Ελίνα Μακρή

Transcript

1 Ελίνα Μακρή

2 Wireshark Introduction User Interface Capturing Live Network Data Sample Captures: HTTP/TCP VoIP Teardrop Attack Attack Trace

3 Introduction

4 Wireshark: To Wireshark είναι ένας αναλυτής πακέτων δικτύου (network packet analyzer). Ένας network packet analyzer προσπαθεί να εντοπίσει (capture) πακέτα δικτύου και να εμφανίσει αυτά τα πακέτα δεδομένων με όσες περισσότερες λεπτομέρειες είναι δυνατό. Το αρχικό όνομα του προγράμματος ήταν Ethereal, αλλά τον Μάιο του 2006 άλλαξε σε Wireshark για λόγους εμπορικών σημάτων. Που μπορεί να χρησιμοποιηθεί Για να ελέγξουμε πως «συμπεριφέρονται» οι εφαρμογές μας Για να ρυθμίσουμε τα firewalls Για να κατανοήσουμε για ποιο λόγο η εφαρμογή μας είναι αργή Για να δούμε αν τα login ή τα critical data είναι σε μορφή clear text ή όχι Για να είμαστε σίγουροι ότι ο υπολογιστής μας έχει ρυθμιστεί ορθά και δεν παράγει unnecessary traffic Για να αναγνωρίσει viruses, Trojans, worms ή άλλο software Για να παρακολουθήσουμε αν το δίκτυο έχει unwelcome applications

5 Website Download User's Guide

6 User Interface

7 Wireshark: Το κύριο παράθυρο Main Toolbar Filter Toolbar Packet List Pane Packet Details Pane Packet Bytes Pane Statusbar

8 Η main toolbar περιλαμβάνει εικονίδια για γρήγορη πρόσβαση. Εικονίδιο Ονομασία Χρήση Interfaces Options Start Stop Restart Open Save As Close Reload Ανοίγει τη λίστα με τα Interfaces. Ανοίγει τη λίστα με τα Options. Ξεκινάει το capturing των πακέτων. Σταματάει την διαδικασία του live capturing. Σταματάει την διαδικασία του live capturing και αρχίζει από την αρχή. Ανοίγει ένα ήδη υπάρχων capture file. Αποθηκεύει ένα capture file. Κλείνει το τρέχων capture. Επαναφορτώνει το τρέχων capture file.

9 Εικονίδιο Ονομασία Χρήση Find Packet Βρίσκει ένα πακέτο που έχουμε αναζητήσει. Go Back Πηγαίνει ένα πακέτο πίσω απο εκεί που βρίσκεται. Go Forward Πηγαίνει ένα πακέτο μπροστά απο εκεί που βρίσκεται. Go to Packet Πηγαίνει σε κάποιο συγκεκριμένο αριθμό πακέτου. Go To First Packet Go To Last Packet Colorize Auto Scroll in Live Capture Πηγαίνει στο πρώτο πακέτο του capture file. Πηγαίνει στο τελευταίο πακέτο του capture file. Χρωμάτισε την λίστα με τα πακέτα. Πραγματοποίησε αυτόματο scroll κατά τη διάρκεια ενός live capture.

10 Εικονίδιο Ονομασία Χρήση Zoom In Zoom Out Κάνει zoom in στο πακέτο δεδομένων (αυξάνει το font size). Κάνει zoom out στο πακέτο δεδομένων (μειώνει το font size). Normal Size Επαναφέρει το zoom στο 100%. Resize Columns Προσαρμόζει τις στήλες στο μέγεθος των περιεχομένων. Capture Filters Display Filters Coloring Rules Preferences Help Επιτρέπει την δημιουργία και επεξεργασία των capture filters. Εμφανίζει τα capture filters. Χρωματίζει τα πακέτα στο «packet list pane» ανάλογα με την έκφραση που έχουμε ορίσει. Επιτρέπει να θέσουμε ιδιότητες για πολλές παραμέτρους. Ανοίγει τη «Βοήθεια».

