ผู้สอน: ในการบรรยายครั้งนี้
ฉันต้องการแสดงให้คุณเห็นถึงวิธีใช้ Wireshark
เพื่อค้นหาข้อมูลที่ส่งผ่านแบบฟอร์ม เมื่อใดก็ตามที่มีคนกรอกแบบฟอร์ม
และแน่นอนว่าสิ่งนี้จะช่วยให้เราได้รับชื่อผู้ใช้และรหัสผ่าน
หากมีผู้ลงชื่อเข้าใช้บัญชีของตน
ดังนั้น ฉันจึงใช้ BetterCAP อยู่แล้ว
ฉันจึงเป็นคนตรงกลางอยู่แล้ว
และใน Wireshark ที่นี่ ฉันจะเริ่มการจับภาพใหม่
ดังนั้นฉันจะดำเนินการต่อโดยไม่บันทึกสิ่งนี้
ตัวกรองถูกตั้งค่าเป็น HTTP ดังนั้นมันจะแสดงเฉพาะแพ็กเก็ต
HTTP ในที่นี่เท่านั้น
และฉันจะไปที่เว็บไซต์เป้าหมายในนี้ ไปที่
vulnweb กัน คอม
จำไว้ว่า อย่างที่บอก
คุณต้องลงชื่อเข้าใช้หน้า HTTP แต่ก็ไม่เป็นไร
เพราะเราได้เรียนรู้วิธีเลี่ยงผ่าน
HTTPS แล้ว หรือแม้แต่เลี่ยงผ่าน HSTS บางส่วน
ดังนั้น ฉันจะลงชื่อเข้าใช้เว็บไซต์ที่ใช้
HTTP ที่นี่ เพราะมันง่ายกว่า และเราได้เรียนรู้วิธีเลี่ยงผ่าน
HTTPS และ HSTS แล้ว ดังนั้นจึงไม่จำเป็นต้องทำซ้ำ
เรากำลังเข้าสู่ระบบด้วยชื่อผู้ใช้ที่ตั้งค่าเป็นผู้ดูแลระบบ
ฉันจะเอารหัสผ่านไปที่ 123abc
ฉันจะคลิกเข้าสู่ระบบ และสิ่งนี้น่าจะถูกจับโดย
Wireshark
คราวนี้ มาลองใช้งานจริงกับเว็บไซต์ที่ใช้
HTTPS กัน
ไปที่ stackoverflow กัน คอม
ดังที่คุณเห็นอีกครั้ง
ตราบใดที่เว็บไซต์ถูกดาวน์เกรดเป็น HTTP ปกติ เราจะสามารถบันทึกข้อมูลที่ส่งไปยังและจากเว็บไซต์นี้ได้
ดังนั้นเราจะเข้าสู่ระบบ
ใส่ชื่อผู้ใช้ เราจะนำไปไว้ที่ zaid@zedsecurity org แล้วเราจะใส่รหัสผ่าน
เราก็จะทำ 123123abc
กลับไปที่ Wireshark และดูว่าเราจะค้นพบชื่อผู้ใช้และรหัสผ่านได้อย่างไร
อย่างแรกเลย ฉันจะหยุดการจับกุม
และสิ่งที่เราต้องการมองหาคือคำขอ POST
คุณจะเห็นว่าคำขอนี้ตรงนี้คือ
POST เป็นต้น และนี่คือ GET
ขณะนี้แบบฟอร์มมักจะส่งผ่าน POST โดยเฉพาะแบบฟอร์มการเข้าสู่ระบบ
ดังนั้น หากคุณกำลังมองหาข้อมูลการเข้าสู่ระบบ
คุณต้องการค้นหา POST ในที่นี่
เมื่อลงไปเราจะเห็นว่าเรามีคำขอ POST ที่นี่
ตอนนี้ฉันจะคลิกที่นี่เพื่อแสดงข้อมูลให้น้อยลง
เพื่อให้เราเห็นได้ง่ายขึ้น
