Wireshark sniffer i tcpdump to podsłuch idealny! | PORADNIK

Prosicie ostatnio o poruszenie tematów dotyczących podsłuchu telefonu, jak i samego komputera. Dzisiaj omówimy narzędzie Wireshark i tcpdump. Wpis zawiera zarówno część teoretyczną jak i praktyczną przykładowego ataku crackera. Obie te aplikacje są programami zupełnie darmowymi określanymi najczęściej zbiorową nazwą sniffer. Sniffery służą do nasłuchiwania komunikacji w sieciach informatycznych. Słuchacz może być zarówno hakerem jak i ten zły crackerem. Niestety nawet dobre programy antywirusowe i firewalle nie uchronią użytkowników przed tymi stojącymi po złej stronie mocy… Oczywiście istnieje trzecie popularne zastosowanie snifferów czyli analiza działania oprogramowania i protokołów, którego dzisiejszy wpis nie porusza. Programista zajmujący się inżynierią odwrotną potocznie nazywane RE, może określić za pomocą sniffingu jak dana aplikacja sieciowa działa np. gra. Gdy przeanalizuje jakie pakiety wysyła program i w jakich sytuacjach, to bez problemu może napisać sobie nawet bota do gry internetowej typu MMORPG.

Haker (administrator sieci nie mający na celu szkodzić) może wykorzystywać takie programy nasłuchowe do diagnozowania i rozpoznawania usterek w sieci, którą sam się opiekuję. Innym popularnym zastosowaniem jest wykrywanie i przeciwdziałanie nadużyciom (tzn. abuse) wykonywanym w sieci przez jej użytkowników lub osoby nie powołane do użytkowania sieci. Analizując logi zebrane przez zarówno Wiresharka jak i tcpdumpa, administrator może wykryć atak DDos lub użytkowanie sieci torrent przez klienta swojej sieci.

Drugą stroną medalu są cyberprzestępcy. Wiele crackerów dla własnej uciechy uprawia wardriving. Włamując się zarówno do zabezpieczonych jak i nie zabezpieczonych sieci WiFi i uruchamiając w niej program do podsłuchu typu sniffer, sieciowi chuligani mogą przejmować konta do usług internetowych bez bezpośredniego dostępu do komputera ofiary. Warto zaznaczyć, że w dzisiejszych czasach nawet połączenia ze stronami internetowymi za pomocą protokołu HTTPS nie jest w pełni bezpieczne. Przy typowych atakach hakerskich crackerskich często cyberwandale wykorzystują takie metody ataków na komputery osobiste jak:

• atak z ukrytym pośrednikiem (man in the mitle/MITM),
• różne wariacje DNS spoofing/cache poisoning,
• zatruwanie tablic ARP, czyli ARP spoofing (poisoning).

Pamiętaj, że aby inwigilować osobę zgodnie z prawem wymagane jest jej zgoda.

Wireshark jako sniffer doskonały

Nagłówek jest troszkę przewrotny i samochwalczy. Dlaczego osobiście uważam, że zarówno dla przestępców jak i adminów, sniffer Wireshark jako analizator pakietów sieci informatycznej jest niedościgniony? Moim zdaniem główne zalety tego programu do nasłuchiwania to:

• zupełnie darmowy i stabilny ponieważ rozwijany od lat,
• obsługa olbrzymiej liczby protokołów,
• dostępny na Windows i Linux,
• możliwość uruchomienia z wiersza poleceń (konsoli),
• posiada dużą ilość filtry pakietów zarejestrowanych,
• dysponuje sporą dokumentacją do poczytania na stronie aplikacji.

Wireshark szybka instrukcja

Obsługa tego analizatora pakietów jest chyba jedną z prostszych. Nie musimy w nim (chociaż możemy) uczyć się posługiwania konsolą Windows albo Linux.  Wszystko sprowadza się do wyklikania odpowiedniej funkcjonalności w samym oknie aplikacji.

Wyrażenia filtrujące sniffer Wireshark

W aplikacji znajdziemy pole w którym wpisujemy filtr, który możemy zastosować w celu odnalezienia interesujących nas pakietów. Na powyższym zrzucie ekranu ograniczyliśmy listę zgromadzonych pakietów sieciowych za pomocą polecenia:

http.request.method == „POST”

Dzięki zastosowaniu powyższej komendy przefiltrujemy listę pakietów w taki sposób, aby zostały jedynie te które dotyczą metody POST protokołu HTTP. Warto zaznaczyć, że jest to najczęstszy sposób autoryzacji użytkownika na stronie internetowej. Filtry mogą być oczywiście bardziej zaawansowane i tworzyć całe wyrażenia logiczne. Dla przykładu możemy użyć alternatywy logicznej, która powiększy naszą wyświetloną listę o zebrane pakiety wykorzystujące metodę HTTP GET. Są to żądania zasobu sieciowego, np: strony głównej www, obrazka albo pliku. Przykładowo cyberprzestępca może poznać strony odwiedzone przez klienta przeglądarki www za pomocą następującego filtra:

http.request.method == „POST” OR http.request.method == „GET”

Większą ilość gotowych filtrów możecie znaleźć w menu Analize -> Display Filters i dodatkowo w przycisku Expression.

