Instructeur: In deze
lezing wil ik u laten zien hoe u Wireshark kunt gebruiken
om gegevens te ontdekken die via formulieren worden verzonden,
wanneer iemand een formulier invult.
En natuurlijk kunnen we zo
gebruikersnamen en wachtwoorden
krijgen als mensen inloggen op hun account.
Ik run dus al BetterCAP, dus
ik ben al de man in het midden.
En in Wireshark hier, begin ik een nieuwe opname.
Dus ik ga verder zonder deze te bewaren.
Het filter is al ingesteld op HTTP,
dus het laat alleen HTTP-pakketten zien.
En ik ga hier naar een doelwebsite, dus laten we naar
vulnweb gaan. com.
Denk eraan, zoals ik al zei,
dat je moet inloggen op een HTTP-pagina, maar
dat is prima, want we hebben al geleerd
hoe je HTTPS kunt omzeilen, en zelfs HSTS gedeeltelijk kunt omzeilen.
Dus, ik ga hier inloggen op een website
die gewoon HTTP gebruikt, omdat het gewoon eenvoudiger is, en we hebben
al geleerd hoe we HTTPS en HSTS kunnen omzeilen, dus het heeft geen
zin om dat te herhalen.
We loggen in met een gebruikersnaam die is ingesteld op admin.
Ik ga het wachtwoord op 123abc zetten.
Ik klik op Inloggen, en dit zou
door Wireshark moeten zijn vastgelegd.
Laten we dit nu eens proberen met
een website die HTTPS gebruikt.
Dus laten we naar stackoverflow gaan. com.
Nogmaals, zoals u kunt
zien, zolang de website wordt gedegradeerd tot normale HTTP, kunnen
wij de gegevens vastleggen die van en naar deze website
worden gestuurd.
Dus, we gaan gewoon inloggen.
Zet de gebruikersnaam, we zetten hem op zaid@zedsecurity. org, en dan zetten we
het wachtwoord.
Dus we doen gewoon 123123abc.
En laten we teruggaan naar Wireshark, en
kijken hoe we de gebruikersnaam en het wachtwoord kunnen achterhalen.
Dus allereerst ga ik de vangst stoppen.
En we willen zoeken naar POST verzoeken.
Dus je ziet dat dit verzoek hier POST was,
bijvoorbeeld, en hier was het GET.
Nu worden formulieren meestal over POST verzonden,
vooral inlogformulieren.
Dus als je login informatie zoekt,
moet je hier zoeken naar POST.
Dus, we zien hier een POST verzoek.
Nu ga ik hier klikken om minder informatie te tonen, zodat
we het makkelijker kunnen zien.
Dus we kunnen zien dat deze POST naar Google is gestuurd.
Dat interesseert ons niet,
we zoeken naar spullen die naar Vulnweb zijn gestuurd.
Dus ik ga door.
We zien hier een POST verzoek naar
een login pagina, dus dit is zeker interessant.
Nu, als we naar beneden kijken, laat me dit kleiner maken.
Dus als we hier naar beneden kijken, en de gegevens van het HTML-formulier bekijken, dan kun je
zien dat we hier een gebruikersnaam hebben, verzonden
naar testhtml5. vulnweb. com.
De gebruikersnaam is admin, en het wachtwoord is 123abc.
Als we nu weer naar beneden scrollen op zoek naar POST verzoeken,
zie je dat we een POST verzoek hebben voor
een pagina genaamd gebruikers login.
Dus nogmaals, zeer, zeer interessant.
Als we hierop klikken, zie je, als we naar beneden scrollen, zie
je de e-mail, zaid@zedsecurity. org, en het wachtwoord
123123abc.
Zo zie je maar weer dat je
met Wireshark alles kunt vastleggen.
Dit kan heel erg nuttig zijn, want
ik heb gemerkt dat BetterCAP goed is in het snuffelen
van wachtwoorden.
