Kursleiter: Im
vorherigen Video haben wir gesehen, wie wir
Wireshark starten können, und wir haben
gesagt, dass wir einfach eine Datei öffnen können, die bereits
erfasste Pakete enthält, und diese mit Wireshark analysieren können.
In diesem Video möchte ich anfangen, Pakete
zu beschnüffeln und dann Datenverkehr auf
meinem Windows-Computer generieren.
Dann werden
wir sehen, wie wir diese Pakete mit Wireshark analysieren können.
Ich bin also bereits der Mann in der Mitte,
wie ich bereits sagte,
dass Sie zuerst der Mann in der
Mitte sein müssen, um Wireshark zu nutzen, und dann wird der
Verkehr, der auf dem Windows-Computer generiert
wird, tatsächlich durch eth0 gefilmt, wie wir im vorherigen Video gesehen haben .
Bevor ich mit dem Erfassen der Pakete beginne,
möchte ich zu den Optionen
gehen und Ihnen nur zeigen, welche Optionen wir festlegen können.
Sie können also zunächst
alle vorhandenen Schnittstellen und den darauf generierten Datenverkehr anzeigen.
Und Sie können sehen, dass eth0 tatsächlich ab
und zu etwas
Verkehr erzeugt, weil er tatsächlich von der Windows-Maschine kommt.
Hier können Sie also die Schnittstellen
auswählen, auf denen Sie die Erfassung starten möchten, und
Sie können tatsächlich mehr als eine Schnittstelle auswählen.
Alles, was wir tun müssen, ist, die Steuerung zu halten und
dann auf andere Schnittstellen zu klicken, die
Sie abhören möchten.
Zum Beispiel können wir sie einfach so anklicken.
Aber im Moment möchte ich eigentlich nur an eth0 schnuppern.
Wenn wir nun zur Ausgabe übergehen, werden
Sie feststellen, dass Sie die Option haben, diese
Pakete irgendwo zu
speichern. Wenn Sie also nur schnüffeln und keine
Analyse durchführen möchten, können Sie einfach
auf Durchsuchen gehen und die Pakete speichern
Pakete, die du irgendwo schnüffeln
wirst, und dann kannst
du sie analysieren, wann immer du Zeit hast.
Zu einem anderen Zeitpunkt können Sie sie
einfach mit Wireshark öffnen, wie ich es
Ihnen im vorherigen
Video gezeigt habe. Sie können einfach in die
Datei gehen, die Pakete öffnen und dann öffnen und mit der Analyse beginnen.
Jetzt habe ich eth0 ausgewählt und ich
werde einfach auf Start klicken.
Und das beginnt mit der Erfassung von Paketen.
Alles, was durch
eth0 fließt, wird erfasst und hier angezeigt, alles.
Ich meine Bilder, Bilder, Nachrichten, Cookies, alles, was
dieser Computer im Internet macht, fließt
durch eth0 und
wird daher von Wireshark erfasst.
Es ist also nicht so,
als wäre man mitten im Leben und
würde uns nur die wichtigen Informationen zeigen, hier sehen Sie alles,
den gesamten Verkehr, der generiert wird.
Jetzt möchte ich etwas Datenverkehr
auf dem Zielcomputer generieren, damit wir ihn hier
analysieren können, aber
bevor ich das tue, gehe ich
zurück zu Butterblume und ich möchte mein
hsts-Caplet sehen, damit ich https auf http zurückstufen
kann, wenn alles möglich ist Über
http können wir nichts sehen oder lesen,
da,
wie gesagt, alles verschlüsselt wird.
Ich drücke
die Eingabetaste. Das funktioniert
wie erwartet. Wir kehren
zu Wireshark zurück und gehen zum Zielcomputer.
Ich gehe zu Google. dh und
lass uns nach
etwas suchen, also lass uns zum Beispiel
nach zSecurity suchen und bedenken,
dass hier alles über http geladen wird, deshalb können
wir hier alles lesen und analysieren, was wir laden.
Kehren wir jetzt zu
Wireshark zurück und sehen, wie wir diese Informationen filtern und
den Besuch der Websites durch
das Ziel erkennen, die Anfragen sehen und all das.
Also werde ich auf die Stopp-Schaltfläche klicken, um dies zu beenden.
Dies ist nun die Hauptschnittstelle von Wireshark und
Sie können sehen, dass das
erste, was wir haben, jeder Datensatz davon ein Paket ist.
Jetzt sehen Sie hier die
Spalten. Zunächst ist hier die Anzahl der Pakete angegeben. Sie
haben also die Nummer eins, die Nummer
zwei, die Nummer drei und die Nummer vier.
Und die Zeit,
zu der dieses Paket erfasst wurde, ist die Zeit, zu
der wir zum ersten Mal zu schnüffeln begonnen haben,
und die Zeit nimmt zu, wenn wir nach unten gehen.
Sie zeigt an, wann diese Pakete erfasst und wann sie
im Grunde genommen gesendet wurden.
Sie können auch die Quelle
sehen, das ist also das Gerät, von dem das Paket gesendet wurde,
und Sie können sehen, dass dieses nicht
von unserem Ziel gesendet wird. Es kommt tatsächlich aus
dem Internet von einem Server mit dieser IP
und es geht zu unserem Ziel Computer, der
10 ist. 20. 14. 206.
Sie können das Protokoll sehen, also ist es TCP für dieses.
Sie können sehen, dass dies ICMP ist, und Sie
können sehen, dass dies ARP ist.
Sie können die Länge sehen, die
der Größe entspricht, und Sie können auch Informationen zu diesem Paket anzeigen.
Jetzt können wir auch
feststellen, dass diese Pakete unterschiedliche Farben haben.
Normalerweise sind TCP-Pakete grün, DNS-Pakete dunkelblau, und wenn
wir ausfallen, sollten wir tatsächlich in
der Lage sein, einige von ihnen zu finden, und Sie
können sehen, dass es sich bei all diesen um DNF-Pakete handelt.
Hellblau ist normalerweise
UDP, aber wir haben momentan keine UDP-Pakete.
Sie können auch sehen, dass wir einige schwarze Pakete haben, und dies
sind TCP-Pakete, bei denen ein Problem aufgetreten ist
und bei denen Probleme aufgetreten sind.
Jetzt weiß ich,
was Sie denken. Es sind so viele
Pakete hier, und viele davon sind für Sie möglicherweise
nicht nützlich, je nachdem, was Sie abrufen möchten.
Aber keine Sorge,
in der nächsten Vorlesung werde
ich Ihnen zeigen, wie Sie diese Pakete filtern,
um nur die relevanten anzuzeigen, und sie dann analysieren,
um die nützlichen Informationen zu extrahieren.