Instructeur: Maintenant,
dans cette conférence, je veux vous montrer comment
utiliser Wireshark pour découvrir les données envoyées via des formulaires,
chaque fois que quelqu'un remplit un formulaire.
Et évidemment, cela nous permettra
d'obtenir des noms d'utilisateur et des
mots de passe si les gens se connectent à leurs comptes.
Donc, je lance déjà BetterCAP,
donc je suis déjà l'homme du milieu.
Et dans Wireshark ici, je vais juste commencer une nouvelle capture.
Je vais donc continuer sans enregistrer celui-ci.
Le filtre est déjà défini sur
HTTP, donc il ne me montrera que des paquets HTTP ici.
Et je vais aller sur un site Web cible ici, alors
allons sur vulnweb. com.
Maintenant, gardez à l'esprit,
comme je l'ai dit, vous devez vous connecter
à une page HTTP, mais c'est
bien parce que nous avons déjà appris à contourner HTTPS, et même partiellement à HSTS.
Donc, je vais me connecter à un
site Web qui utilise simplement HTTP ici, parce que c'est simplement plus simple,
et nous avons déjà appris à contourner HTTPS et HSTS, il n'y a
donc aucun intérêt à répéter cela.
Nous nous connectons avec un nom d'utilisateur défini sur admin.
Je vais obtenir le mot de passe pour 123abc.
Je vais cliquer sur Login,
et cela aurait dû être capturé par Wireshark.
Maintenant, allons-y et essayons réellement cela
avec un site Web qui utilise HTTPS.
Passons donc à stackoverflow. com.
Encore une fois,
comme vous pouvez le voir, tant que le site Web est rétrogradé en HTTP
normal, nous serons en mesure de capturer les données envoyées
vers et depuis ce site Web.
Donc, nous allons simplement nous connecter.
Mettez le nom d'utilisateur, nous le mettrons sur zaid @ zedsecurity. org, puis nous allons mettre
le mot de passe.
Nous allons donc simplement faire 123123abc.
Revenons à Wireshark et voyons comment
nous pouvons découvrir le nom d'utilisateur et le mot de passe.
Alors tout d'abord, je vais arrêter la capture.
Et ce que nous voulons rechercher, ce sont les requêtes POST.
Donc, vous voyez ici, cette demande ici était
POST, par exemple, et ici c'était GET.
Désormais, les formulaires sont généralement envoyés via POST, en
particulier les formulaires de connexion.
Donc, si vous cherchez des informations de
connexion, vous voulez chercher POST ici.
Donc, en descendant, nous pouvons voir que nous avons une demande POST ici.
Maintenant, je vais cliquer ici pour afficher moins d'informations, il est
donc plus facile pour nous de voir.
Nous pouvons donc voir que ce POST a été envoyé à Google.
Cela ne nous intéresse
pas, nous recherchons des trucs qui ont été envoyés à Vulnweb.
Je vais donc continuer.
Nous pouvons voir que nous avons une
demande POST ici sur une page de connexion, donc c'est vraiment intéressant.
Maintenant, si nous regardons vers le bas, permettez-moi de faire plus petit.
Donc, si nous regardons ici et regardons les données du formulaire HTML, vous pouvez voir
que nous avons un nom d'utilisateur ici,
soumis à testhtml5. vulnweb. com.
Le nom d'utilisateur est admin et le mot de passe est 123abc.
Maintenant, si nous faisons défiler à nouveau la recherche de demandes POST, vous
pouvez voir que nous avons une
demande POST pour une page appelée connexion des utilisateurs.
Encore une fois, très, très intéressant.
Si nous cliquons dessus, vous verrez, si nous faisons défiler vers le bas, vous verrez
que nous avons l'e-mail, zaid @ zedsecurity. org et
le mot de passe 123123abc.
Encore une fois, cela ne
fait que vous montrer qu'avec Wireshark, vous pourrez tout capturer.
Maintenant, cela peut être très, très utile,
car j'ai remarqué que BetterCAP est excellent pour sniffer
les mots de passe.