En je krijgt de wachtwoorden vrijwel altijd,
maar soms lukte het niet om de gebruikersnaam
en het wachtwoord te filteren.
Met Wireshark kun je dus alles zien wat er door
je interface gaat.
Dus wat je eigenlijk zou kunnen doen is naar de caplet
gaan die we altijd gebruiken, de spoof caplet.
Deze hier.
Open het met de Text Editor.
En zoals je weet, zetten we in dit
boekje onze sniffer aan, dus we stellen
de snif in. lokaal naar waar,
en dan zetten we het aan.
Maar voordat u het aanzet, kunt
u het net instellen. snuiven. naar een locatie
voor een bestand dat alles bevat wat BetterCAP
vastlegt.
Dus u hoeft Wireshark niet te starten terwijl
BetterCAP werkt.
Je kunt hier gewoon een plaats aangeven.
Dus bijvoorbeeld, laten we zeggen root/capturefile. cap.
En dan, wanneer je je spoof caplet uitvoert, zal het
de probe inschakelen, de verkenning inschakelen, je spoofing
aanval uitvoeren, waardoor je in het
midden van de verbinding staat.
Het zal ook de sniffer uitvoeren,
en alles wat BetterCAP opvangt opslaan in een capture
bestand.
Dan hoef je alleen maar hierheen te komen, naar
Bestand, Openen, en het bestand te openen dat je hebt vastgelegd, en het
te analyseren, zoals ik nu doe.
Dit kan dus heel, heel nuttig zijn, ook als
je niet veel middelen op je computer hebt, of als je een
kleine laptop hebt, of zelfs een telefoon.
En je vangt er gegevens mee op, slaat
alles op in een capture bestand,
en opent het hier in Wireshark en analyseert het.
Voordat ik deze lezing beëindig, omdat
we het nu alleen maar hebben over het filteren van gegevens,
is een heel, heel nuttige functie bij het filteren van gegevens
de functie Ctrl+F, de zoekfunctie.
Dus u kunt gewoon op Ctrl+F van uw toetsenbord drukken,
en dan opent deze balk hier, deze zoekbalk, die
u kunt gebruiken om alles te vinden in de gevangen
pakketten.
Dus, ten eerste, ga ik de zoekopdracht instellen
om te zoeken in de details van het pakket.
Ik hou het bij Narrow & Wide.
Hier zet ik dit op Strings, zodat
het zoekt naar normale tekst.
En bijvoorbeeld, stel dat ik op zoek ben naar logins
die een persoon genaamd Zaid heeft geprobeerd, dan hoef
ik alleen maar Zaid in te typen.
En als ik op Enter druk.
En zoals je kunt zien, heeft het ons naar de inlogpoging
gebracht toen ik inlogde bij Stack Overflow.
Of laten we zeggen dat u zoekt naar inlogpogingen
door een persoon met de naam admin of voor een gebruiker met de naam admin.
Nogmaals, als ik op Enter druk, ga ik naar de eerste keer
dat het woord admin voorkomt, en dat
is hier.
Het bevat niet echt nuttige informatie, maar ik kan gewoon
op Zoeken klikken om het volgende pakket te vinden waarin
het woord admin voorkomt.
Nogmaals, dit pakket bevat niet echt iets nuttigs.
We kunnen nu gaan.
We moeten eigenlijk naar het einde van het bestand gaan en
omhoog gaan, want dat was het eerste dat we aanmeldden,
dus ik blijf gewoon op volgende klikken.
En hier hebben we het POST verzoek voor de admin.
En als we weer naar beneden gaan,
zie je dat de gebruikersnaam admin is en het wachtwoord 123abc.
Dus deze functie kan zeer, zeer nuttig zijn
om u te helpen vinden wat u zoekt.
Of u nu op zoek bent naar een specifieke inlognaam.
Of u nu op zoek bent naar een specifieke tag,
een specifiek bestand, enzovoort.