Ελίνα Μακρή

Ελίνα Μακρή elmak@unipi.gr

Wireshark Introduction User Interface Capturing Live Network Data Sample Captures: HTTP/TCP VoIP Teardrop Attack Attack Trace

Introduction

Wireshark: To Wireshark είναι ένας αναλυτής πακέτων δικτύου (network packet analyzer). Ένας network packet analyzer προσπαθεί να εντοπίσει (capture) πακέτα δικτύου και να εμφανίσει αυτά τα πακέτα δεδομένων με όσες περισσότερες λεπτομέρειες είναι δυνατό. Το αρχικό όνομα του προγράμματος ήταν Ethereal, αλλά τον Μάιο του 2006 άλλαξε σε Wireshark για λόγους εμπορικών σημάτων. Που μπορεί να χρησιμοποιηθεί Για να ελέγξουμε πως «συμπεριφέρονται» οι εφαρμογές μας Για να ρυθμίσουμε τα firewalls Για να κατανοήσουμε για ποιο λόγο η εφαρμογή μας είναι αργή Για να δούμε αν τα login ή τα critical data είναι σε μορφή clear text ή όχι Για να είμαστε σίγουροι ότι ο υπολογιστής μας έχει ρυθμιστεί ορθά και δεν παράγει unnecessary traffic Για να αναγνωρίσει viruses, Trojans, worms ή άλλο software Για να παρακολουθήσουμε αν το δίκτυο έχει unwelcome applications

Website http://www.wireshark.org/ Download http://www.wireshark.org/download.html User's Guide http://www.wireshark.org/docs/wsug_html_chunked/

User Interface

Wireshark: Το κύριο παράθυρο Main Toolbar Filter Toolbar Packet List Pane Packet Details Pane Packet Bytes Pane Statusbar

Η main toolbar περιλαμβάνει εικονίδια για γρήγορη πρόσβαση. Εικονίδιο Ονομασία Χρήση Interfaces Options Start Stop Restart Open Save As Close Reload Ανοίγει τη λίστα με τα Interfaces. Ανοίγει τη λίστα με τα Options. Ξεκινάει το capturing των πακέτων. Σταματάει την διαδικασία του live capturing. Σταματάει την διαδικασία του live capturing και αρχίζει από την αρχή. Ανοίγει ένα ήδη υπάρχων capture file. Αποθηκεύει ένα capture file. Κλείνει το τρέχων capture. Επαναφορτώνει το τρέχων capture file.

Εικονίδιο Ονομασία Χρήση Find Packet Βρίσκει ένα πακέτο που έχουμε αναζητήσει. Go Back Πηγαίνει ένα πακέτο πίσω απο εκεί που βρίσκεται. Go Forward Πηγαίνει ένα πακέτο μπροστά απο εκεί που βρίσκεται. Go to Packet Πηγαίνει σε κάποιο συγκεκριμένο αριθμό πακέτου. Go To First Packet Go To Last Packet Colorize Auto Scroll in Live Capture Πηγαίνει στο πρώτο πακέτο του capture file. Πηγαίνει στο τελευταίο πακέτο του capture file. Χρωμάτισε την λίστα με τα πακέτα. Πραγματοποίησε αυτόματο scroll κατά τη διάρκεια ενός live capture.

Εικονίδιο Ονομασία Χρήση Zoom In Zoom Out Κάνει zoom in στο πακέτο δεδομένων (αυξάνει το font size). Κάνει zoom out στο πακέτο δεδομένων (μειώνει το font size). Normal Size Επαναφέρει το zoom στο 100%. Resize Columns Προσαρμόζει τις στήλες στο μέγεθος των περιεχομένων. Capture Filters Display Filters Coloring Rules Preferences Help Επιτρέπει την δημιουργία και επεξεργασία των capture filters. Εμφανίζει τα capture filters. Χρωματίζει τα πακέτα στο «packet list pane» ανάλογα με την έκφραση που έχουμε ορίσει. Επιτρέπει να θέσουμε ιδιότητες για πολλές παραμέτρους. Ανοίγει τη «Βοήθεια».

Η filter toolbar επιτρέπει γρήγορη επεξεργασία και εφαρμογή των display filters. Πεδία Filter Expression Clear Apply Save Χρήση Περιοχή για να εισάγουμε και να επεξεργαστούμε τα display filters string. Επιτρέπει την επεξεργασία ενός display filter από μια λίστα με πρωτόκολλα (list of protocol fields). Επαναφέρει ένα display filter και καθαρίζει την περιοχή επεξεργασίας (clear the edit area). Εφαρμόζει την τρέχουσα τιμή (current value) στην περιοχή επεξεργασίας σαν ένα νέο display filter. Αποθηκεύει το αποτέλεσμα του capturing.

