Kursleiter: In
dieser Vorlesung möchte ich Ihnen zeigen, wie
Sie mit Wireshark Daten erkennen, die über Formulare gesendet
werden, wenn jemand ein Formular ausfüllt.
Auf diese Weise
können wir natürlich Benutzernamen und
Kennwörter abrufen, wenn sich Benutzer bei ihren Konten anmelden.
Also, ich lasse BetterCAP bereits laufen, also
bin ich bereits der Mann in der Mitte.
Und in Wireshark hier beginne ich gerade eine neue Aufnahme.
Also werde ich weitermachen, ohne dieses zu speichern.
Der Filter ist bereits auf
HTTP eingestellt, sodass hier nur HTTP-Pakete angezeigt werden.
Und ich gehe hier auf eine Zielwebsite, also lass uns
auf vulnweb gehen. com.
Denken Sie jetzt daran,
wie ich bereits sagte, dass Sie sich bei einer
HTTP-Seite anmelden müssen, aber das ist
in Ordnung, da wir bereits gelernt haben, wie man HTTPS umgeht und sogar HSTS teilweise umgeht.
Ich logge mich also auf einer Website
ein, die hier nur HTTP verwendet, weil dies einfacher ist und wir
bereits gelernt haben, wie man HTTPS und HSTS umgeht. Es macht also
keinen Sinn, dies zu wiederholen.
Wir melden uns mit einem Benutzernamen an, der auf admin festgelegt ist.
Ich werde das Passwort für 123abc bekommen.
Ich werde auf Login klicken,
und dies sollte von Wireshark erfasst worden sein.
Versuchen wir es jetzt
mit einer Website, die HTTPS verwendet.
Gehen wir also zum Stackoverflow. com.
Wie Sie
sehen, können wir die Daten, die von und zu dieser
Website gesendet werden, erfassen, solange die Website
auf normales HTTP heruntergestuft wird.
Also melden wir uns einfach an.
Geben Sie den Benutzernamen ein, wir geben ihn an zaid @ zedsecurity weiter. org, und dann geben wir
das Passwort ein.
Also machen wir einfach 123123abc.
Kehren wir zu Wireshark zurück
und sehen, wie wir den Benutzernamen und das Passwort ermitteln können.
Zuallererst beende ich die Gefangennahme.
Und wir wollen nach POST-Anfragen suchen.
Wie Sie hier sehen, war diese Anfrage hier
zum Beispiel POST und hier GET.
Jetzt werden Formulare normalerweise über POST
gesendet, insbesondere Anmeldeformulare.
Wenn Sie also nach Anmeldeinformationen suchen,
suchen Sie hier nach POST.
Wenn wir nach unten gehen, können wir sehen, dass wir hier eine POST-Anfrage haben.
Jetzt klicke ich hier, um weniger Informationen anzuzeigen, damit
wir sie besser sehen können.
Wir können also sehen, dass dieser POST an Google gesendet wurde.
Das interessiert uns
nicht, wir suchen nach Dingen, die an Vulnweb geschickt wurden.
Also werde ich weitermachen.
Wir können sehen, dass wir hier
eine POST-Anfrage zu einer Anmeldeseite haben, also ist dies definitiv interessant.
Wenn wir jetzt nach unten schauen, lassen Sie mich das einfach kleiner machen.
Wenn wir also hier nach unten schauen und uns die HTML-Formulardaten ansehen, können Sie sehen,
dass wir hier einen Benutzernamen haben, der
an testhtml5 gesendet wurde. vulnweb. com.
Der Benutzername lautet admin und das Kennwort lautet 123abc.
Wenn wir nun wieder nach unten scrollen und nach POST-Anfragen suchen,
sehen Sie, dass wir eine
POST-Anfrage für eine Seite namens Benutzeranmeldung haben.
Also nochmal, sehr, sehr interessant.
Wenn wir darauf klicken, sehen Sie, wenn wir nach unten scrollen, sehen Sie, dass
wir die E-Mail zaid @ zedsecurity haben. org
und das Passwort 123123abc.
Auch dies zeigt
Ihnen, dass Sie mit Wireshark alles erfassen können.
Das kann nun wirklich sehr, sehr nützlich
sein, da ich gemerkt habe, dass BetterCAP großartig darin
ist, Passwörter zu beschnüffeln.
