Instructor: Ahora,
en esta conferencia, quiero mostrarle cómo usar
Wireshark para descubrir los datos enviados a través de
formularios, siempre que alguien complete un formulario.
Y obviamente, esto nos
permitirá obtener nombres de usuario
y contraseñas si las personas inician sesión en sus cuentas.
Entonces, ya estoy ejecutando BetterCAP, así
que ya soy el hombre en el medio.
Y en Wireshark aquí, voy a comenzar una nueva captura.
Así que continuaré sin guardar este.
El filtro ya está configurado en
HTTP, por lo que solo me mostrará los paquetes HTTP aquí.
Y voy a ir a un sitio web objetivo aquí, así
que vamos a vulnweb. com.
Ahora tenga en
cuenta que, como dije, debe iniciar sesión
en una página HTTP, pero
está bien porque ya aprendimos cómo omitir HTTPS e incluso omitir parcialmente HSTS.
Entonces, voy a iniciar sesión en un
sitio web que solo usa HTTP aquí, porque es más simple, y
ya hemos aprendido cómo evitar HTTPS y HSTS, por lo que
no tiene sentido repetir eso.
Estamos iniciando sesión con un nombre de usuario configurado en admin.
Voy a obtener la contraseña de 123abc.
Voy a hacer clic
en Iniciar sesión, y Wireshark debería haberlo capturado.
Ahora sigamos adelante e intentemos esto
con un sitio web que use HTTPS.
Así que vamos a stackoverflow. com.
De nuevo,
como puede ver, siempre que el sitio web se rebaje a
HTTP normal, podremos capturar los datos enviados desde
y hacia este sitio web.
Entonces, solo vamos a iniciar sesión.
Pon el nombre de usuario, lo pondremos en zaid @ zedsecurity. org, y luego vamos a
poner la contraseña.
Así que solo haremos 123123abc.
Y volvamos a Wireshark, y
veamos cómo podemos descubrir el nombre de usuario y la contraseña.
Entonces, antes que nada, voy a detener la captura.
Y lo que queremos buscar son las solicitudes POST.
Entonces, aquí, aquí, esta solicitud fue POST,
por ejemplo, y aquí fue GET.
Ahora los formularios generalmente se envían por POST, especialmente los
formularios de inicio de sesión.
Entonces, si está buscando información de inicio
de sesión, desea buscar POST aquí.
Entonces, bajando podemos ver que tenemos una solicitud POST aquí.
Ahora voy a hacer clic aquí para mostrar menos información,
para que sea más fácil de ver.
Entonces podemos ver que esta POST fue enviada a Google.
No estamos interesados
en eso, estamos buscando cosas que se enviaron a Vulnweb.
Entonces voy a seguir adelante.
Podemos ver que tenemos una solicitud POST aquí
para una página de inicio de sesión, por lo que esto es definitivamente interesante.
Ahora, si miramos hacia abajo, déjenme hacer esto más pequeño.
Entonces, si miramos aquí, y miramos los datos del formulario HTML, puede ver
que tenemos un nombre de usuario aquí,
enviado a testhtml5. vulnweb com.
El nombre de usuario es admin y la contraseña es 123abc.
Ahora, si nos desplazamos hacia abajo nuevamente buscando solicitudes POST, puede ver
que tenemos una solicitud POST para
una página llamada inicio de sesión de usuarios.
De nuevo, muy, muy interesante.
Si hacemos clic en esto, verá, si nos desplazamos hacia abajo, verá que
tenemos el correo electrónico, zaid @ zedsecurity. org,
y la contraseña 123123abc.
Nuevamente, esto solo
muestra que con Wireshark, podrás capturar todo.
Ahora bien, esto puede ser muy,
muy útil, porque noté que BetterCAP es excelente
para contraseñas sniffin.
Y prácticamente te da las contraseñas todo el
tiempo, pero en casos extraños, a veces no podía filtrar
el nombre de usuario y la contraseña por mí.
Entonces, con Wireshark podrás obtener todo lo que pasa a
través de tu interfaz.
Entonces, lo que realmente podría hacer es simplemente ir
a su cápsula que siempre usamos, la cápsula de parodia.
Esta justo aquí.
Ábralo con el Editor de texto.
Y como saben, en esta
cápsula, encendemos nuestro rastreador aquí, así que
preparamos el olfateo. local a
verdadero, y luego lo activamos.
Pero antes de encenderlo, puedes
configurar la red. oler. salida a
una ubicación para un archivo que contendrá todo
lo que BetterCAP captura.
Por lo tanto, no tendrá que iniciar Wireshark
mientras BetterCAP está funcionando.
Puedes, aquí, especificar un lugar.
Entonces, por ejemplo, digamos root / capturefile. gorra.
Y luego, cuando ejecutas tu cápsula de
parodia, encenderá la sonda, encenderá el reconocimiento, ejecutará tu
ataque de suplantación, poniéndote
en el medio de la conexión.
También ejecutará el
sniffer y almacenará todo lo que BetterCAP capture en
un archivo de captura.
Luego, todo lo que tendrá que hacer es
venir aquí, ir a Archivo, Abrir, abrir el archivo que capturó y analizarlo,
como lo estoy haciendo ahora.
Entonces, esto puede ser muy, muy útil
también si no tiene muchos recursos en su computadora, o si
tiene una computadora portátil pequeña, o incluso un teléfono.
Y captura datos con él, almacena todo
en un archivo de captura
y luego simplemente lo abre aquí en Wireshark y lo analiza.
Ahora, finalmente, antes de terminar
esta conferencia, porque de lo único que estamos hablando ahora
es de filtrar datos, una característica muy, muy útil cuando se filtran
datos es la función Ctrl + F, la Búsqueda.
Entonces puede presionar Ctrl + F desde su teclado, esto
abrirá esta barra aquí, esta barra de búsqueda,
que puede usar para encontrar cualquier cosa
dentro de los paquetes capturados.
Entonces, antes que nada, voy a configurar
la búsqueda para buscar dentro de los detalles del paquete.
Voy a mantener esto en estrecho y ancho.
Aquí, voy a configurar esto
en Strings, para que busque texto normal.
Y, por ejemplo, digamos que estoy buscando inicios de
sesión que una persona llamada Zaid ha intentado, todo lo que
tengo que hacer es escribir Zaid.
Y si presiono Enter.
Y como puede ver, nos llevó al intento de inicio
de sesión cuando inicié sesión en Stack Overflow.
O supongamos que está buscando intentos de
inicio de sesión de una persona llamada admin o de un usuario llamado admin.
Una vez más, si presiono Enter, me llevará a la primera
vez que aparece la palabra admin, que
está aquí.
Realmente no contiene ninguna información útil, pero puedo hacer
clic en Buscar para encontrar el siguiente paquete
que contenga la palabra admin.
Nuevamente, este paquete realmente no contiene nada útil.
Podemos ir a continuación.
De hecho, tendremos que ir al final del archivo y
subir, porque eso fue lo primero que iniciamos sesión, así
que seguiré haciendo clic en el siguiente.
Y aquí tenemos la solicitud POST para el administrador.
Y si volvemos a bajar, como
puede ver, tenemos el nombre de usuario como administrador y la contraseña como 123abc.
Por lo tanto, esta característica puede ser muy, muy útil
para ayudarlo a encontrar lo que está buscando.
Ya sea que esté buscando un nombre de inicio de sesión específico.
Ya sea que esté buscando
una etiqueta específica, un archivo específico, etc.