Η περιοχή με τη λίστα πακέτων εμφανίζει όλα τα πακέτα στο τρέχων capture file. Πεδία No. Time Source Destination Protocol Length Χρήση Ο αριθμός του πακέτου στο capture file. Δεν αλλάζει. Το timestamp του πακέτου. Αλλάζει. Η διεύθυνση από την οποία προέρχεται ένα πακέτο. Η διεύθυνση στην οποία κατευθύνεται ένα πακέτο. Το όνομα του πρωτοκόλλου εν συντομία. Το μήκος του πακέτου (σε bytes). Info Επιπρόσθετες πληροφορίες για το περιεχόμενο του πακέτου.

Η περιοχή με τις λεπτομέρειες των πακέτων εμφανίζει περισσότερες πληροφορίες για ένα τρέχων πακέτο που έχουμε επιλέξει από την περιοχή «Packet List», η οποία βρίσκεται ακριβώς απο πάνω. Η συγκεκριμένη περιοχή δείχνει τα πρωτόκολλα και τα πεδία του πρωτόκολλου του πακέτου που επιλέχθηκε από την περιοχή «Packet List». Τα πρωτόκολλα και τα πεδία του πακέτου εμφανίζονται σε μορφή «δένδρου» το οποίο αυξομειώνεται (+ και -) δείχνοντας περισσότερες ή λιγότερες λεπτομέρειες.

Η περιοχή με τα bytes των πακέτων εμφανίζει τα δεδομένα του πακέτου σε δεκαεξαδική μορφή. Η αριστερή στήλη απεικονίζει το offset του πακέτου. Η μεσαία στήλη απεικονίζει τα δεδομένα του πακέτου σε δεκαεξαδική μορφή. Η δεξιά στήλη απεικονίζει τους αντίστοιχους ASCII χαρακτήρες (τοποθετεί τελεία (.) όπου δεν υπάρχει αντιστοιχία).

Η statusbar εμφανίζει ενημερωτικά μηνύματα. Στην αριστερή πλευρά φαίνονται context related information, στη μέση φαίνεται ο τρέχων αριθμός των πακέτων και στην δεξιά φαίνεται το επιλεγμένο προφίλ. Η αρχική Statusbar Η Statusbar μετά τη φόρτωση ενός capture fle Πεδία Packets Displayed Marked Dropped Ignored Χρήση Ο αριθμός των capture πακέτων. Ο αριθμός των capture πακέτων που τρέχουν αυτή τη στιγμή. Ο αριθμός των «μαρκαρισμένων» πακέτων. Ο αριθμός των «πεταμένων» πακέτων. Ο αριθμός των «αγνοούμενων» πακέτων.

Capturing Live Network Data

Αρχικά, πρέπει να επιλέξουμε ένα Interface, στο οποίο θέλουμε να κάνουμε capturing. Αυτό μπορεί να γίνει με 3 επιλογές: Επιλογή Εικονιδίου Ονομασία Interfaces Options Χρήση Ανοίγει τη λίστα με τα υπάρχοντα Interfaces. Ανοίγει τη λίστα με τα Options. Start Ξεκινάει το capturing των πακέτων, εφόσον έχουμε επιλέξει interface. Επιλογή 1 ου εικονιδίου: Εμφανίζεται το παρακάτω παράθυρο από το οποίο μπορούμε να επιλέξουμε που θέλουμε να κάνουμε capturing. IP = Η πρώτη διαθέσιμη IP διεύθυνση που εντόπισε το Wireshark για το Interface. Packets = Ο αριθμός των πακέτων που εντοπίζονται καθ όλη τη διάρκεια. Packets/s = Ο αριθμός των πακέτων που εντοπίζονται το τελευταίο δευτερόλεπτο.

Capture Interface Details

Επιλογή 2 ου εικονιδίου: Εμφανίζεται το παρακάτω παράθυρο από το οποίο μπορούμε να ξεκινήσουμε το capturing, ορίζοντας τον τρόπο μέσω επιλογών. Αφού επιλέξουμε το Interface, μπορεί να ξεκινήσει το capturing των πακέτων επιλέγοντας το κουμπί «Start».

