Instrutor: Agora,
nesta palestra, quero mostrar como usar
o Wireshark para descobrir dados enviados por formulários,
sempre que alguém preencher um formulário.
E, obviamente, isso nos
permitirá obter nomes de usuário
e senhas se as pessoas fizerem login em suas contas.
Então, eu já estou executando o
BetterCAP, então já sou o homem do meio.
E no Wireshark aqui, vou começar uma nova captura.
Então, eu vou continuar sem salvar este.
O filtro já está definido como
HTTP, então ele só vai me mostrar pacotes HTTP aqui.
E eu vou para um site de destino aqui, então vamos
para o vulnweb. com.
Agora, lembre-se, como
eu disse, você precisa fazer login em
uma página HTTP, mas tudo
bem, porque já aprendemos a ignorar HTTPS e até parcialmente a HSTS.
Então, entrarei em um site
que use HTTP aqui, porque é mais simples e já
aprendemos a ignorar HTTPS e HSTS, então não há
motivo para repetir isso.
Estamos fazendo login com um nome de usuário definido como admin.
Vou pegar a senha para 123abc.
Vou clicar em Login,
e isso deveria ter sido capturado pelo Wireshark.
Agora vamos em frente e tente
isso com um site que usa HTTPS.
Então, vamos ao stackoverflow. com.
Novamente, como
você pode ver, desde que o site seja rebaixado para
HTTP normal, poderemos capturar os dados enviados para
e a partir deste site.
Então, vamos apenas fazer login.
Coloque o nome de usuário, vamos colocá-lo em zaid @ zedsecurity. org, e depois colocaremos
a senha.
Então, vamos fazer 123123abc.
E vamos voltar ao Wireshark e
ver como podemos descobrir o nome de usuário e a senha.
Então, primeiro de tudo, eu vou parar a captura.
E o que queremos procurar são solicitações POST.
Então você vê aqui que esta solicitação aqui foi
POST, por exemplo, e aqui foi GET.
Agora, os formulários geralmente são enviados pelo POST,
especialmente os de login.
Então, se você está procurando informações de
login, deseja procurar por POST aqui.
Então, descendo, podemos ver que temos uma solicitação POST aqui.
Agora vou clicar aqui para mostrar menos informações, para
que seja mais fácil ver.
Então, podemos ver que este POST foi enviado ao Google.
Não estamos interessados
nisso, estamos procurando coisas que foram enviadas para a Vulnweb.
Então eu vou continuar.
Podemos ver que temos uma solicitação POST
aqui para uma página de login, então isso é definitivamente interessante.
Agora, se olharmos para baixo, deixe-me fazer isso menor.
Portanto, se olharmos para baixo aqui e observarmos os dados do formulário HTML, você poderá
ver que temos um nome de usuário
aqui, enviado para testhtml5. vulnweb. com.
O nome de usuário é admin e a senha é 123abc.
Agora, se rolarmos para baixo novamente procurando solicitações POST, você poderá
ver que temos uma solicitação POST
para uma página chamada login de usuários.
Então, novamente, muito, muito interessante.
Se clicarmos nisso, você verá, se rolarmos para baixo, verá que
temos o email zaid @ zedsecurity. org
e a senha 123123abc.
Novamente, isso mostra
que, com o Wireshark, você poderá capturar tudo.
Agora, isso pode realmente ser muito,
muito útil, porque eu notei que o BetterCAP é
ótimo para detectar senhas.
E você recebe as senhas o tempo
todo, mas, em casos estranhos, às vezes falhava em filtrar
o nome de usuário e a senha para mim.
Portanto, com o Wireshark, você poderá obter tudo o que
passa pela sua interface.
Então, o que você realmente pode fazer é simplesmente
ir ao seu cápsula que sempre usamos, o cápsula de paródia.
Este aqui.
Abra-o com o Editor de texto.
E como você sabe, neste
cápsula, ligamos o farejador aqui, então
o farejamos. local para
true e, em seguida, ativamos.
Mas antes de ligá-lo, você pode
realmente configurar a rede. fungar. saída para
um local para um arquivo que conterá tudo o
que o BetterCAP captura.
Portanto, você não precisará iniciar o Wireshark enquanto
o BetterCAP estiver funcionando.
Você pode apenas, aqui, especificar um lugar.
Então, por exemplo, digamos root / capturefile. boné.
E então, quando você executa o seu caplet
de spoof, ele liga a sonda, liga o recon, executa
o seu ataque de spoofing,
colocando você no meio da conexão.
Ele também rodará
o sniffer e armazenará tudo o que o BetterCAP captura
em um arquivo de captura.
Então, tudo o que você precisa fazer é
vir aqui, ir em Arquivo, Abrir e abrir o arquivo que você capturou
e analisá-lo, como estou fazendo agora.
Portanto, isso também pode ser muito, muito
útil se você não tiver muitos recursos no computador, ou
se tiver um laptop pequeno ou até um telefone.
E você captura dados com eles, armazena
tudo em um arquivo de
captura e, em seguida, basta abri-los aqui no Wireshark e analisá-los.
Agora, finalmente, antes de
terminar esta palestra, porque agora estamos falando de filtragem
de dados, um recurso realmente útil quando a filtragem de
dados é o Ctrl + F, o Find.
Então você pode simplesmente pressionar Ctrl + F no teclado,
isso abrirá esta barra aqui, esta barra de pesquisa,
que você pode usar para encontrar qualquer
coisa dentro dos pacotes capturados.
Então, antes de tudo, vou definir
a pesquisa para pesquisar nos detalhes do pacote.
Vou guardar isso para Narrow & Wide.
Aqui, eu vou definir isso como
Strings, para que ele procure por texto normal.
E, por exemplo, digamos que estou procurando logins
que uma pessoa chamada Zaid tentou, tudo o que preciso
fazer é apenas digitar Zaid.
E se eu pressionar Enter.
E, como você pode ver, nos levou à tentativa
de login quando entrei no Stack Overflow.
Ou digamos que você esteja procurando tentativas
de login de uma pessoa chamada admin ou de um usuário chamado admin.
Novamente, se eu pressionar Enter, levarei para a primeira vez que
uma ocorrência da palavra admin aconteceu, que
está aqui.
Realmente não contém informações úteis, mas posso clicar
em Localizar para encontrar o próximo pacote
que continha a palavra admin.
Novamente, este pacote realmente não contém nada de útil.
Nós podemos ir a seguir.
Na verdade, teremos que ir até o final do arquivo
e subir, porque essa foi a primeira coisa que
efetuamos login, então continuarei clicando em seguida.
E aqui temos a solicitação POST para o administrador.
E se cairmos novamente, como você
pode ver, temos o nome de usuário como admin e a senha como 123abc.
Portanto, esse recurso pode ser muito, muito útil para
ajudá-lo a encontrar o que está procurando.
Se você está procurando um nome de login específico.
Se você está procurando uma tag
específica, um arquivo específico e assim por diante.