Χρήσιμα φίλτρα στο Wireshark & Challenge




Ένα εργαλείο σε γραφικό περιβάλλον που χρησιμοποιείται αρκετά συχνά στον κύκλο των pentester και σε network administrators είναι το Wireshark που ανήκει στην κατηγορία των packet analyzer.  Τυπικά χρησιμοποιείται για troubleshooting στο Layer 3(packet) και για ανάλυση απόδοσης στο WLAN (Ασύρματο δίκτυο), LAN. Είναι ένα δωρεάν πρόγραμμα, ανοιχτού κώδικα (open-source), γραμμένο σε γλώσσα C και σε κάποιες διανομές Linux είναι ήδη προ εγκατεστημένο.
wireshark
Για όσους δεν το έχουν, μπορούν να το κατεβάσουν από την επίσημη σελίδα της εφαρμογής:


 

Σε μερικούς θα φανούν χρήσιμα τα παρακάτω φίλτρα:

  • eth.addr/eth.dst.eth.src [MAC]
  • rip.auth.passwd [RIP password]
  • tcp.port/tcpdstport/tcpsrcport [TCP ports]
  • tcp.flags [TCP flags]
  • udp.port/udpdstport/udp.srcport [UDP Ports]
  • http.authbasic [Basic Authentication]
  • http.www_authentication [HTTP Authentication]
  • http.data [HTTP Data portion]
  • http.cookie [HTTP cookie]
  • http.referer [HTTP referer]
  • http.server [HTTP server]
  • http.user_agent [HTTP user agent]
  •  wlan.fc.type eq 0 [802.11 management frame]
  •  wlan.fc.type eq 1 [802.11 control frame]
  •  wlan.fc.type eq 2 [802.11 data frame]
  • wlan.fc.type_subtype eq 0 (1=response) [802.11association request]
  • wlan.fc.type_subtype eq 2 (3=response) [802.11reassociation request]
  • wlan.fc.type_subtype eq 4 (5=response) [802.11probe request]
  • wlan.fc.type_subtype eq 8 [802.11 beacon frame]
  • wlan.fc.type_subtype eq 10 [802.11 disassociate]
  • wlan.fc.type_subtype eq 11 (12=deauthenticate) [802.11 authenticate]
Αυτά είναι μερικά από τα φίλτρα που ίσως χρειαστεί να διαβάσετε το παρακάτω βιβλίο για να τα βρείτε. Εδώ εγώ απλά μάζεψα μερικά που δουλεύω αρκετά συχνά.
Όσοι ασχολούνται με ασύρματα δίκτυα θα τους πρότεινα να ρίξουν μία ματιά σε αυτά τα εργαλεία τα οποία δίνουν μεγαλύτερη έμφαση στον έλεγχο ασφάλειας όπως είναι το Fluke Networks Airmagnet Wifi analyzer, αλλά και τοMotorola Airdefense Mobile.

Σκέψεις για την ασφάλεια μας

  • Τι θα μπορούσε όμως να κάνει κάποιος με αυτό το εργαλείο;
  • Θα μπορούσε να δει κωδικούς;
  • Θα μπορούσε να δει φωτογραφίες,zip αρχεία και άλλα πολλά;
Φυσικά και θα μπορούσε… και χωρίς να κουραστεί καθόλου μάλιστα!  Χωρίς να μπορέσει κανένα από τα συστήματα ασφάλειας μας (IDS/IPS,WIDS/WIPS) να τον σταματήσει μια και δεν κάνει τίποτα απλά «ακούει» την κίνηση του δικτύου.

Challenge

Ορίστε και μία πρόκληση που θα δημοσιεύσω την απάντηση της στο PentestLibrary την επόμενη εβδομάδα.
Κάποιος κακόβουλος Hacker «ακούει» το δίκτυο μας με το Wireshark και εμείς ανεβάζουμε μία εικόνα στο γνωστό σε όλους Speedyshare. Μπορεί να δει την εικόνα που ανεβάσαμε;
Σας δίνω το αρχείο PCAP του επιτιθέμενου http://www.speedyshare.com/Q38Up/download/wireshark-file2
Έτσι ίσως έχετε και μία καλύτερη εικόνα του εργαλείου :)
Τροφή για το μυαλό
  1. http://wiresharkbook.com/troubleshooting.html

Comments

Post a Comment

Popular posts from this blog

Basic Pivoting with Cobaltstrike and Metasploit

Image
Last week we participated in a virtual network pentest in order to test our skills and the security of the network as well. During the pentest we encountered various problems during the host pivoting, so we wrote down the difficulties that we faced and how to solve them. Among various problems that we have faced was the initial beacon from the DMZ zone. Since, the web delivery could not executed, we have moving into https://github.com/samratashok/nishang/blob/master/Shells/Invoke-PowerShellTcp.ps1 , a powershell script from nishang tool which is created from Nikhil Mittal. As the most real case scenarios so and this, the internal network seating behind a DMZ zone. So our first objective is to compromise somehow the external DMZ network and then we will use MSF and CobaltStrike to hope between hosts.   CobaltStrike Pivoting After enumerating the external network which we managed to upload a php file and execute system commands on the remo...
Read more

Hiding Data Using White Space (Steganography)

Image
Steganography is a technique of hiding  a secret message within an ordinary message and extracting it at the destination to maintain confidentiality of data. An attacker can use steganography to hide messages such as  source code for hacking tools, usernames and passwords, plans for future attacks and many more. Below i will explain how could this achieved in practice using Snow tool. 1)Create a simple txt file and browse to snow directory with command prompt and write the command below.   2)After creating the encrypt txt file you can open it and observe the differences.Have they got the same size?No. What else you could see ? 3)Decrypt the file and extract the hidden message. References: https://en.wikipedia.org/wiki/Steganography
Read more

Unhide a Hidden GPO

Image
Lately, i read on a very good write-up regarding to GPO's abuse. The name of the article is "GPO abuse - You can't see me" and you can read it  here  . The first question that came to my mind was "Why i can't see you?". Many times GUI is more convenient than PowerShell but in that case i found PowerShell better for me as well as i didn't want to use PowerView. I wanted to create something from the scratch and the biggest motivation is education. So i started to ask myself "if you compromise a host during an assessment, how you can enumerate GPOs without PowerView?". Remember that you are a low privileged user, so may you are not be able to import modules and you can't import ActiveDirectory to Windows 10 and use Get-AD****. The correct answer is "ADSI" and luckily for me, doesn't need to be an expert to use it for simple requests as mine. On this post i will try enumerate domain's GPO using ADSI as well as to unhide h...
Read more