Remote Access Μέσω του παραθύρου «Capture Options», έχουμε την επιλογή εκτός από το να κάνουμε capturing Local, να το κάνουμε remotely. Capture -> Manage Interfaces -> Remote Interfaces

Remote Access Μέσω του παραθύρου «Capture Options», έχουμε την επιλογή εκτός από το να κάνουμε capturing Local, να το κάνουμε remotely. Capture -> Manage Interfaces -> Remote Interfaces Host: Εισάγουμε την IP διεύθυνση ή το hostname της πλατφόρμας στόχου, όπου το Remote Packet Capture Protocol service «ακούει». Port: Εισάγουμε τον αριθμό της θύρας που το Remote Packet Capture Protocol service «ακούει». Αν το αφήσουμε κενό θα χρησιμοποιήσει την default θύρα 2002. Authentication: Χρησιμοποιούμε αυθεντικοποίηση όταν θέλουμε να συνδεθούμε στην πλατφόρμα στόχο. Πρέπει να γνωρίζουμε τα credentials.

Remote Access Αφού συμπληρώσουμε τα στοιχεία για remote access, θα παρατηρήσουμε ότι στα Interfaces θα προστεθεί αυτό στο οποίο συνδεθήκαμε απομακρυσμένα. Αν είχαμε πραγματοποιήσει απομακρυσμένη σύνδεση θα εμφανιζόταν στην διπλανή οθόνη το νέο Interface.

Capture Filters Με το Wireshark μπορούμε να επιλέξουμε filters από μια λίστα που μας δίνεται ή να φτιάξουμε το δικό μας (New). Διπλό κλικ στο Interface που θα επιλέξουμε να κάνουμε capturing των πακέτων.

Capture Filters Παραδείγματα host 10.1.11.24 host 192.168.0.1 and host 10.1.11.1 tcp port http ip not broadcast not multicast ether host 00:04:13:00:09:a3 http icmp

Stop Capture after Μέσω του παραθύρου «Capture Options», έχοντας επιλέξει capture, μπορούμε να ορίσουμε πότε θα σταματήσει το capturing. Stop Capture: packets megabyte(s) minute(s) Στην 2 η και 3 η περίπτωση χρησιμοποιούνται και πολλαπλάσια. Επιλέγουμε να σταματήσει το capturing όταν ο αριθμός των πακέτων φτάσει τα 20. Πατάμε «Start».

Stop Capture after Σαν αποτέλεσμα βλέπουμε οτι σταμάτησε το capturing στα 20 πακέτα.

Αφού έχουμε επιλέξει Interface και ορίζοντας επιλογές, όπως είδαμε πριν, το live capturing έχει ξεκινήσει. Αν δεν έχουμε ορίσει πότε να σταματήσει μέσω των επιλογών «Stop Capture after (packets, megabytes or minutes)» μπορούμε να το σταματήσουμε μέσω του εικονιδίου από την main toolbar.

Sample Capture: HyperText Transport Protocol (HTTP) / Transmission Control Protocol (TCP)

Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα http://wiki.wireshark.org/samplecaptures κατεβάζουμε το αρχείο με όνομα tcp-ecn-sample.pcap και το ανοίγουμε με το Wireshark.

Αφού ανοίξουμε το αρχείο tcp-ecn-sample.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 479 πακέτα.

Protocol Hierarchy Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: Statistics -> Protocol Hierarchy

Follow TCP Stream Προκειμένου να δούμε τα μηνύματα που στέλνονται και λαμβάνονται για ένα TCP πακέτο: Πηγαίνουμε στο τελευταίο TCP πακέτο με αριθμό 477 και κάνοντας δεξί κλικ πατάμε Follow TCP Stream.

Follow TCP Stream Εμφανίζεται το παρακάτω παράθυρο. Με κόκκινο χρώμα είναι τα δεδομένα που στέλνουμε ενώ με μπλέ χρώμα είναι τα δεδομένα που λαμβάνουμε.

Expert Info Για να δούμε πληροφορίες σχετικά με errors, warnings, notes, chat, details και packet comments: Analyze -> Expert Info

Export HTTP Για να κάνουμε Export HTTP πακέτα: File -> Export Objects -> HTTP

Export HTTP Για να κάνουμε Export HTTP πακέτα: File -> Export Objects -> HTTP Αποτέλεσμα: Εμφάνισε ένα μόνο πακέτο με αριθμό 474 και hostname 1.2.12.1

Export HTTP Αν δούμε το πακέτο με αριθμό 474 θα παρατηρήσουμε οτι όντως είναι HTTP.

HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Load Distribution

HTTP Analysis Για να κάνουμε HTTP Analysis: Statistics -> HTTP -> Packet Counter

Sample Capture: HyperText Transport Protocol (HTTP)

Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα http://wiki.wireshark.org/samplecaptures κατεβάζουμε το αρχείο με όνομα http_witp_jpegs.pcap και το ανοίγουμε με το Wireshark.

