Instruktor: Teraz
w tym wykładzie chcę pokazać, jak
korzystać z Wireshark do odkrywania danych przesyłanych przez
formularze, ilekroć ktoś wypełnia formularz.
I oczywiście pozwoli
nam to uzyskać nazwy użytkownika
i hasła, jeśli ludzie zalogują się na swoje konta.
Więc już prowadzę BetterCAP,
więc jestem już mężczyzną w środku.
A tutaj, w Wireshark, właśnie zacznę nowy chwyt.
Więc będę kontynuować bez zapisywania tego.
Filtr jest już ustawiony na
HTTP, więc pokaże mi tylko pakiety HTTP tutaj.
Pójdę tutaj na docelową stronę internetową, więc przejdźmy
do vulnweb. com.
Pamiętaj, jak
powiedziałem, musisz zalogować się na stronie
HTTP, ale to dobrze,
ponieważ już nauczyliśmy się omijać HTTPS, a nawet częściowo ominąć HSTS.
Będę więc logował się na stronie,
która używa tylko HTTP tutaj, ponieważ jest to po prostu prostsze
i już nauczyliśmy się omijać HTTPS i HSTS, więc nie
ma sensu tego powtarzać.
Logujemy się przy użyciu nazwy użytkownika ustawionej na admin.
Dostanę hasło do 123abc.
Kliknę na Login,
który powinien zostać przechwycony przez Wireshark.
A teraz chodźmy naprzód i faktycznie
wypróbujmy to na stronie internetowej korzystającej z HTTPS.
Przejdźmy więc do stackoverflow. com.
Ponownie, jak
widać, dopóki witryna zostanie obniżona do normalnego HTTP,
będziemy mogli przechwytywać dane wysyłane do
i z tej witryny.
Po prostu się zalogujemy.
Wpisz nazwę użytkownika, nadamy jej nazwę zaid @ zedsecurity. org, a potem
umieścimy hasło.
Więc zrobimy 123123abc.
Wróćmy do Wireshark i
zobaczmy, jak możemy znaleźć nazwę użytkownika i hasło.
Przede wszystkim zatrzymam schwytanie.
A my chcemy szukać żądań POST.
Widzicie tutaj, na przykład, ta prośba była
na przykład POST, a tutaj GET.
Teraz formularze są zwykle wysyłane przez POST,
zwłaszcza formularze logowania.
Więc jeśli szukasz informacji do
logowania, tutaj znajdziesz POST.
W związku z tym widzimy, że mamy tutaj żądanie POST.
Teraz kliknę tutaj, aby pokazać mniej informacji,
więc łatwiej nam to zobaczyć.
Widzimy więc, że ten test POST został wysłany do Google.
Nie jesteśmy tym
zainteresowani, szukamy rzeczy, które zostały wysłane do Vulnweb.
Więc idę dalej.
Widzimy, że mamy tutaj prośbę
POST o stronę logowania, więc jest to zdecydowanie interesujące.
Teraz, jeśli spojrzymy w dół, pozwól mi tylko zmniejszyć.
Więc jeśli spojrzymy tutaj na dół i spojrzymy na dane formularza HTML,
zobaczysz, że mamy tutaj nazwę użytkownika
przesłaną na testhtml5. vulnweb. com.
Nazwa użytkownika to admin, a hasło to 123abc.
Teraz, jeśli przewiniemy ponownie w dół w poszukiwaniu żądań POST,
możesz zobaczyć, że mamy żądanie
POST dla strony o nazwie logowanie użytkowników.
Więc znowu, bardzo, bardzo interesujące.
Jeśli klikniemy na to, zobaczysz, jeśli przewiniemy w dół, zobaczysz, że
mamy wiadomość e-mail, zaid @ zedsecurity. org,
a hasło 123123abc.
Ponownie oznacza to,
że dzięki Wireshark będziesz w stanie uchwycić wszystko.
Teraz może to być bardzo, bardzo
przydatne, ponieważ zauważyłem, że BetterCAP świetnie sprawdza się
w węszeniu haseł.