11 Η filter toolbar επιτρέπει γρήγορη επεξεργασία και εφαρμογή των display filters. Πεδία Filter Expression Clear Apply Save Χρήση Περιοχή για να εισάγουμε και να επεξεργαστούμε τα display filters string. Επιτρέπει την επεξεργασία ενός display filter από μια λίστα με πρωτόκολλα (list of protocol fields). Επαναφέρει ένα display filter και καθαρίζει την περιοχή επεξεργασίας (clear the edit area). Εφαρμόζει την τρέχουσα τιμή (current value) στην περιοχή επεξεργασίας σαν ένα νέο display filter. Αποθηκεύει το αποτέλεσμα του capturing.

12 Η περιοχή με τη λίστα πακέτων εμφανίζει όλα τα πακέτα στο τρέχων capture file. Πεδία No. Time Source Destination Protocol Length Χρήση Ο αριθμός του πακέτου στο capture file. Δεν αλλάζει. Το timestamp του πακέτου. Αλλάζει. Η διεύθυνση από την οποία προέρχεται ένα πακέτο. Η διεύθυνση στην οποία κατευθύνεται ένα πακέτο. Το όνομα του πρωτοκόλλου εν συντομία. Το μήκος του πακέτου (σε bytes). Info Επιπρόσθετες πληροφορίες για το περιεχόμενο του πακέτου.

13 Η περιοχή με τις λεπτομέρειες των πακέτων εμφανίζει περισσότερες πληροφορίες για ένα τρέχων πακέτο που έχουμε επιλέξει από την περιοχή «Packet List», η οποία βρίσκεται ακριβώς απο πάνω. Η συγκεκριμένη περιοχή δείχνει τα πρωτόκολλα και τα πεδία του πρωτόκολλου του πακέτου που επιλέχθηκε από την περιοχή «Packet List». Τα πρωτόκολλα και τα πεδία του πακέτου εμφανίζονται σε μορφή «δένδρου» το οποίο αυξομειώνεται (+ και -) δείχνοντας περισσότερες ή λιγότερες λεπτομέρειες.

14 Η περιοχή με τα bytes των πακέτων εμφανίζει τα δεδομένα του πακέτου σε δεκαεξαδική μορφή. Η αριστερή στήλη απεικονίζει το offset του πακέτου. Η μεσαία στήλη απεικονίζει τα δεδομένα του πακέτου σε δεκαεξαδική μορφή. Η δεξιά στήλη απεικονίζει τους αντίστοιχους ASCII χαρακτήρες (τοποθετεί τελεία (.) όπου δεν υπάρχει αντιστοιχία).

15 Η statusbar εμφανίζει ενημερωτικά μηνύματα. Στην αριστερή πλευρά φαίνονται context related information, στη μέση φαίνεται ο τρέχων αριθμός των πακέτων και στην δεξιά φαίνεται το επιλεγμένο προφίλ. Η αρχική Statusbar Η Statusbar μετά τη φόρτωση ενός capture fle Πεδία Packets Displayed Marked Dropped Ignored Χρήση Ο αριθμός των capture πακέτων. Ο αριθμός των capture πακέτων που τρέχουν αυτή τη στιγμή. Ο αριθμός των «μαρκαρισμένων» πακέτων. Ο αριθμός των «πεταμένων» πακέτων. Ο αριθμός των «αγνοούμενων» πακέτων.

16 Capturing Live Network Data

17 Αρχικά, πρέπει να επιλέξουμε ένα Interface, στο οποίο θέλουμε να κάνουμε capturing. Αυτό μπορεί να γίνει με 3 επιλογές: Επιλογή Εικονιδίου Ονομασία Interfaces Options Χρήση Ανοίγει τη λίστα με τα υπάρχοντα Interfaces. Ανοίγει τη λίστα με τα Options. Start Ξεκινάει το capturing των πακέτων, εφόσον έχουμε επιλέξει interface. Επιλογή 1 ου εικονιδίου: Εμφανίζεται το παρακάτω παράθυρο από το οποίο μπορούμε να επιλέξουμε που θέλουμε να κάνουμε capturing. IP = Η πρώτη διαθέσιμη IP διεύθυνση που εντόπισε το Wireshark για το Interface. Packets = Ο αριθμός των πακέτων που εντοπίζονται καθ όλη τη διάρκεια. Packets/s = Ο αριθμός των πακέτων που εντοπίζονται το τελευταίο δευτερόλεπτο.