Lista przechwyconych pakietów sniffera

W kolejnej części okna mamy dostępną pełną listę (przefiltrowaną przez nas lub nie) zgromadzonych pakietów przez nasz program sniffujący.

Możemy odnaleźć tutaj takie informacje o podsłuchanych danych jak:

• Time – czas o której pakiet został zarejestrowany. Format tego czasu możemy ustawić w menu Edit -> Preferences -> Columns -> Time -> Field Type. Osobiście ja polecam ustawić UTC Time,
• Source – czyli źródło z którego pochodzi pakiet. Jeżeli to my wysłaliśmy gdzieś dalej informacje (np: wchodząc na stronę www), to ten parametr będzie pokazywał nasz adres IP (ewentualnie klienta/ofiary),
• Destination – cel do którego adresowany jest pakiet. Przykład: jeżeli wchodzimy na stronę google.pl to celem będzie adres IP serwera google.
• Protocol – protokół który wykorzystywany był do transferu informacji. Polecam samemu zapoznać się z budową pakietów i doczytać czym jest sam protokół,
• Lenght – wielkość pakietu w bajtach. Im pakiet więcej ze sobą danych niesie, tym pakiet jest obszerniejszy. Wielkość pakietu jest najczęściej określana przez specyfikacje, a duże porcje danych dzielone są na mniejsze paczki a następnie składane u odbiorcy pakietu,
• Info – krótki opis typu pakietu. Wymagana jest tutaj wiedza o pakietach i protokole TCP/IP.

Szczegółu wybranego pakietu sieciowego

W programie Wireshark w tej sekcji widzimy ładne posortowane informacje na temat zaznaczonego pakietu na liście przechwyconych pakietów. Na zrzucie ekranu warto zauważyć, że przechwyciliśmy login i hasło do portalu ask.fm. Trudniej jest z usługami wykorzystującymi zdobycze kryptografii np: stronami szyfrowanymi SSL (protokół HTTPS). Jednak w tym przypadku zręczny cyberprzestępca i tak sobie może poradzić uruchamiając na swoim komputerze stronę phishingową i wykorzystując atak MITM połączony z DNS poisoning lub wykorzystując takie narzędzia hakerskie jak SSLstrip.

Surowe dane pakietu

W tej sekcji programu mamy zawarte te same informacje co powyżej. Różnica polega na tym, że tutaj mamy dane RAW czyli surowe. Dokładnie takie są przesyłane w sieci. Jest to mniej czytelna dla człowieka forma logów, ale równie przydatna. Wiele lat program Gadu-Gadu nie szyfrował konwersacji i była możliwość właśnie w tym oknie jawnego odczytywania co pisała osoba i z kim na swoim komunikatorze GG. Warto wiedzieć, że najczęściej na końcu pakietu dołączane są dane które mogą zainteresować każdego hakera. Ciekawą opcją dostępną w menu jest Analize -> Decode as. Pozwala to na szybką konwersje zakodowanych danych w jednym formacie na inny.

Tcpdump sniffer

Kolejnym programem do nadstawiania ucha wykorzystywany zarówno przez hakerów jak i crackerów jest tcpdump. Niestety chociaż kod źródłowy jest dostępny za darmo publiczie, to nie jest dostępna oficjalnie jego wersja binarna na system Microsoft Windows. Kolejną wadą a zarazem zaletą tego sniffera jest obsługa z poziomu konsoli. Nie każdemu to może pasować, lecz warto spojrzeć wtedy na podstawową zaletę. W bardzo prosty sposób można za pomocą połączenia SSH/telnetu zainstalować program zdalnie i uruchomić ciche logowanie do dalszej analizy pakietów offline. Ciekawostką jest fakt, że zebrane w ten sposób informacje do pliku można otworzyć później ponownie w programie Wireshark za pomocą polecenia z menu File -> Open. Może to posłużyć do dalszej analizy zarejestrowanych pakietów na spokojnie.