Αφού ανοίξουμε το αρχείο http_witp_jpegs.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 483 πακέτα.

Export Objects Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: File -> Export Objects -> HTTP

Export Objects Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: File -> Export Objects -> HTTP Παρατηρούμε ότι στην επιφάνεια εργασίας που δημιουργήσαμε το φάκελο με όνομα «test» έχουν αποθηκευτεί όλες οι εικόνες και τα αρχεία.

Sample Capture: Voice over IP (VoIP)

Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα http://wiki.wireshark.org/samplecaptures κατεβάζουμε το αρχείο με όνομα rtp_example.raw.gz και το ανοίγουμε με το Wireshark.

Αφού ανοίξουμε το αρχείο rtp_example.raw.gz εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 499 πακέτα.

Protocol Hierarchy Για να δούμε την ιεραρχία των πρωτοκόλλων του συγκεκριμένου αρχείου: Statistics -> Protocol Hierarchy

Expert Info Για να δούμε πληροφορίες σχετικά με errors, warnings, notes, chat, details και packet comments: Analyze -> Expert Info

Conversations Για να δούμε την επικοινωνία των 2 IP διευθύνσεων (εφόσον μιλάμε για VoIP) : Statistics -> Conversations

Conversations Υπάρχει επικοινωνία μεταξύ των διευθύνσεων 10.1.3.143 και 10.1.6.18

IO Graph Για να δούμε την επικοινωνία των 2 IP διευθύνσεων με την χρήση γραφημάτων: Statistics -> IO Graph

IO Graph Line Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

IO Graph Line Επιλέγοντας Tick interval=0,1 sec και View as time of date έχουμε το αποτέλεσμα:

IO Graph Impulse Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

IO Graph FBar Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

IO Graph Dot Μπορούμε να επιλέξουμε ανά πόσα δευτερόλεπτα θα εμφανίζεται ο γράφος μας.

Flow Graph Για να δούμε το διάγραμμα ροής: Statistics -> Flow Graph

VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls

VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls -> Flow

VoIP Calls Για να δούμε τις κλήσεις μέσω VoIP: Telephony -> VoIP Calls -> Player

VoIP Calls Επιλέγοντας την πρώτη ή την δεύτερη διεύθυνση ακούμε τον κάθε ομιλητή αντίστοιχα, που «κρύβεται» πίσω απο την IP, τι λέει. Έτσι ακούμε ολόκληρη την συνομιλία.

Sample Capture: Teardrop Attack

A denial-of-service attack (DoS attack) where fragmented packets are forged to overlap each other when the receiving host tries to reassemble them.

Προκειμένου να δούμε πως λειτουργεί το Wireshark θα χρησιμοποιήσουμε μερικά παραδείγματα από τη σελίδα του Wiki του Wireshark. Από τη σελίδα http://wiki.wireshark.org/samplecaptures κατεβάζουμε το αρχείο με όνομα teardrop.cap και το ανοίγουμε με το Wireshark.

Αφού ανοίξουμε το αρχείο teardrop.cap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 17 πακέτα.

Παρατηρούμε οτι τα πακέτα 8 και 9 επικαλύπτονται. Πακέτο 8:

Πακέτο 9:

Για να εμφανίσουμε όλα τα πακέτα που «ακούν» στο πρωτόκολλο ICMP, πληκτρολογούμε στο πεδίο Filter την εντολή icmp. Παρατηρούμε ότι εμφανίζονται μόνο τα πακέτα για τα οποία ισχύει Protocol=ICMP.

Εάν επιλέξουμε το πακέτο 16 παρατηρούμε ότι μας δίνει κάποιες πληροφορίες για τη δομή του και τον τρόπο μετάδοσής του. Από την παρακάτω οθόνη, παρατηρούμε ότι μας δίνονται κάποιες πληροφορίες για το IP header του πακέτου: Header length: 20 bytes Total Length: 84 bytes Άρα μπορούμε να υπολογίσουμε το payload το οποίο ισούται με 64 bytes

Εάν επιλέξουμε το πακέτο 16 παρατηρούμε ότι μας δίνει κάποιες πληροφορίες για τη δομή του και τον τρόπο μετάδοσής του. Το πακέτο έχει μεταδοθεί σαν fragmented? Από το παραπάνω κομμάτι του πακέτου, μπορούμε να καταλάβουμε αν το έχει μεταδοθεί ως fragmented ή όχι. Το συγκεκριμένο (πακέτο 16) δεν έχει μεταδοθεί σαν fragmented. Αυτό μπορούμε να τα καταλάβουμε από τις τιμές που έχουν οι μεταβλητές στο παραπάνω τμήμα του πακέτου.