Und es gibt Ihnen so ziemlich die ganze Zeit
die Passwörter, aber in den seltenen Fällen war es manchmal nicht
möglich, den Benutzernamen und das Passwort für mich zu filtern.
Mit Wireshark erhalten Sie also tatsächlich alles, was
über Ihre Benutzeroberfläche läuft.
Sie können also einfach zu Ihrem Caplet
gehen, das wir immer verwenden, dem gefälschten Caplet.
Dieser hier.
Öffnen Sie es mit dem Texteditor.
Und wie Sie wissen, schalten wir
hier in diesem Caplet unseren Schnüffler ein,
damit wir schnüffeln. local to true,
und dann schalten wir es ein.
Aber bevor Sie es einschalten, können Sie
das Netz tatsächlich einstellen. schnüffeln. Ausgabe an
einen Speicherort für eine Datei, die alles enthält,
was BetterCAP erfasst.
Sie müssen Wireshark also nicht starten, während
BetterCAP ausgeführt wird.
Hier können Sie nur einen Ort angeben.
Nehmen wir zum Beispiel root / capturefile an. Deckel.
Und wenn Sie dann Ihr Spoof-Caplet
ausführen, wird die Sonde, die Aufklärung und der Spoof-Angriff
eingeschaltet, sodass Sie in
die Mitte der Verbindung geraten.
Es wird auch
den Sniffer ausführen und alles, was BetterCAP aufzeichnet,
in einer Erfassungsdatei speichern.
Alles, was Sie dann tun müssen, ist hierher zu
kommen, zu Datei, Öffnen zu gehen und die von Ihnen erfasste Datei zu öffnen und sie
zu analysieren, wie ich es gerade tue.
Dies kann sehr, sehr nützlich sein, auch
wenn Sie nicht viele Ressourcen auf Ihrem Computer haben oder wenn
Sie einen kleinen Laptop oder sogar ein Telefon haben.
Und Sie erfassen damit Daten, speichern
alles in einer Erfassungsdatei und
öffnen es dann einfach hier in Wireshark und analysieren es.
Bevor ich mit dieser
Vorlesung fertig bin, ist das Filtern von
Daten eine wirklich, wirklich nützliche Funktion beim Filtern von
Daten, die Strg + F-Funktion, das Suchen.
Sie können also einfach Strg + F auf Ihrer
Tastatur drücken. Dadurch wird diese Leiste geöffnet, diese
Suchleiste, mit der Sie alles in den
erfassten Paketen finden können.
Als erstes werde ich die Suche
so einstellen, dass sie in den Paketdetails sucht.
Das behalte ich bei Narrow & Wide.
Hier setze ich das auf
Strings, damit es nach normalem Text aussieht.
Angenommen, ich suche nach Anmeldungen, die
eine Person namens Zaid versucht hat. Ich
muss nur Zaid eingeben.
Und wenn ich Enter drücke.
Und wie Sie sehen, haben wir den Anmeldeversuch ausgeführt,
als ich mich bei Stack Overflow angemeldet habe.
Oder nehmen wir an, Sie suchen
nach Anmeldeversuchen einer Person namens admin oder eines Benutzers namens admin.
Wenn ich erneut die Eingabetaste drücke, erhalte ich zum
ersten Mal das Wort admin, das
hier vorkommt.
Es enthält eigentlich keine nützlichen Informationen, aber ich kann
einfach auf Suchen klicken, um das nächste Paket mit
dem Wort admin zu finden.
Auch dieses Paket enthält nichts Nützliches.
Wir können als nächstes gehen.
Wir müssen tatsächlich bis zum Ende der Datei gehen und hochfahren,
denn das war das erste, was wir uns angemeldet haben,
also werde ich als nächstes einfach weiter klicken.
Und genau hier haben wir die POST-Anfrage für den Administrator.
Und wenn wir wieder runter gehen,
haben wir, wie Sie sehen, den Benutzernamen als admin und das Passwort als 123abc.
Daher kann diese Funktion sehr, sehr nützlich sein, um Ihnen
zu helfen, das zu finden, wonach Sie suchen.
Ob Sie nach einem bestimmten Anmeldenamen suchen.
Ob Sie nach einem bestimmten
Tag, einer bestimmten Datei usw. suchen.