18 Capture Interface Details

19 Επιλογή 2 ου εικονιδίου: Εμφανίζεται το παρακάτω παράθυρο από το οποίο μπορούμε να ξεκινήσουμε το capturing, ορίζοντας τον τρόπο μέσω επιλογών. Αφού επιλέξουμε το Interface, μπορεί να ξεκινήσει το capturing των πακέτων επιλέγοντας το κουμπί «Start».

20 Remote Access Μέσω του παραθύρου «Capture Options», έχουμε την επιλογή εκτός από το να κάνουμε capturing Local, να το κάνουμε remotely. Capture -> Manage Interfaces -> Remote Interfaces

21 Remote Access Μέσω του παραθύρου «Capture Options», έχουμε την επιλογή εκτός από το να κάνουμε capturing Local, να το κάνουμε remotely. Capture -> Manage Interfaces -> Remote Interfaces Host: Εισάγουμε την IP διεύθυνση ή το hostname της πλατφόρμας στόχου, όπου το Remote Packet Capture Protocol service «ακούει». Port: Εισάγουμε τον αριθμό της θύρας που το Remote Packet Capture Protocol service «ακούει». Αν το αφήσουμε κενό θα χρησιμοποιήσει την default θύρα Authentication: Χρησιμοποιούμε αυθεντικοποίηση όταν θέλουμε να συνδεθούμε στην πλατφόρμα στόχο. Πρέπει να γνωρίζουμε τα credentials.

22 Remote Access Αφού συμπληρώσουμε τα στοιχεία για remote access, θα παρατηρήσουμε ότι στα Interfaces θα προστεθεί αυτό στο οποίο συνδεθήκαμε απομακρυσμένα. Αν είχαμε πραγματοποιήσει απομακρυσμένη σύνδεση θα εμφανιζόταν στην διπλανή οθόνη το νέο Interface.

23 Capture Filters Με το Wireshark μπορούμε να επιλέξουμε filters από μια λίστα που μας δίνεται ή να φτιάξουμε το δικό μας (New). Διπλό κλικ στο Interface που θα επιλέξουμε να κάνουμε capturing των πακέτων.

24 Capture Filters Παραδείγματα host host and host tcp port http ip not broadcast not multicast ether host 00:04:13:00:09:a3 http icmp

25 Stop Capture after Μέσω του παραθύρου «Capture Options», έχοντας επιλέξει capture, μπορούμε να ορίσουμε πότε θα σταματήσει το capturing. Stop Capture: packets megabyte(s) minute(s) Στην 2 η και 3 η περίπτωση χρησιμοποιούνται και πολλαπλάσια. Επιλέγουμε να σταματήσει το capturing όταν ο αριθμός των πακέτων φτάσει τα 20. Πατάμε «Start».

26 Stop Capture after Σαν αποτέλεσμα βλέπουμε οτι σταμάτησε το capturing στα 20 πακέτα.

27 Αφού έχουμε επιλέξει Interface και ορίζοντας επιλογές, όπως είδαμε πριν, το live capturing έχει ξεκινήσει. Αν δεν έχουμε ορίσει πότε να σταματήσει μέσω των επιλογών «Stop Capture after (packets, megabytes or minutes)» μπορούμε να το σταματήσουμε μέσω του εικονιδίου από την main toolbar.

28 Sample Capture: HyperText Transport Protocol (HTTP) / Transmission Control Protocol (TCP)

29 Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα κατεβάζουμε το αρχείο με όνομα tcp-ecn-sample.pcap και το ανοίγουμε με το Wireshark.

30 Αφού ανοίξουμε το αρχείο tcp-ecn-sample.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 479 πακέτα.

31 Protocol Hierarchy Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: Statistics -> Protocol Hierarchy

33 Follow TCP Stream Προκειμένου να δούμε τα μηνύματα που στέλνονται και λαμβάνονται για ένα TCP πακέτο: Πηγαίνουμε στο τελευταίο TCP πακέτο με αριθμό 477 και κάνοντας δεξί κλικ πατάμε Follow TCP Stream.