I prawie cały czas dostajesz
hasła, ale w dziwnych przypadkach czasami nie udało
mi się odfiltrować nazwy użytkownika i hasła.
Dzięki Wireshark będziesz w stanie uzyskać wszystko, co
przechodzi przez twój interfejs.
Możesz więc po prostu przejść do
swojej kapletki, której zawsze używamy, kapsuły sfałszowanej.
Ten właśnie tutaj.
Otwórz go za pomocą edytora tekstu.
I jak wiecie, w tej
kaplicy włączamy tutaj naszego sniffera,
więc sniffujemy. od lokalnego
do prawdziwego, a następnie włączamy.
Ale zanim go włączysz, możesz
faktycznie ustawić sieć. wąchać. wyjście
do lokalizacji pliku, który będzie zawierał wszystko,
co przechwyci BetterCAP.
Tak więc nie będziesz musiał uruchamiać Wireshark
podczas działania BetterCAP.
Tutaj możesz po prostu określić miejsce.
Powiedzmy na przykład root / capturefile. czapka.
A potem, kiedy uruchomisz swoją fałszywą
kapletę, włączy ona sondę, włączy zwiad, uruchomi twój
atak fałszowania, umieszczając
cię w środku połączenia.
Uruchomi również
sniffer i zapisze wszystko, co BetterCAP przechwytuje
w pliku przechwytywania.
Następnie wszystko, co musisz zrobić, to przyjść
tutaj, przejść do Plik, Otwórz i otwórz plik, który przechwyciłeś, i przeanalizuj
go, tak jak teraz.
Może to być bardzo, bardzo przydatne,
również jeśli nie masz dużo zasobów na komputerze, lub
jeśli masz mały laptop, a nawet telefon.
I przechwytujesz za jego pomocą dane,
przechowujesz wszystko w pliku przechwytywania,
a następnie po prostu otwórz go tutaj w Wireshark i przeanalizuj.
Wreszcie, zanim zakończę ten
wykład, ponieważ wszystko, o czym teraz mówimy,
to filtrowanie danych, naprawdę bardzo przydatna funkcja podczas filtrowania
danych to Ctrl + F, funkcja Znajdź.
Aby po prostu nacisnąć Ctrl + F na klawiaturze,
otworzy się ten pasek tutaj, ten pasek
wyszukiwania, którego można użyć do znalezienia
czegokolwiek w przechwyconych pakietach.
Przede wszystkim ustawię wyszukiwanie
na wyszukiwanie w szczegółach pakietu.
Zatrzymam to w Narrow & Wide.
Tutaj ustawię to na
Ciągi, aby szukał normalnego tekstu.
I na przykład załóżmy, że szukam
danych logowania, które próbowała osoba o imieniu
Zaid, wystarczy wpisać Zaid.
A jeśli uderzę Enter.
I jak widać, zabrali nas do próby logowania,
gdy zalogowałem się do Stack Overflow.
Powiedzmy, że szukasz prób logowania
przez osobę o imieniu admin lub użytkownika o nazwie admin.
Znów, jeśli naciśniesz Enter, zabierze mnie to do pierwszego razu,
gdy zdarzyło się słowo admin, które
jest tutaj.
Tak naprawdę nie zawiera żadnych użytecznych informacji, ale
mogę po prostu kliknąć Znajdź, aby znaleźć
następny pakiet zawierający słowo admin.
Ponownie ten pakiet tak naprawdę nie zawiera niczego użytecznego.
Możemy iść dalej.
Będziemy musieli przejść do końca pliku i iść w
górę, ponieważ to była pierwsza rzecz, którą się
zalogowaliśmy, więc po prostu kliknę dalej.
I właśnie tutaj mamy żądanie POST dla administratora.
A jeśli znowu zejdziemy na
dół, jak widać, mamy nazwę użytkownika jako administrator i hasło jako 123abc.
Ta funkcja może być bardzo, bardzo przydatna, aby
pomóc Ci znaleźć to, czego szukasz.
Czy szukasz konkretnej nazwy logowania.
Niezależnie od tego, czy
szukasz określonego tagu, określonego pliku itd.