Wireshark 入门

伯克利包过滤 - Wireshark包过滤

语法规则

• type表示对象 如 IP地址、子网或端口 -> host、net、port

• dir 表示数据包传输的方向 -> src、dst

• proto 表示与数据包匹配的协议类型 -> ether、ip、tcp、arp

演示实例

wireshark包过滤器分类 - 遵循伯克利语法规则

• 只捕获目标端口为80的TCP数据包 -> tcp dst port 80

• 捕获目的主机IP地址为 192.168.123.37 的数据包 -> dst host 192.168.123.37

• host 不支持 cidr 域名 书写

1. 输入框创建

1. 数据包细节面板创建

• 表达式规则
• 主题 + 运算符 + 值
• 逻辑关系 与 或 非 -> and (&&) or (||) not (!)

Wireshark 捕获数据包文件保存

杂项设置

wireshark 数据包颜色的意思

wireshark 故障包过滤

• Error 严重错误，譬如：畸形数据包或识别出数据包协议头部的某些字段和预期值不符

• Warning 一般性问题（应用程序问题或通信问题），譬如：TCP zero window ,TCP window full ,TCP报文段失序，TCP报文段丢失

• Note 可能引发故障的异常现象（正常行为），譬如：TCP重传，重复确认，快速重传

• Chat 符合常规流量的特征，譬如：SYN,FIN,RST

• Comment

• OK

_ws.expert.severity <= Note
或者
_ws.expert.severity <= Chat

查看wireshark 内置文件路径

修改wireshark默认配置

Wireshark 网络分析

远程数据包捕获

方式1:

方式2: wireshark 远程抓包

windows

cd "C:\Program Files (x86)\WinPcap\"
.\rpcapd.exe -n

linux

macos

本地数据包捕获

# cmd
RawCap.exe

虚拟机数据包捕获

sudo netdiscover -r 192.168.18.1/24

ARP欺骗捕获数据包

攻击原则

• 任何主机均能发送伪造包给局域网中的另一主机；

• 任一主机相信它们接受到的所有包；

• 当一个新的响应包到达时，它甚至在没有请求包被发送的情况下覆盖掉旧的记录。

实践

sudo apt install dsniff

sudo arpspoof -i eth0 -t <欺骗的目标> <我是谁>
# 如
sudo arpspoof -i eth0 -t 192.168.123.37 192.168.123.1

# 然后在 192.168.123.37 上 ping 网关
ping 192.168.123.1

Wireshark 网络安全

链路层安全

针对于交换机的安全问题

MAC对称欺骗 —— macchange

-e 改变的是后三字节，即不改变生产厂商
-a 同一类型的随机供应商地址 ( macchanger --list=Huawei 就是同一类型 )
-A 随机厂商随机地址
-p 永久修改
-r 完全随机
-l 查看支持的厂商
-b
-m

sudo ifconfig eth0 down
# -m 不能自己完全随意起，如果前三字节不符合 mac 地址命名规范会报错
# [ERROR] Could not change MAC: interface up or insufficient permissions: Cannot assign requested address
sudo macchanger -m 00:90:d1:33:33:33 eth0
sudo ifconfig eth0 up

sudo macchanger -r eth0

MAC地址泛洪分析 —— 溢出交换机CAM表

sudo macof -h
# -x 源端口 -y 目的端口

# 泛洪
sudo macof -i eth0

wireshark 抓包分析

查找源头端口

display mac-address

防御策略

STP操纵

广播风暴

• 网络短路引发广播风暴 -> 8根连接 两两连接 -> 互联网上网线导致网络性能下降

• 网络中存在环路引发广播风暴

• 网卡损坏引发广播风暴

• 蠕虫病毒引发广播风暴

网络层安全

中间人安全测试 - 欺骗

ARP协议

• 局域网内用来寻找主机发送数据包的协议，通过它可以找到指定 IP 地址对应的 MAC地址

• 每台终端设备都具有ARP缓存表
• arp -a 查看缓存表
• arp -d 删除缓存表
• 表的填充，寻找 IP 地址对应MAC地址，如果没有则广播此时设置的目标MAC地址为 (00:00:00:00:00:00) 是否具有IP地址对应的MAC地址，找到填充。

ARP协议分析介绍

• arp

• 请求数据包
• arp.opcode == 0x0001

• 响应数据包
• arp.opcode == 0x0002

• 查看源 MAC 地址
• arp.src.hw_mac == 00:00:00:00:00:00
• arp.src.hw_mac == 00:00:00:00:00:00 && arp.opcode == 0x0002

专家系统分析

出现大量ARP数据包的原因

• ARP主机扫描

• ARP病毒进行通信

• ARP欺骗 中间人安全测试

防御ARP欺骗措施

• 静态绑定ARP表
• arp -s 网关的IP地址 网关的MAC地址
• 不适合大型网络使用
• 需要管理员权限
• win netsh i i show in -> 查看网卡编号
• win netsh -c "i i" add neighbors <网卡编号> <网关IP地址> <网关MAC地址>

  - 验证是否静态绑定 `arp -a`

• 交换机也有端口安全配置，固定MAC和IP使用端口
• 不适合大型网络使用

• 交换机 DHCP-Snooping
• 交换机监听DHCP数据，提取IP和MAC建立DHCP Snooping的绑定表

• 划分VLAN
• 每一个VLAN就是一个广播域 -> 限制网络范围

泪滴安全测试

• 针对于IP协议的安全测试，主要是伪造IP地址和发送畸形数据包

• 向目标发送畸形数据包，使得IP数据包碎片在重组的过程中有重合的部分（偏移位置不够），从而导致目标系统无法进行重组，进一步导致系统奔溃而停止服务。

传输层安全

TCP SYN 泛洪

TCP连接介绍

• 客户端发送SYN到服务器

• 服务器响应 SYN+ACK 到客户机

• 客户机发送ACK到服务器

TCP SYN flooding 安全测试

• 客户端发送syn服务端返回syn+ack，如果客户端不再发送ack，那么服务端将等待超时，重新发送syn+ack。如果是大量的等待，就可能导致服务器奔溃。

hping3 -q -n --rand-source -S -p 80 --flood <目标IP地址>

• q: 安静模式

• n: 数字化输出，象征性输出主机地址

• -rand-source: 随机源IP

• S: 发送SYN数据包

• p: 指向端口

• -flood: 使用泛洪

TCP SYN flooding安全防御

• 丢弃第一个SYN数据包 -> 用户体验差

• 反向探测 -> 向源地址方向发送探测包，确定源地址合法性

• 代理模式 -> 防火墙代理 -> 即先与防火墙建立tcp连接

UDP 泛洪

• 源端口

• 目的端口

• UDP报文长度

• 检验码

UDP flooding 安全测试

sudo hping3 -q -n -a <fake_ip> --udp -s 53 -p <dst_port> --flood <target_ip> -d 1000

• a: 伪造的 ip -s: 53端口

UDP flooding 安全防御

• 限流: 将链路中的UDP报文控制在合理的范围，当超过指定值，则丢弃UDP报文

• 指纹学习: 先学习，在匹配

网络取证简析

wireshark 恢复传输文件

取证实践案例

1.寻找Ann的通信好友名称

2. 通信过程中的第一条信息内容是什么

3. Ann 通信过程中传输的文件名字

4. 还原Ann发送文件并得出文件幻数（magic number）

5. 查看文件md5值

应用层网络安全

暴力破解分析

后门分析