34 Follow TCP Stream Εμφανίζεται το παρακάτω παράθυρο. Με κόκκινο χρώμα είναι τα δεδομένα που στέλνουμε ενώ με μπλέ χρώμα είναι τα δεδομένα που λαμβάνουμε.

35 Expert Info Για να δούμε πληροφορίες σχετικά με errors, warnings, notes, chat, details και packet comments: Analyze -> Expert Info

37 Export HTTP Για να κάνουμε Export HTTP πακέτα: File -> Export Objects -> HTTP

38 Export HTTP Για να κάνουμε Export HTTP πακέτα: File -> Export Objects -> HTTP Αποτέλεσμα: Εμφάνισε ένα μόνο πακέτο με αριθμό 474 και hostname

39 Export HTTP Αν δούμε το πακέτο με αριθμό 474 θα παρατηρήσουμε οτι όντως είναι HTTP.

40 HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Load Distribution

41 HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Load Distribution

42 HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Packet Counter

43 HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Packet Counter

44 Sample Capture: HyperText Transport Protocol (HTTP)

45 Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα κατεβάζουμε το αρχείο με όνομα http_witp_jpegs.pcap και το ανοίγουμε με το Wireshark.

46 Αφού ανοίξουμε το αρχείο http_witp_jpegs.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 483 πακέτα.

47 Export Objects Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: File -> Export Objects -> HTTP

48 Export Objects Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: File -> Export Objects -> HTTP

49 Export Objects Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: File -> Export Objects -> HTTP Παρατηρούμε ότι στην επιφάνεια εργασίας που δημιουργήσαμε το φάκελο με όνομα «test» έχουν αποθηκευτεί όλες οι εικόνες και τα αρχεία.

50 Sample Capture: Voice over IP (VoIP)

51 Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα κατεβάζουμε το αρχείο με όνομα rtp_example.raw.gz και το ανοίγουμε με το Wireshark.

52 Αφού ανοίξουμε το αρχείο rtp_example.raw.gz εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 499 πακέτα.

56 Conversations Για να δούμε την επικοινωνία των 2 IP διευθύνσεων (εφόσον μιλάμε για VoIP) : Statistics -> Conversations

57 Conversations Υπάρχει επικοινωνία μεταξύ των διευθύνσεων και

58 IO Graph Για να δούμε την επικοινωνία των 2 IP διευθύνσεων με την χρήση γραφημάτων: Statistics -> IO Graph

59 IO Graph Line Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

60 IO Graph Line Επιλέγοντας Tick interval=0,1 sec και View as time of date έχουμε το αποτέλεσμα:

61 IO Graph Impulse Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

62 IO Graph FBar Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

63 IO Graph Dot Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

64 Flow Graph Για να δούμε το διάγραμμα ροής: Statistics -> Flow Graph

67 VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls

68 VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls

69 VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls -> Flow

70 VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls -> Player

71 VoIP Calls Επιλέγοντας την πρώτη ή την δεύτερη διεύθυνση ακούμε τον κάθε ομιλητή αντίστοιχα, που «κρύβεται» πίσω απο την IP, τι λέει. Έτσι ακούμε ολόκληρη την συνομιλία.

72 Sample Capture: Teardrop Attack

73 A denial-of-service attack (DoS attack) where fragmented packets are forged to overlap each other when the receiving host tries to reassemble them.

74 Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα κατεβάζουμε το αρχείο με όνομα teardrop.cap και το ανοίγουμε με το Wireshark.

75 Αφού ανοίξουμε το αρχείο teardrop.cap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 17 πακέτα.

76 Παρατηρούμε οτι τα πακέτα 8 και 9 επικαλύπτονται. Πακέτο 8:

77 Πακέτο 9:

78 Για να εμφανίσουμε όλα τα πακέτα που «ακούν» στο πρωτόκολλο ICMP, πληκτρολογούμε στο πεδίο Filter την εντολή icmp. Παρατηρούμε ότι εμφανίζονται μόνο τα πακέτα για τα οποία ισχύει Protocol=ICMP.

