Instructeur: In deze
lezing gaan we het hebben over het gereedschap Wireshark.
Wireshark is een netwerk protocol analyzer.
Het is niet ontworpen voor hackers en het is niet
ontworpen om te hacken en andere mensen op het netwerk te bespioneren.
Het is ontworpen voor netwerkbeheerders, zodat zij kunnen
zien wat er in hun netwerk gebeurt en ervoor
kunnen zorgen dat alles goed werkt en dat niemand
iets slechts of verdachts doet op het netwerk.
Wireshark werkt zo dat je een interface kunt selecteren
en dan alle pakketten of al het verkeer dat door die interface stroomt
kunt loggen.
Dus je kiest een interface.
Het kan een draadloze kaart
zijn, het kan een bekabelde kaart zijn, op uw huidige computer.
En dan begint het alle informatie te loggen die door die
interface stroomt.
Het heeft ook een heel mooie grafische interface waarmee u dit
verkeer kunt analyseren.
Dus kun je deze pakketten filteren op basis
van het protocol dat ze gebruikt, zoals HTTP, TCP, en dat alles.
Je kunt er ook bepaalde dingen mee zoeken.
Bijvoorbeeld, als u op zoek
bent naar cookies of
als u op zoek bent naar berichten
of verzoeken, en u kunt ook zoeken in deze pakketten, u kunt zoeken
in de informatie die is opgeslagen in de pakketten
en de dingen vinden die u zoekt.
Het is echt een heel groot instrument
en je hebt er een hele cursus voor nodig.
Dus in deze cursus,
gaan we het gebruiken in een paar lezingen,
gewoon de basis of de dingen die met ons te maken hebben.
Dus het belangrijkste idee hier is dat Wireshark geen hackgereedschap is.
U kunt alleen het verkeer vastleggen dat door uw eigen computer
stroomt, via uw eigen interface.
Ik ga het nu gebruiken, en
het zal je duidelijker worden.
Dus ik ga naar Kali en we
starten Wireshark.
U kunt Wireshark uitvoeren vanaf de opdrachtprompt,
of u kunt gewoon naar alle toepassingen gaan en Wireshark typen, en het zal
hier verschijnen.
Ik ga daarop klikken en dan wordt het programma voor
mij geladen.
Dit is gewoon de normale fout.
Negeer deze fout gewoon.
En dit is de hoofdinterface van Wireshark.
Dus allereerst
kun je eigenlijk gewoon naar het bestand gaan en naar het openen gaan.
En hier kun je
een bestand openen dat je al hebt vastgelegd.
Dus als u bijvoorbeeld
de pakketten opvangt met een andere sniffer, met arrow
dump of met man in the middle left of met t-shark, wat het command
prompt gedeelte van Wireshark is.
Dus als je pakketten hebt vastgelegd met een van deze programma's
en je bent begonnen in een bestand, kun je gewoon hier komen, het openen
en beginnen met het analyseren van dat bestand.
Dit is echt handig, want soms wil je het verkeer
niet echt on the fly analyseren.
Dus soms wil je het gewoon vastleggen.
Als je soms opnames maakt vanaf een kleine laptop of je
smart capture vanaf je telefoon, en je bent niet
eens thuis, je bent ergens
anders je pentests aan het doen en dan ga je terug naar huis
en dan wil je analyseren wat je hebt opgenomen.
Dan kun je dat in een bestand opslaan.
En kom dan hier, ga naar het bestand,
open en open het bestand dat je wilt analyseren.
Dus wat ik hier wil laten zien is het idee dat Wireshark geen hackgereedschap
is.
Het zal geen dingen vastleggen die in een
ander apparaat gebeuren.
Het vangt alleen dingen
op die door je eigen interface stromen.
Dus hier kunnen we zien dat we alle interfaces in mijn
computer hebben.
Dus we zien dat we eth0 hebben.
We hebben any, wat gewoon any is,
en we hebben alle andere, waarvan sommige worden aangemaakt
door virtual box.
Dus de belangrijkste hier is eth0,
dat is de virtuele interface verbonden met mijn NOC netwerk.
En je kunt zien dat hier geen verkeer doorheen
stroomt.
Dus je ziet dat dit constant
is en dat er niets gebeurt.
Dus wat ik nu ga doen is dit een beetje kleiner
maken, en ik open mijn browser hier.
En ik ga gewoon naar een normale website.
Ik ga gewoon naar google. com.
Zoals je hier kunt zien, zie
je dat het verkeer op eth0 sterk toeneemt.
Dus er werd wat verkeer gegenereerd via eth0.
