Instruktor: W
poprzednim filmie widzieliśmy, jak możemy uruchomić
Wireshark i powiedzieliśmy, że możemy
po prostu otworzyć plik zawierający pakiety, które już przechwyciliśmy
i możemy zacząć analizować je za pomocą Wireshark.
W tym filmie chcę rozpocząć wąchanie pakietów,
a następnie wygenerować ruch na mojej
maszynie z systemem
Windows, a
następnie zobaczymy, jak możemy analizować te pakiety za pomocą Wireshark.
Więc jestem już człowiekiem pośrodku, ponieważ powiedziałem,
że najpierw musisz
być człowiekiem pośrodku, aby korzystać z
Wireshark, a następnie ruch generowany na maszynie z
systemem Windows jest faktycznie
filmowany za pomocą eth0, jak widzieliśmy w poprzednim filmie .
Więc zanim zacznę przechwytywać pakiety, chcę
przejść do opcji
i chcę tylko pokazać, jakie opcje możemy ustawić.
Najpierw możesz zobaczyć
wszystkie posiadane interfejsy i ruch generowany na nich.
I widać, że eth0 generuje pewien ruch
co jakiś czas,
ponieważ w rzeczywistości pochodzi z komputera z systemem Windows.
Tutaj możesz wybrać interfejsy,
na których chcesz zacząć przechwytywać, i możesz wybrać
więcej niż jeden interfejs, a wszystko,
co musimy zrobić, to po prostu przytrzymać kontrolę, a
następnie kliknąć inne interfejsy, na których
chcesz słuchać.
Na przykład możemy po prostu kliknąć je w ten sposób.
Ale na razie chcę tylko wąchać eth0.
Teraz, jeśli przejdziemy do wyjścia, zobaczysz,
że masz opcję gdzieś przechowywać te pakiety,
więc ponownie,
jeśli chcesz tylko wąchać i nie chcesz
analizować rzeczy, możesz po prostu
przejść do przeglądania i możesz zapisać
pakiety, które gdzieś wąchasz,
a następnie możesz je
przeanalizować, kiedy tylko masz na to czas.
W innym momencie możesz po
prostu otworzyć je za pomocą Wireshark,
tak jak pokazałem
w poprzednim filmie, możesz po prostu przejść
do pliku, otworzyć, a następnie otworzyć pakiety i rozpocząć ich analizę.
Teraz wybrałem eth0 i po prostu
kliknę przycisk Start.
I to zacznie przechwytywać pakiety.
Wszystko, co przepłynie przez
eth0, zostanie przechwycone i będzie wyświetlone tutaj, cokolwiek.
Mam na myśli obrazy, zdjęcia, wiadomości, pliki cookie, wszystko,
co ten komputer robi w Internecie,
przepłynie przez eth0 i
dlatego zostanie przechwycone przez Wireshark.
Więc to nie
jest tak, jak człowiek w
średnim wieku, gdzie pokazywał nam tylko ważne informacje,
zobaczysz wszystko, cały generowany ruch.
Teraz chcę wygenerować ruch
na komputerze docelowym, abyśmy mogli go tutaj
przeanalizować, ale zanim
to zrobię, wrócę do jaskieru
i chcę zobaczyć moją aplikację hsts,
aby obniżyć https do http, ponieważ jeśli
wszystko przekracza http, nie będziemy
w stanie nic zobaczyć ani przeczytać,
ponieważ
jak powiedziałem, wszystko zostanie zaszyfrowane.
Więc wciśnę
Enter, to zadziała zgodnie
z oczekiwaniami, wrócimy
do Wireshark i przejdźmy do komputera docelowego.
Pójdę do Google. tzn.
wyszukajmy coś, więc
na przykład wyszukajmy zSecurity i
pamiętajmy, że wszystko ładuje
się tutaj przez http, dlatego będziemy mogli
czytać i analizować wszystko, co ładujemy tutaj.
Teraz wróćmy do
Wireshark i zobaczmy, jak możemy filtrować te informacje
i odkrywać witryny odwiedzane
przez cel, zobaczyć żądania i tak dalej.
Więc kliknę przycisk Stop, aby to zatrzymać.
Teraz jest to główny interfejs Wireshark
i widać, że pierwszą
rzeczą, jaką mamy, jest każdy rekord tego pakietu.
Teraz zobaczysz tutaj kolumny,
po pierwsze tutaj jest liczba pakietów, więc masz
ten numer jeden, numer dwa,
numer trzy i numer cztery.
A czas
zobaczysz czas, kiedy ten pakiet został przechwycony, więc
zero to czas, kiedy po raz pierwszy
zaczęliśmy wąchać, a następnie czas rośnie wraz ze
spadkiem i pokazuje, kiedy te pakiety zostały przechwycone,
kiedy zostały w zasadzie wysłane.
Możesz również zobaczyć źródło, więc
jest to urządzenie, z którego pakiet został wysłany, i możesz
zobaczyć, że ten nie jest wysyłany
z naszego celu, to faktycznie pochodzi z Internetu
z serwera, który ma ten adres IP
i idzie do naszego celu komputer, który ma
10. 20 14 206
Możesz zobaczyć protokół, więc jest to TCP dla tego.
Widać, że w tym jest ICMP
i widać, że to ARP.
Możesz zobaczyć długość, która
jest rozmiarem, a także informacje o tym pakiecie.
Teraz możemy również
zauważyć, że te pakiety mają różne kolory.
Zazwyczaj zielony to pakiety TCP, ciemnoniebieski to
pakiety DNS, a jeśli
pójdziemy w dół, powinniśmy być w stanie znaleźć niektóre
z nich i widać, że wszystkie są pakietami DNF.
Jasnoniebieski to zwykle UDP,
ale w tej chwili nie mamy żadnych pakietów UDP.
Widzicie także, że mamy czarne pakiety, a
są to pakiety TCP, które
miały problem, miały problemy.
Teraz wiem, co
myślisz, jest tutaj tak wiele pakietów i
wiele z nich może nie być dla Ciebie
użytecznych, w zależności od tego, co próbujesz zdobyć.
Ale nie martw
się tym, w następnym
wykładzie pokażę ci, jak filtrować te pakiety,
aby wyświetlać tylko te odpowiednie, a następnie analizować
je, aby wyodrębnić przydatne informacje.