M....?nq.........G..._....A9.;1
.7..aA.a..7..p.'...A-.k..q..#b(Ay.j.=/..............r.
 i..l......)...)/..l.....$;.k.,F..a.....]BN.._Q.(..]....t..P....Y..70.....,..#c.0.....{.9......<.o......).t7..m...^.[.......?.wQ...H;U.H...Y..'.....0..........[X.N.&w.....-...?..eR.......N....^.....)1.e...
.6..^.7.8...PJ.}.j.G...>.....w....._....].....Y +.MT..4.6.%...n.-..P-}#.Ta.6\.....J....z..|..#......\.?.....
&...&.:.'..Bq.U,...=.S....|.>.....Ii.....OWF..r.L....7....g....64v...,.O..h.....,t..g.
PhLo.r7PD.S...
F...g...).i.Z.......PK<F......6.y\.^..@._..x..M.'..z....e)..|........p.....B9.H=.=m...Q...'..5.:.k...T.B.N..kj.
p....T..E{.`......?...2.r..p....#o..$?.N~m.......;.U. E..A...H.~%..'...cA.._.{*.r.>.j.;......FB/...gj...I...C....Q2.....^.......N..\PR..Y.d...^._.,..w...W6#..8e......]...$.9u.=U..{.D.&M...xr0...dC......R#....C.~...>`.W.%....<...cu..s?Dd....xQ........0.u.q.'..,..angd._...E#....J.......6.+O.....+_...t..W.1}...(.'.^..CQ.>..{....!o.;!}....F>.......1md.o.,...a...${~...`Q..6\.:..y.r.k

Entrega

Els diferents protocols que tens disponibles per fer les pràctiques són http (80), https (recorda la pràctica que vam fer en l'assignatura IAW, https://www.sad.org), SSH, Telnet, mysql,... i d'altres. Com a mínim hauràs de fer:

  • capturar paquets provinents d'una consulta que facis a Google.
  • captura d'una sessió telnet (descobrir el password)
  • captura d'una sessió SSH (password encriptat)
  • captura d'un paquet ICMP (ping)
# tcpdump icmp

Recorda la normativa per entregar les pràctiques al Moodle: ASIX-M11-SAD#Normativa_d.27entrega_de_les_pr.C3.A0ctiques_al_Moodle


creat per Joan Quintana Compte, novembre 2011