Et il vous obtient à peu près les mots de passe
tout le temps, mais dans les cas étranges, parfois, il ne réussissait pas
à filtrer le nom d'utilisateur et le mot de passe pour moi.
Ainsi, avec Wireshark, vous pourrez réellement obtenir tout ce qui
passe par votre interface.
Donc, ce que vous pourriez réellement faire, c'est que vous pouvez
simplement vous rendre à votre caplet que nous utilisons toujours, le caplet spoof.
Celui-ci ici.
Ouvrez-le avec l'éditeur de texte.
Et comme vous le savez, dans ce
caplet, nous allumons notre renifleur ici, nous avons
donc mis le reniflement. local à
vrai, puis nous l'activons.
Mais avant de l'allumer, vous pouvez
réellement régler le filet. renifler. sortie vers
un emplacement pour un fichier qui contiendra tout
ce que BetterCAP capture.
Vous n'aurez donc pas à démarrer Wireshark
pendant que BetterCAP fonctionne.
Vous pouvez simplement, ici, spécifier un lieu.
Par exemple, disons root / capturefile. casquette.
Et puis, lorsque vous exécutez votre caplet de
spoof, il allume la sonde, allume la reconnaissance, lance votre
attaque de spoofing, vous
plaçant au milieu de la connexion.
Il exécutera également
le renifleur et stockera tout ce que BetterCAP capture
dans un fichier de capture.
Ensuite, tout ce que vous aurez à faire est
de venir ici, allez dans Fichier, Ouvrir, ouvrez le fichier que vous avez capturé et analysez-le,
comme je le fais en ce moment.
Cela peut donc être très, très utile aussi
si vous n'avez pas beaucoup de ressources sur votre ordinateur, ou si
vous avez un petit ordinateur portable, ou même un téléphone.
Et vous capturez des données avec,
stockez tout dans un
fichier de capture, puis ouvrez-le ici dans Wireshark et analysez-le.
Enfin, avant de terminer cette conférence,
car tout ce dont nous parlons en ce moment, c'est
le filtrage des données, une fonctionnalité vraiment très utile lorsque le filtrage des
données est la fonction Ctrl + F, la recherche.
Donc, vous pouvez simplement appuyer sur Ctrl + F à partir de
votre clavier, cela ouvrira cette barre ici, cette barre de
recherche, que vous pouvez utiliser pour trouver quoi que
ce soit dans les paquets capturés.
Donc, tout d'abord, je vais configurer la
recherche pour rechercher dans les détails du paquet.
Je vais garder ça pour Narrow & Wide.
Ici, je vais définir ceci
sur Strings, afin qu'il recherche du texte normal.
Et par exemple, disons que je recherche des connexions
qu'une personne nommée Zaid a tenté, tout ce que j'ai
à faire est de taper Zaid.
Et si je clique sur Entrée.
Et comme vous pouvez le voir, cela nous a amenés à la
tentative de connexion lorsque je me suis connecté à Stack Overflow.
Ou disons que vous recherchez des tentatives
de connexion par une personne nommée admin ou par un utilisateur nommé admin.
Encore une fois, si je clique sur Entrée, cela m'amènera à la première
fois qu'une occurrence du mot admin se produit,
qui est ici.
Il ne contient pas vraiment d'informations utiles, mais je
peux simplement cliquer sur Rechercher pour trouver le prochain
paquet contenant le mot admin.
Encore une fois, ce paquet ne contient vraiment rien d'utile.
Nous pouvons aller ensuite.
Nous devons en fait aller à la fin du fichier et remonter,
car c'était la première chose que nous nous sommes connectés, donc
je vais juste continuer à cliquer sur suivant.
Et ici, nous avons la demande POST pour l'administrateur.
Et si nous redescendons, comme vous pouvez
le voir, nous avons le nom d'utilisateur en tant qu'administrateur et le mot de passe en 123abc.
Cette fonctionnalité peut donc être très, très utile pour vous
aider à trouver ce que vous cherchez.
Que vous recherchiez un nom de connexion spécifique.
Que vous recherchiez une
balise spécifique, un fichier spécifique, etc.