Dus om dit te sniffen,
kunnen we deze pakketten die over eth0 zijn
verstuurd, opvangen.
Nu ga ik naar mijn Windows machine
om dat te bewijzen.
En ik ga hier de website bekijken en je zult zien
dat eth0 niet wordt beïnvloed.
En het verkeer dat wordt gegenereerd op deze Windows machine,
die in hetzelfde netwerk zit als de kali machine, wordt
niet opgevangen door de kali machine.
Dus als ik hier weer naar Google
ga, zie je dat er niets gebeurd is in eth0.
Dus er gaat geen verkeer doorheen.
Het is nog steeds constant.
En we kunnen alleen pakketten opvangen die via eth0 gaan.
Nu zult u zich waarschijnlijk afvragen waarom Wireshark zo nuttig is?
Waarom praten we er eigenlijk over?
Als we alleen dingen kunnen zien die door onze eigen computer gaan, waarom
praten we er dan over?
Nou we praten erover omdat we zien dat
er een groot aantal manieren zijn waarop
je de man in het midden
kunt worden.
We hebben geleerd hoe je dit doet met ARP spoofing,
en in toekomstige lezingen
zal ik laten zien hoe je dit doet
door een vals toegangspunt te maken.
Dus als wij de man in het midden zijn, en we
sniffen op de interface die wordt gebruikt
om de man in het midden te worden, kunnen
we al het verkeer opvangen dat wordt gegenereerd door de
mensen die we als doelwit kiezen voor onze
man in het midden-aanval.
Dus als je het valse toegangspunt hebt gestart, kun je
sniffen op de interface die in het signaal wordt uitgezonden
en kun je alle pakketten vastleggen die worden verzonden
of ontvangen naar iedereen die verbonden is met dat valse toegangspunt.
Als u de man in het midden werd met ARP spoofing,
selecteer dan de interface die u gebruikte toen u uw ARP
spoofing aanval uitvoerde.
Dus voorlopig word ik de man in het midden,
met ARP spoofing.
Je kunt ARP spoof of bettercap gebruiken zoals ik je eerder liet zien, maar ik ga
bettercap gebruiken met precies hetzelfde commando
als we vroeger deden.
Dus we doen letterlijk gewoon bettercap gevolgd door
de interface die verbonden is met mijn
doelnetwerk, dat is eth0.
En ik start mijn caplet, dit spoof caplet, zodat het
de ARP spoof module configureert en voor me uitvoert om me in
het midden van de verbinding te zetten.
Dus ik druk op enter.
En zoals je kunt zien, werkt het zoals verwacht.
Dus nu zou ik in het midden van de verbinding moeten staan
en alles moeten onderscheppen wat de doel-Windows machine verstuurt
of ontvangt.
Laten we nu naar de Windows machine
gaan en kijken of ik hier iets doe
dat het verkeer op eth0 beïnvloedt.
Dus we zullen zien of Wireshark het door deze computer gegenereerde
verkeer kan vastleggen.
Dus laten we hier iets schrijven.
Ik Google het gewoon,
of ik ga naar een andere website.
Ik ga gewoon naar Bing.
En als we hier terugkomen, zie je
dat hier verkeer wordt gegenereerd, en we kunnen
zien dat eth0 eigenlijk vastlegt wat er ook gebeurt
in een heel ander apparaat.
Dit gebeurt omdat als wij de man in het midden zijn, alle
pakketten die door het Windows apparaat worden gegenereerd,
worden omgeleid naar mijn eigen computer hier
naar de Kali.
En dan snuift Wireshark dat van de Kali machine, het snuift
het van mijn eigen lokale machine.
Het komt niet van het netwerk.
Het snuffelt niet aan de doelcomputer.
Dus nogmaals, als
je dit doet met het valse toegangspunt en
gewoon luistert op de interface die je uitzendt, als
je dit doet met een echt draadloos netwerk, als je verbonden
bent met je draadloze
thuisnetwerk via land zero, dan kun je dit
gewoon doen met land zero.
Maar met ARP spoofing moet
je eerst het verkeer omleiden, daarna
kun je Wireshark gebruiken.
Dit is alleen om te laten zien wat Wireshark is
en hoe het werkt.
En ik wil alleen benadrukken dat Wireshark geen hackgereedschap
is, het is alleen een programma
waarmee je pakketten kunt loggen die door een bepaalde interface
stromen en die pakketten vervolgens
kunt analyseren.
In de volgende video zullen
we zien hoe we pakketten kunnen
sniffen en analyseren met Wireshark.