Drugą bardzo poważną zaletą jest możliwość łączenia poleceń w systemie Linux. Za pomocą dodatkowego narzędzia takich narzędzi jak grep możemy czynić cuda. Z połączenia tych dwóch aplikacji sprytna osoba, może bardzo fajnie sobie filtrować zbierane dane. Dla przykładu może wyświetlać same adresy URL odwiedzonych stron. Tutaj jednak jest wymagana właśnie znajomość obsługi takich programów jak GREP lub LESS i ich specyficznych wyrażeń regularnych.

W dalszej części wpisu ze względu na jego obszerność omówimy jednak prostszego Wiresharka, jednakże gorąco polecam zaznajomić się z pomocą programu tcpdump. Można to wykonać w bezpłatnym systemie operacyjnym dla hakerów Kali Linux 2.0. Wystarczy wpisać w konsoli polecenie:

man tcpdump

Naszym oczom ukaże się wtedy potężny podręcznik do przestudiowania na temat tego sniffingu za pomocą tego niepozornego narzędzia.

Sniffing obrazków

Narzędziem, które bardziej traktuje jako ciekawostkę jest driftnet. Jest to prosta aplikacja konsolowa służące do przechwytywania wyszukiwanych obrazków w przeglądarce internetowej osoby cyfrowo podglądanej. Niestety u mnie aplikacja nie zawsze poprawnie działała (nie wychwytywała po prostu wszystkich zdjęć).

Aplikacja jest oczywiście zainstalowana w naszym ulubionym Linuksowym systemie operacyjnym. Możemy ją odpalić tylko w konsoli za pomocą polecenia (w miejsce eth0 podajemy swój interfejs karty sieciowej.):

driftnet -i eth0

Jak możemy dowiedzieć się z króciutkiej pomocy dołączonej do programu, posiada on kilka dodatkowych opcjonalnych parametrów. Wszystkie zdjęcia ponadto są zapisywane w katalogu tymczasowym systemu /tmp/.

Sniffig w praktyce

Jeżeli doczytałeś do tego momentu to znaczy, że jesteś bardzo cierpliwy :-). Do praktycznej części wpisu wykorzystamy wielokrotnie już przedstawiany na łamach blogu system operacyjny Kali Linux 2.0, Wiresharka i narzędzie arpspoof. To ostatnie użyjemy do przeprowadzenia ataku z ukrytym pośrednikiem MITM. Dla ambitnych dodam, że zamiast wykorzystania programu arpspoof można pobawić się aplikacją Ettercap. Ettercap jest również darmową aplikacją i jest zainstalowany już w systemie Kali Linux. Działa zarówno z poziomu konsoli jak i posiada graficzny interfejs GTK. W celu jego uruchomienia wystarczy wydać następujące polecenie:

ettercap -G

Miłym akcentem będzie chociaż pobieżna znajomość systemu Linux i poleceń w nim wydawanych. Nie warto wykonywać czynności mechanicznie, warto być dociekliwym w informatyce ;-).

Od razu chce zaznaczyć, że nasza przykładowa demonstracja szpiegowania może zostać wykonana zarówno w stosunku do innego komputera, maszyny wirtualnej jak i telefonu komórkowego podłączonego do tej samej sieci WiFi co my. Pamiętaj, że wpis ma charakter edukacyjny. Musisz uzyskać zgodę właściciela inwigilowanego komputera.

Zaczynajmy!

Kali Linux, wireshark i arpspoof w akcji

1. Pobierz i uruchom Kali Linux 2.0 w VirtualBox lub na realnym komputerze bez instalacji z LiveCD.
2. Podłącz się do sieci ofiary.
3. Przejdź do konsoli i wydaj polecenie:
   

   echo 1 >> /proc/sys/net/ipv4/ip_forward

4. Za pomocą polecenia ifconfig w konsoli sprawdź swój adres IP. Zapamiętaj również nazwę interfejsu sieciowego, która znajduję się w wyniku polecenia ifconfig po lewej stronie. Dla przykładu może być to eth0 lub wlan0. Ta nazwa symbolizuje skróconą nazwę Twojej karty sieciowej której używasz.
5. Wykonaj z pomocą naszego wpisu na blogu 10 poleceń NMAP skanowanie portów, którym wyszukasz ofiary w swojej sieci. Możesz do tego posłużyć się poleceniem:
   

   nmap -F 127.0.0.1-255

   Polecenie należy uzupełnić oczywiście adresami IP z zakresu Twojej sieci.

6. Gdy znajdziesz adres IP osoby którą chcesz podsłuchać, musisz następnie wykonać atak man in the middle. Dzięki arpspoof oszukujesz router, że to Ty jesteś ofiarą. Z kolei ofiarę oszukasz, że to Ty jesteś routerem. Stajesz w ten sposób się niejako pośrednikiem w komunikacji. Jeżeli wydaje Ci się to zawiłe spójrz na poniższy obrazek.