79 Εάν επιλέξουμε το πακέτο 16 παρατηρούμε ότι μας δίνει κάποιες πληροφορίες για τη δομή του και τον τρόπο μετάδοσής του. Από την παρακάτω οθόνη, παρατηρούμε ότι μας δίνονται κάποιες πληροφορίες για το IP header του πακέτου: Header length: 20 bytes Total Length: 84 bytes Άρα μπορούμε να υπολογίσουμε το payload το οποίο ισούται με 64 bytes

80 Εάν επιλέξουμε το πακέτο 16 παρατηρούμε ότι μας δίνει κάποιες πληροφορίες για τη δομή του και τον τρόπο μετάδοσής του. Το πακέτο έχει μεταδοθεί σαν fragmented? Από το παραπάνω κομμάτι του πακέτου, μπορούμε να καταλάβουμε αν το έχει μεταδοθεί ως fragmented ή όχι. Το συγκεκριμένο (πακέτο 16) δεν έχει μεταδοθεί σαν fragmented. Αυτό μπορούμε να τα καταλάβουμε από τις τιμές που έχουν οι μεταβλητές στο παραπάνω τμήμα του πακέτου.

81 Sample Capture: Attack Trace

82 Από τη σελίδα κατεβάζουμε το αρχείο με όνομα attack-trace.pcap_.gz και το ανοίγουμε με το Wireshark.

83 Αφού ανοίξουμε το αρχείο attack-trace.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 348 πακέτα.

84 Θα αναλύσουμε το αρχείο προκειμένου να απαντηθούν οι παρακάτω ερωτήσεις 1. Ποιες IP διευθύνσεις (attacker, victim) εμπλέκονται στην επίθεση; 2. Τι πληροφορίες μπορούμε να βρούμε για τον επιτιθέμενο host (π.χ. ποιο λειτουργικό σύστημα χρησιμοποιεί, που είναι τοποθετημένος ο επιτιθέμενος, κτλ); 3. Πόσα TCP sessions υπάρχουν στο pcap αρχείο; 4. Ποια ήταν η διάρκεια της επίθεσης;

85 Ερώτηση 1: Ποιες IP διευθύνσεις (attacker, victim) εμπλέκονται στην επίθεση;

86 Επιλέγουμε Menu -> Statistics -> Endpoints

87 Επιλέγουμε Menu -> Statistics -> Endpoints -> IPv4

88 Επιλέγουμε Menu -> Statistics -> Endpoints -> IPv4 Παρατηρούμε ότι: Ο επιτιθέμενος είναι η IP Το θύμα είναι η IP

89 Εναλλακτικά: Επιλέγουμε Menu -> Statistics -> Conversation List -> IPv4

90 Επιλέγουμε Menu -> Statistics -> Conversation List -> IPv4

91 Ερώτηση 2: Τι πληροφορίες μπορούμε να βρούμε για τον επιτιθέμενο host (π.χ. ποιο λειτουργικό σύστημα χρησιμοποιεί, που είναι τοποθετημένος ο επιτιθέμενος, κτλ);

92 Για να βρούμε το λειτουργικό σύστημα που χρησιμοποιεί ο επιτιθέμενος πρέπει να χρησιμοποιήσουμε φίλτρο. Το φίλτρο που θα μας αποκαλύψει σε ποιο πακέτο βρίσκεται η συγκεκριμένη πληροφορία είναι το παρακάτω: smb.native_os

93 Φίλτρο: smb.native_os και πατάμε «Apply».

94 Εμφανίζεται η παρακάτω οθόνη:

95 Επιλέγουμε το πακέτο 14 να εμφανιστεί σε νέο παράθυρο:

96 Άρα το λειτουργικό σύστημα του επιτιθέμενου είναι Windows 2000.

97 Αντίστοιχα, μπορούμε να βρούμε και το λειτουργικό σύστημα του θύματος (πακέτο 16), το οποίο είναι Windows 5.1.

98 Έστω τώρα ότι θέλουμε να βρούμε την τοποθεσία του επιτιθέμενου. Μέχρι στιγμής γνωρίζουμε: Ο επιτιθέμενος έχει IP Στην αναζήτηση θα μας βοηθήσει το Internet. Επισκεπτόμαστε την διεύθυνση και πληκτρολογούμε την IP του επιτιθέμενου.