เราจึงเห็นได้ว่า POST นี้ถูกส่งไปยัง Google
เราไม่สนใจในสิ่งนั้น
เรากำลังมองหาสิ่งของที่ส่งไปยัง Vulnweb
ดังนั้นฉันจะไปต่อ
เราสามารถเห็นได้ว่าเรามีคำขอ POST ที่นี่เพื่อเข้าสู่หน้าเข้าสู่ระบบ
ดังนั้นสิ่งนี้จึงน่าสนใจอย่างแน่นอน
ทีนี้ ถ้าเรามองลงมา ขอผมทำให้เล็กกว่านี้หน่อย
ดังนั้นหากเรามองลงมาที่นี่ และดูข้อมูลในแบบฟอร์ม HTML คุณจะเห็นว่าเรามีชื่อผู้ใช้ที่นี่
ส่งไปที่ testhtml5
เว็บ vulnweb คอม
ชื่อผู้ใช้คือผู้ดูแลระบบ และรหัสผ่านคือ 123abc
ตอนนี้ หากเราเลื่อนลงอีกครั้งเพื่อค้นหาคำขอ POST คุณจะเห็นว่าเรามีคำขอ
POST สำหรับหน้าเว็บที่เรียกว่าผู้ใช้เข้าสู่ระบบ
อีกครั้งที่น่าสนใจมาก
หากเราคลิกที่นี้ คุณจะเห็น หากเราเลื่อนลงมา คุณจะเห็นว่าเรามีอีเมล
zaid@zedsecurity org และรหัสผ่าน
123123abc
อีกครั้ง นี่เป็นเพียงการแสดงให้คุณเห็นว่าด้วย
Wireshark คุณจะสามารถจับภาพทุกอย่างได้
ตอนนี้สิ่งนี้มีประโยชน์มากจริง
ๆ เพราะฉันสังเกตเห็นว่า BetterCAP นั้นยอดเยี่ยมในการดมกลิ่นรหัสผ่าน
และมันก็ทำให้คุณได้รหัสผ่านตลอดเวลา
แต่ในบางกรณี มันล้มเหลวในการกรองชื่อผู้ใช้และรหัสผ่านสำหรับฉัน
ดังนั้น ด้วย Wireshark คุณจะสามารถรับทุกสิ่งที่ส่งผ่านอินเทอร์เฟซของคุณได้
สิ่งที่คุณทำได้คือไปที่แคปเล็ทที่เรามักใช้
แคปเล็ตปลอม
ตัวนี้นี่เอง
เปิดด้วยโปรแกรมแก้ไขข้อความ
และอย่างที่คุณทราบ ในแคปเล็ทนี้ เราเปิดเครื่องดมกลิ่นของเราที่นี่
ดังนั้นเราจึงตั้งค่าการดมกลิ่น
local
เป็น true แล้วเราก็เปิดมันขึ้นมา
แต่ก่อนเปิดเครื่อง คุณสามารถตั้งค่าเน็ตได้จริง
สูดอากาศ. ส่งออกไปยังตำแหน่งสำหรับไฟล์ที่จะมีทุกอย่างที่
BetterCAP จับ
ดังนั้นคุณไม่จำเป็นต้องเริ่ม Wireshark ในขณะที่
BetterCAP ทำงานอยู่
คุณสามารถระบุสถานที่ได้ที่นี่
ตัวอย่างเช่น สมมติว่า root/capturefile หมวก
จากนั้นเมื่อคุณเรียกใช้แคปเล็ตปลอม
มันจะเปิดโพรบ เปิดรีคอน เรียกใช้การโจมตีด้วยการปลอมแปลง
ทำให้คุณอยู่ตรงกลางของการเชื่อมต่อ
มันจะเรียกใช้การดมกลิ่นด้วย