   

   Wydaj polecenie uzupełniając je odpowiedni Twoim interfejsem sieciowym, adresem IP routera no i oczywiście adresem IP ofiary:

   arpspoof -i eth0 -t 127.0.01 127.0.0.12

   w drugiej konsoli wydaj:

   arpspoof -i eth0 -t 127.0.12 127.0.0.1

7. Jeżeli widzisz przeskakujące stale polecenia infekujące tablice ARP systemu ofiary to bardzo dobrze. Tą konsole należy pozostawić cały czas otwartą podczas samego ataku i sniffingu.
8. W innej konsoli wpisz polecenie Wireshark.
9. Rozpocznij zbieranie danych za pomocą polecenia z menu Capture -> Interfaces…. Zaznacz w nim odpowiedni interfejs sieciowy z którego korzystasz (czyli kartę sieciową). Następnie wystarczy wcisnąć przycisk start.
10. Gotowe, właśnie dokonujesz nasłuchu zdalnego komputera z pomocą techniki ukrytego pośrednika bez instalacji zewnętrznego oprogramowania u ofiary.

Pamiętaj, że zgromadzone logi zawsze możesz zapisać sobie do dalszej analizy w Windowsie i Wiresharku za pomocą File->Save as…

Oczywiście nie powiem co dalej ze zgromadzonymi danymi można zrobić… Jeśli miałbym opisywać budowę pakietów TCP/IP o których powstały książki wielkości samej biblii, mnogość opcji Wiresharka i samach możliwości ataku to musiałbym napisać kilkutomowy wpis na blogu. 🙂 Postanowiłem zamieścić poniżej pierwszy raz na blogu krótki FAQ dotyczący sniffingu.

FAQ Sniffery

Czy za pomocą sniffera mogę przechwycić hasła do gier, aplikacji, stron internetowych i głosu z mikrofonu wysyłanego do sieci?

Tak! Wszystkie informacje bez wyjątków przemieszczają się w sieci. Kwestia tylko, czy są szyfrowane i potrafisz je odczytać. Często się zdarza, że są przesyłane jawnym tekstem. W przypadku głosu, wydaje mi się, że była wtyczka do dekodowania zebranych danych do MP3. Poszukaj pod frazą wireshark voice lub wireshark voip.

Czy podsłuch w telefonie jest możliwy za pomocą analizatorów sieciowych?

Oczywiście. Podsłuchiwanie smartfona połączonego do sieci WiFi nie odbiega od metody zaprezentowanej w tym wpisie. Podsłuch GSM to nie to samo co sniffowanie. Nie zdobędziesz w ten sposób wiadomości SMS ani rozmów telefonicznych. Chociaż ciekawą kwestią jest fakt, że ostatnio reklamują siatkarze nasi dzwonienie za pomocą WiFi… hmm…

Jak szybciej uczyć się analizy pakietów?

Ściągnij Wireshark na swojego Windowsa, zainstaluj i bez cudowania sniffuj siebie i analizuj pakiety. Poczytaj o budowie pakietów i szczególnie nagłówków HTTP bo pewnie takowe cię interesują.

Czy dasz jakiś przykład treningowy?

Proszę bardzo. Zaloguj się do dowolnej strony bez HTTPS na komputerze ofiary. Następnie użyj wspomnianego wcześniej filtra POST.

A może jakiś inny przykład?

Trenuj i analizuj pakiety, ucz się ich budowy i baw. Jeśli masz serwer FTP to najczęściej łączysz się z mojego doświadczenia bez szyfrowania (ftps). Zaloguj się do serwera ftp i poczytaj zebrane pakiety.

Czy w Wireshark są jakieś użyteczne Twoim zdaniem funkcje?

Pełno. Edit -> Find packiet -> String do wyszukiwania podciągów w pakietach. Capture -> Capture Filters do ograniczania ilości zbieranych danych (nie myl z filtrowaniem)…

Czy można poznać hasło kogoś zalogowanego?

Nie, ale… istnieje mechanizm ciasteczek HTTP w których są przechowywane dane sesyjne zamiast hasła. Jako, że ciasteczka są również wysyłane protokołem HTTP to można je w normalny sposób wyśledzić snifferem, gdy osoba u siebie odświeża stronę. Następnie wystarczy za pomocą wtyczki do przeglądarki np. Cookies Manager+ dla Firefoxa wprowadzić te przechwycone dane, odświeżyć i już jesteś zalogowany jako ofiara. Poczytaj na Wikipedii o odpowiedzi HTTP i set-cookie. Warto w takim przypadku rozumieć sesje i ciasteczka, choćby ucząc się podstaw języka programowania PHP.