Sample Capture: Attack Trace

Από τη σελίδα http://www.honeynet.org/node/504 κατεβάζουμε το αρχείο με όνομα attack-trace.pcap_.gz και το ανοίγουμε με το Wireshark.

Αφού ανοίξουμε το αρχείο attack-trace.pcap εμφανίζεται το παρακάτω παράθυρο. Βλέπουμε από το Statusbar οτι περιέχει 348 πακέτα.

Θα αναλύσουμε το αρχείο προκειμένου να απαντηθούν οι παρακάτω ερωτήσεις 1. Ποιες IP διευθύνσεις (attacker, victim) εμπλέκονται στην επίθεση; 2. Τι πληροφορίες μπορούμε να βρούμε για τον επιτιθέμενο host (π.χ. ποιο λειτουργικό σύστημα χρησιμοποιεί, που είναι τοποθετημένος ο επιτιθέμενος, κτλ); 3. Πόσα TCP sessions υπάρχουν στο pcap αρχείο; 4. Ποια ήταν η διάρκεια της επίθεσης;

Ερώτηση 1: Ποιες IP διευθύνσεις (attacker, victim) εμπλέκονται στην επίθεση;

Επιλέγουμε Menu -> Statistics -> Endpoints

Επιλέγουμε Menu -> Statistics -> Endpoints -> IPv4

Επιλέγουμε Menu -> Statistics -> Endpoints -> IPv4 Παρατηρούμε ότι: Ο επιτιθέμενος είναι η IP 98.114.205.102 Το θύμα είναι η IP 192.150.11.111

Εναλλακτικά: Επιλέγουμε Menu -> Statistics -> Conversation List -> IPv4

Επιλέγουμε Menu -> Statistics -> Conversation List -> IPv4

Ερώτηση 2: Τι πληροφορίες μπορούμε να βρούμε για τον επιτιθέμενο host (π.χ. ποιο λειτουργικό σύστημα χρησιμοποιεί, που είναι τοποθετημένος ο επιτιθέμενος, κτλ);

Για να βρούμε το λειτουργικό σύστημα που χρησιμοποιεί ο επιτιθέμενος πρέπει να χρησιμοποιήσουμε φίλτρο. Το φίλτρο που θα μας αποκαλύψει σε ποιο πακέτο βρίσκεται η συγκεκριμένη πληροφορία είναι το παρακάτω: smb.native_os

Φίλτρο: smb.native_os και πατάμε «Apply».

Εμφανίζεται η παρακάτω οθόνη:

Επιλέγουμε το πακέτο 14 να εμφανιστεί σε νέο παράθυρο:

Άρα το λειτουργικό σύστημα του επιτιθέμενου είναι Windows 2000.

Αντίστοιχα, μπορούμε να βρούμε και το λειτουργικό σύστημα του θύματος (πακέτο 16), το οποίο είναι Windows 5.1.

Έστω τώρα ότι θέλουμε να βρούμε την τοποθεσία του επιτιθέμενου. Μέχρι στιγμής γνωρίζουμε: Ο επιτιθέμενος έχει IP 98.114.205.102 Στην αναζήτηση θα μας βοηθήσει το Internet. Επισκεπτόμαστε την διεύθυνση http://www.hostip.info/ και πληκτρολογούμε την IP του επιτιθέμενου.

Επισκεπτόμαστε την διεύθυνση http://www.hostip.info/ και πληκτρολογούμε την IP του επιτιθέμενου. Host name: 98.114.205.102 IP address: 98.114.205.102 Location: Southampton, NY, UNITED STATES

Επισκεπτόμαστε την διεύθυνση http://www.hostip.info/ και πληκτρολογούμε την IP του επιτιθέμενου. Επίσης μπορούμε να δούμε που βρίσκεται στο χάρτη.

Ερώτηση 3: Πόσα TCP sessions υπάρχουν στο pcap αρχείο;

Επιλέγουμε Menu -> Statistics -> Conversations

Επιλέγουμε Menu -> Statistics -> Conversations -> TCP

Ερώτηση 4: Ποια ήταν η διάρκεια της επίθεσης;

Επιλέγουμε Menu -> Statistics -> Summary

Επιλέγουμε Menu -> Statistics -> Summary Άρα η διάρκεια της επίθεσης είναι 16 δευτερόλεπτα.