และมันจะเก็บทุกอย่างที่ BetterCAP จับในไฟล์การดักจับ
จากนั้น สิ่งที่คุณต้องทำคือมาที่นี่
ไปที่ ไฟล์ เปิด และเปิดไฟล์ที่คุณจับภาพ และวิเคราะห์ อย่างที่ฉันทำอยู่ตอนนี้
ดังนั้นสิ่งนี้จึงมีประโยชน์มาก หากคุณไม่มีทรัพยากรมากมายในคอมพิวเตอร์ของคุณ
หรือถ้าคุณมีแล็ปท็อปขนาดเล็ก หรือแม้แต่โทรศัพท์
และคุณบันทึกข้อมูลด้วย จัดเก็บทุกอย่างในไฟล์ดักจับ
จากนั้นเพียงเปิดใน Wireshark แล้ววิเคราะห์
ในที่สุด ก่อนที่ฉันจะจบการบรรยายนี้
เพราะทั้งหมดที่เรากำลังพูดถึงตอนนี้คือการกรองข้อมูล
ซึ่งเป็นคุณลักษณะที่มีประโยชน์จริงๆ เมื่อกรองข้อมูลคือคุณลักษณะ
Ctrl+F หรือ Find
คุณกด Ctrl+F จากแป้นพิมพ์ได้เลย ซึ่งจะเป็นการเปิดแถบนี้ตรงนี้
แถบค้นหานี้ ซึ่งคุณสามารถใช้ค้นหาอะไรก็ได้ภายในแพ็กเก็ตที่ดักไว้
ก่อนอื่น ฉันจะตั้งค่าการค้นหาเพื่อค้นหาภายในรายละเอียดแพ็กเก็ต
ฉันจะเก็บไว้ให้แคบและกว้าง
ในนี้ฉันจะตั้งค่านี้เป็น Strings
เพื่อให้ค้นหาข้อความปกติ
ตัวอย่างเช่น สมมติว่าฉันกำลังมองหาการเข้าสู่ระบบที่บุคคลที่ชื่อ
Zaid พยายาม ทั้งหมดที่ฉันต้องทำคือพิมพ์ Zaid
และถ้าฉันกด Enter
และอย่างที่คุณเห็น เราพยายามเข้าสู่ระบบเมื่อฉันลงชื่อเข้าใช้
Stack Overflow
หรือสมมติว่าคุณกำลังมองหาการพยายามเข้าสู่ระบบโดยบุคคลที่ชื่อ
admin หรือสำหรับผู้ใช้ที่ชื่อ admin
อีกครั้ง ถ้าฉันกด Enter มันจะพาฉันไปในครั้งแรกที่มีคำว่า
admin เกิดขึ้น ซึ่งอยู่ในนี้
ไม่มีข้อมูลที่เป็นประโยชน์จริงๆ แต่ฉันสามารถคลิกที่ค้นหาเพื่อค้นหาแพ็กเก็ตถัดไปที่มีคำว่า
admin
อีกครั้ง แพ็กเก็ตนี้ไม่มีอะไรที่เป็นประโยชน์จริงๆ
เราไปต่อได้
เราจะต้องไปที่ท้ายไฟล์และขึ้นไป เพราะนั่นเป็นสิ่งแรกที่เราเข้าสู่ระบบ
ดังนั้นฉันจะคลิกต่อไป
และที่นี่ เรามีคำขอ POST สำหรับผู้ดูแลระบบ
และถ้าลงไปอีก อย่างที่คุณเห็น
เรามี username เป็น admin และรหัสผ่านเป็น 123abc
ดังนั้นคุณลักษณะนี้จะมีประโยชน์มากในการช่วยคุณค้นหาสิ่งที่คุณกำลังมองหา
ไม่ว่าคุณกำลังมองหาชื่อล็อกอินเฉพาะ
ไม่ว่าคุณกำลังมองหาแท็กเฉพาะ
ไฟล์เฉพาะ และอื่นๆ