Czy włamie się w ten sposób na Facebooka, Twittera, poczte Gmail?

Nie odpowiadamy na takie pytania. Ale podkreślam. Kwestia HTTPS. Nie tak dawno na fejsie go nie było, więc bez problemu kradli ludzie ciastka i hasła. Atak tego typu nazywa się wykradaniem sesji/ciasteczek (session hijacking). Możliwe jest obejście tego problemu SSLstrip.

Szukam programu do potestowania ataku MITM na Windows. Polecisz coś?

Do zatruwania tablicy ARP z poziomu systemu Windows może posłużyć graficzna aplikacja Cain and Abel. Jednak odradzam osobiście wykonywanie ataku ARP Poisoning z okienek. Wątpię, że dzisiaj znajdziesz wersje bez doczepionego do niej wirusa. Sam padniesz ofiarą crackerów.

Jak wykryć podsłuch snifferem i jak się przed nim obronić?

Nie pomoże niestety żaden darmowy jak i ten płatny antywirus. Sprawa obrony przed sniffingiem nie jest taka prosta jak się wydaje. Nie powiedzieliśmy za wiele na temat technicznego działania tego typu narzędzi hakerskich. Istnieją ich wersje zarówno aktywne i pasywne. W przypadku pasywnych, które praktycznie nie działają w sposób agresywny wykrycie jest praktycznie niemożliwe. Tak samo się dzieje w przypadku, gdy budowa sieci komputerowej wspomaga cyberprzestępce np. sieć jest zbudowana na urządzeniach typu hub (kłania się znowu inna dziedzina informatyki czyli sieci komputerowe:)). W tego typu koncentratorach sieciowych pakiet jest wysyłany do wszystkich osób połączonych kablem do niego. W takim przypadku cracker nie musi nawet wykorzystywać ARP poisoningu i ataków z ukrytym pośrednikiem MITM. Napastnik może wtedy podsłuchiwać pasywnie bez wysyłania od siebie zwodniczych pakietów arpspoofa. Wystarczy tylko, że od razu przystąpi do działania ustawiając kartę w tryb nasłuchiwania zwany promiscuous mode. Wtedy jego karta sieciowa odbiera pakiety nawet nie adresowane do niego. W praktyce wystarczy wcisnąć rozpocząć logowanie z poziomu Wiresharka Capture -> Options i upewnić się, że zaznaczony jest tryb promiscuous mode. Następnie start i jazda.

Wracając do pytania. W przypadku, który my zademonstrowaliśmy czyli ARP poisoningu administrator danej sieci może sprawdzać logi za pomocą narzędzia arpwatch. Jeżeli spostrzeże nieprawidłową budowę tej tablicy i  ciągłe modyfikowanie jej, to może zacząć coś podejrzewać.

Kolejną metodą na zabezpieczenie sieci bezprzewodowych przed nasłuchiwaniem jest stosowanie mocnego szyfrowania w sieciach bezprzewodowych WiFi np: WPA-PSK. Można dodatkowo zastosować w celu ochrony informacji specjalne tunele szyfrowane takie jak VPN.

Podsumowanie informacji o podsłuchu snifferami

Niestety atak analizatorami sieciowymi jest bardzo prosty w wykonaniu dla nawet dla laika. Już nawet wykorzystanie ataku MITM nie wymaga olbrzymiej ilości czasu i wiedzy. Zapewne 99% osób nawet nie zdaje sobie sprawy, że mogły być już kiedyś podsłuchiwanymi przez wardriverów. Zalecam Wam sprawdzenie w tej chwili swoich ustawień routera i typu zabezpieczenia do sieci WiFi. Zmieniaj również cyklicznie hasło do sieci bezprzewodowej. Taka operacja może oszczędzić nerwów na przyszłość i utrudni sąsiadom ciągły monitoring naszych technologicznych urządzeń. W wielu routerach dostępny jest również system rejestracji logów i zalogowanych do sieci użytkowników. Możemy w ten sposób nakryć niechcianego intruza sieciowego przechwytującego nasze pakiety. Jeśli czytasz ten wpis, być może zainteresuje Cię jeszcze:

• jak przestępcy włamują się do routera i WiFi,
• różne metody hakowania Facebooka,
• odzyskiwanie hasła do poczty z pomocą THC-Hydra.

Polub naszego #Twittera i Facebooka @HakerEduPL. Miej otwarte oczy, rozwijaj kreatywność i pilnuj się :-). Pozdrawiamy!