Istruttore: Nel
video precedente abbiamo visto come possiamo avviare
Wireshark e abbiamo detto che in realtà
possiamo semplicemente aprire un file che contiene pacchetti che abbiamo
già acquisito e possiamo iniziare ad analizzarli usando Wireshark.
In questo video voglio iniziare a sniffare
i pacchetti e quindi generare un
po 'di traffico sul
mio computer
Windows e poi vedremo come possiamo analizzare questi pacchetti usando Wireshark.
Quindi sono già l'uomo nel mezzo, come
ho detto che
prima devi essere l'uomo nel mezzo
per usare Wireshark e poi il traffico generato nel
computer Windows è in
realtà filmato attraverso eth0 come abbiamo visto nel video precedente .
Quindi, prima di iniziare a catturare i
pacchetti, voglio andare alle
opzioni e voglio solo mostrarti quali opzioni possiamo impostare.
Quindi prima puoi vedere tutte le
interfacce che hai e puoi vedere il traffico generato su di esse.
E puoi vedere eth0 che in realtà
genera traffico ogni
tanto perché in realtà proviene dal computer Windows.
Quindi qui puoi selezionare le
interfacce su cui vuoi iniziare l'acquisizione e in realtà
puoi selezionare più di un'interfaccia e tutto
ciò che dobbiamo fare è semplicemente tenere il controllo e quindi
fare clic su altre interfacce su cui
vuoi ascoltare.
Ad esempio, possiamo semplicemente fare clic su di essi in questo modo.
Ma per ora in realtà voglio solo annusare eth0.
Ora se andiamo sull'output vedrai che hai
un'opzione per archiviare questi pacchetti da qualche parte,
quindi di nuovo
se vuoi solo annusare e non vuoi analizzare
le cose, puoi semplicemente andare
su Sfoglia e puoi archiviare il
pacchetti che annuserai da qualche
parte e poi potrai
analizzarli ogni volta che ne avrai il tempo.
In un altro momento puoi
semplicemente aprirli con Wireshark come ti
ho mostrato
nel video precedente, puoi semplicemente andare su
file, aprire e quindi aprire i pacchetti e iniziare ad analizzarli.
Ora ho selezionato eth0 e farò
semplicemente clic su Start.
E questo inizierà a catturare i pacchetti.
Tutto ciò che fluirà
attraverso eth0 verrà catturato e verrà visualizzato qui, qualsiasi cosa.
Intendo immagini, immagini, messaggi, cookie, tutto ciò che
quel computer fa su Internet scorrerà
attraverso eth0 e
quindi verrà catturato da Wireshark.
Quindi non è come
l'uomo nella mezza età dove ci
stava solo mostrando le informazioni importanti proprio qui vedrai
qualsiasi cosa, tutto il traffico generato.
Ora, voglio andare e generare
un po 'di traffico sul computer di destinazione in
modo da poterlo
analizzare qui, ma prima di farlo tornerò
al ranuncolo e voglio vedere il mio caplet
hsts in modo da poter eseguire il downgrade di https
a http perché tutto va su http
non saremo in grado di vedere o leggere
nulla perché,
come ho detto, tutto sarà crittografato.
Quindi premerò
Invio, funzionerà come previsto,
torneremo a Wireshark
e andiamo al computer di destinazione.
Vado a google. cioè e
cerchiamo qualcosa, per esempio
cerchiamo zSecurity e teniamo presente che tutto
sta caricando su http qui,
quindi è per questo che saremo in grado di leggere
e analizzare tutto ciò che stiamo caricando proprio qui.
Ora, torniamo a Wireshark
e vediamo come possiamo filtrare queste informazioni e scoprire
i siti Web visitati dal
target, vedere le richieste e tutto il resto.
Quindi farò clic sul pulsante di arresto per interrompere questo.
Ora questa è l'interfaccia principale di Wireshark e puoi
vedere che la prima cosa che
abbiamo è che ognuno di questi record è un pacchetto.
Ora vedrai qui le colonne,
prima di tutto qui è il numero dei pacchetti, quindi
questo è il numero uno, il numero
due, il numero tre e il numero quattro.
E il tempo,
vedrai il momento in cui questo pacchetto è stato
catturato, quindi lo zero è quando abbiamo iniziato
ad annusare e poi il tempo aumenta man mano che
scendiamo e mostra quando questi pacchetti sono stati catturati,
quando sono stati inviati sostanzialmente.
Puoi anche vedere la fonte,
quindi questo è il dispositivo da cui è stato inviato il
pacchetto e puoi vedere che questo non
è inviato dal nostro target, in realtà proviene da
Internet da un server che ha questo IP
e sta andando al nostro target computer che
è 10. 20. 14. 206.
Puoi vedere il protocollo quindi è TCP per questo.
Puoi vedere che è ICMP in questo e puoi
vedere che è ARP per questo.
Puoi vedere la lunghezza che è
la dimensione e puoi anche vedere le informazioni su questo pacchetto.
Ora possiamo anche
notare che questi pacchetti hanno colori diversi.
Di solito il verde è un pacchetto
TCP, il blu scuro
è un pacchetto DNS e se scendiamo dovremmo
effettivamente trovarne alcuni e vedere tutti questi pacchetti DNF.
L'azzurro di solito è
UDP ma al momento non abbiamo pacchetti UDP.
E puoi anche vedere che abbiamo alcuni pacchetti neri e questi
sono pacchetti TCP che hanno avuto un
problema, che hanno avuto problemi.
Ora so cosa
stai pensando, ci sono così tanti pacchetti
qui e molti di essi potrebbero non esserti utili
a seconda di cosa stai cercando di ottenere.
Ma non preoccuparti
di questo, nella prossima
lezione ti mostrerò come filtrare questi pacchetti
per visualizzare solo quelli pertinenti e quindi analizzarli
per estrarre le informazioni utili.