Instructeur: In de vorige
video hebben we gezien hoe we Wireshark kunnen starten
en we zeiden dat we eigenlijk gewoon een bestand kunnen
openen dat pakketten bevat die we al hebben opgevangen en we kunnen beginnen
met het analyseren ervan met behulp van Wireshark.
In deze video wil ik beginnen met het sniffen
van pakketten en dan wat verkeer genereren
in mijn Windows machine en
dan zullen we zien
hoe we deze pakketten kunnen analyseren met Wireshark.
Dus ik ben al de man in het midden zoals ik zei dat
je eerst de man in het midden
moet zijn om Wireshark te gebruiken
en dan wordt het verkeer dat wordt gegenereerd in de
Windows machine eigenlijk
gefilmd via eth0 zoals we zagen in de vorige video.
Dus voordat ik de pakketten vastleg, wil
ik naar de opties gaan en laten
zien welke opties we kunnen instellen.
Je ziet dus eerst alle interfaces die
je hebt en je ziet het verkeer dat daarop wordt gegenereerd.
En je kunt zien dat eth0 af en toe wat verkeer
genereert omdat het
van de Windows machine komt.
Dus hier kunt u de interfaces selecteren
waarop u wilt beginnen met afluisteren en u kunt zelfs
meer dan één interface selecteren en alles wat
we hoeven te doen is de besturing ingedrukt houden en dan klikken
op andere interfaces waarop u wilt luisteren.
We kunnen ze bijvoorbeeld zo aanklikken.
Maar voor nu wil ik eigenlijk alleen op eth0 snuffelen.
Als we nu naar de uitvoer gaan, zul je zien
dat je een optie hebt om deze pakketten ergens
op te slaan, dus nogmaals,
als je alleen wilt sniffen en niet wilt analyseren,
kun je gewoon naar bladeren gaan
en de pakketten die je gaat sniffen ergens opslaan en dan kun je ze analyseren wanneer
je tijd hebt.
Op een ander moment kun je ze gewoon
openen met Wireshark zoals ik je in
de vorige video heb laten
zien, je kunt gewoon op bestand gaan, openen
en dan de pakketten openen en ze gaan analyseren.
Nu heb ik eth0 geselecteerd en ik ga
gewoon op start klikken.
En dat zal beginnen met het vastleggen van pakketten.
Alles wat door eth0 stroomt
wordt opgevangen en hier getoond, alles.
Ik bedoel afbeeldingen, foto's, berichten, cookies, alles
wat die computer op het internet doet zal
via eth0 stromen en dus door Wireshark
worden opgevangen.
Dus het is niet zoals man in het midden
leven waar het ons alleen de belangrijke
informatie liet zien hier zie je alles, al het verkeer
dat is gegenereerd.
Nu wil ik wat verkeer genereren
op de doelcomputer zodat we het hier kunnen
analyseren, maar voor
ik dat doe ga ik terug naar buttercup
en wil ik mijn hsts caplet zien zodat ik
https kan downgraden naar http want als alles
over http gaat kunnen we niets zien
of lezen want zoals ik al zei, alles zal versleuteld
zijn.
Dus ik druk op enter
en dit werkt zoals verwacht,
we gaan terug naar Wireshark
en gaan naar de doelcomputer.
Ik ga naar google. ie en laten we naar
iets zoeken, dus laten
we bijvoorbeeld zoeken naar zSecurity
en vergeet niet dat alles hier
via http wordt geladen, dus daarom kunnen we alles wat
we hier laden lezen en analyseren.
Laten we nu teruggaan naar Wireshark
en kijken hoe we deze informatie kunnen filteren en ontdekken
welke websites het doelwit bezoekt,
de verzoeken bekijken, en dat alles.
Dus ik ga op de stopknop klikken om dit te stoppen.
Dit is de hoofdinterface van Wireshark en u
kunt zien dat het eerste wat we hebben
is dat elk record hiervan een pakket is.
Nu zie je hier de kolommen, allereerst
het nummer van de pakketten, dus dit is nummer
één, nummer twee, nummer drie
en nummer vier.
En de tijd, u ziet het tijdstip
waarop dit pakket werd opgevangen, dus nul is het moment
waarop we begonnen met sniffen en de tijd neemt toe naarmate
we verder naar beneden gaan en het laat zien wanneer deze pakketten
werden opgevangen, wanneer ze in principe werden verzonden.
Je kunt ook de bron zien, dus dit
is het apparaat waarvan het pakket is verzonden en je kunt
zien dat dit pakket niet van ons doel afkomstig
is, maar van het internet van een server met dit
IP en het gaat naar onze doelcomputer die
10 is.
20. 14. 206.
Je ziet het protocol dus het is TCP voor deze.
Je kunt zien dat het ICMP is in deze en je kunt
zien dat het ARP is voor deze.
U kunt de lengte zien, wat de grootte
is, en u kunt ook informatie over dit pakket zien.
Nu zien we ook dat deze pakketjes
verschillende kleuren hebben.
Meestal is groen TCP-pakketten, donkerblauw
DNS-pakketten, en als we naar beneden
gaan zouden we er enkele moeten kunnen vinden, en je
ziet dat dit allemaal DNF-pakketten zijn.
Lichtblauw is meestal UDP,
maar we hebben momenteel geen UDP-pakketten.
En je kunt ook zien dat we enkele zwarte pakketten hebben
en dat zijn TCP pakketten die een probleem
hadden, die problemen hadden.
Nu weet ik wat je denkt,
er zijn zoveel pakketten hier en veel ervan
zijn misschien niet nuttig voor je, afhankelijk
van wat je probeert te krijgen.
Maar maak je geen zorgen, in de volgende
lezing zal ik je laten zien hoe je deze
pakketten kunt filteren om alleen de relevante pakketten
weer te geven en ze vervolgens te analyseren om er de nuttige
informatie uit te halen.