Tutorial di Wireshark

Hai mai immaginato o hai avuto qualche curiosità su come appare il traffico di rete? ? Se l'hai fatto, non sei solo, l'ho fatto anch'io. Non sapevo molto di networking in quel momento. Per quanto ne sapevo, quando mi connettevo a una rete Wi-Fi, per prima cosa ho attivato il servizio Wi-Fi sul mio computer per scansionare le connessioni disponibili intorno a me. E poi, ho provato a connettermi al punto di accesso Wi-Fi di destinazione, se richiede la password, inserisci la password. Una volta connesso, ora potrei navigare in Internet.  Ma poi mi chiedo, qual è lo scenario dietro tutto questo? Come potrebbe il mio computer sapere se ci sono molti punti di accesso intorno ad esso?? Nemmeno io mi rendevo conto dove sono posizionati i router. E una volta che il mio computer si è connesso al router/punto di accesso cosa stanno facendo quando ho navigato in Internet?? In che modo questi dispositivi (il mio computer e il punto di accesso) comunicano tra loro??

È successo quando ho installato per la prima volta il mio Kali Linux. Il mio obiettivo con l'installazione di Kali Linux era risolvere eventuali problemi e le mie curiosità relative a "alcune cose tecnologiche complesse o scenari di metodi di hacking e presto". Adoro il processo, adoro la sequenza di passaggi per rompere il puzzle. Conoscevo i termini proxy, VPN e altre cose sulla connettività. Ma ho bisogno di conoscere l'idea di base di come queste cose (server e client) funzionano e comunicano soprattutto sulla mia rete locale.

Le domande precedenti mi portano all'argomento, l'analisi della rete. In genere si tratta di sniffer e analisi del traffico di rete. Fortunatamente, Kali Linux e altre distribuzioni Linux offrono lo strumento di analisi di rete più potente, chiamato Wireshark. È considerato un pacchetto standard sui sistemi Linux. Wireshark ha una ricca funzionalità. L'idea principale di questo tutorial è eseguire l'acquisizione in tempo reale della rete, salvare i dati in un file per un ulteriore processo di analisi (offline).

FASE 1: APRIRE WIRESHARK

Una volta connessi alla rete, iniziamo aprendo l'interfaccia GUI di wireshark. Per eseguirlo, inserisci semplicemente nel terminale:

~# wireshark

Vedrai la pagina di benvenuto della finestra di Wireshark, dovrebbe assomigliare a questa:

FASE 2: SCEGLI L'INTERFACCIA DI ACQUISIZIONE DI RETE

In questo caso ci siamo collegati a un punto di accesso tramite la nostra interfaccia della scheda wireless. Andiamo avanti e scegliamo WLAN0. Per iniziare l'acquisizione, fare clic su Pulsante Start (Icona Blue-Shark-Fin) situata nell'angolo in alto a sinistra.

FASE 3: CATTURA DEL TRAFFICO DI RETE

Ora portiamo nella finestra Live Capture. Potresti sentirti sopraffatto la prima volta che vedi un mucchio di dati su questa finestra. Non preoccuparti, te lo spiego uno per uno. In questa finestra, suddivisa principalmente in tre riquadri, dall'alto verso il basso, si trova: Elenco pacchetti, dettagli pacchetto e byte pacchetto.

1. 1. Pannello elenco pacchetti
      Il primo riquadro mostra un elenco contenente i pacchetti nel file di acquisizione corrente. Viene visualizzato come una tabella e le colonne contengono: il numero del pacchetto, l'ora acquisita, l'origine e la destinazione del pacchetto, il protocollo del pacchetto e alcune informazioni generali trovate nel pacchetto.
   2. Riquadro dei dettagli del pacchetto
      Il secondo riquadro contiene una visualizzazione gerarchica delle informazioni su un singolo pacchetto. Fare clic su "compresso ed espanso" per visualizzare tutte le informazioni raccolte su un singolo pacchetto.
   3. Riquadro byte pacchetto
      Il terzo riquadro contiene i dati dei pacchetti codificati, visualizza un pacchetto nella sua forma grezza e non elaborata.

FASE 4: INTERROMPERE L'ACQUISIZIONE E SALVA IN A .FILE PCAP

Quando sei pronto per interrompere l'acquisizione e visualizzare i dati acquisiti, fai clic su Pulsante di arresto "Icona quadrato rosso" (situata proprio accanto al pulsante Start). È necessario salvare il file per ulteriori processi di analisi o per condividere i pacchetti catturati. Una volta interrotto, è sufficiente salvare in .pcap formato di file premendo File > Salva con nome > nomefile.pcap.

COMPRENDERE I FILTRI DI CATTURA E I FILTRI DI VISUALIZZAZIONE DI WIRESHARK

Conosci già l'utilizzo di base di Wireshark, in generale, il processo si conclude con la spiegazione di cui sopra. Per ordinare e acquisire determinate informazioni, Wireshark ha una funzione di filtro. Esistono due tipi di filtri, ciascuno con le proprie funzionalità: Filtro di cattura e filtro di visualizzazione.

1. FILTRO DI CATTURA

Il filtro di acquisizione viene utilizzato per acquisire dati o pacchetti specifici, viene utilizzato in "Live Capture Session", ad esempio è necessario acquisire solo il traffico di un singolo host su 192.168.1.23 . Quindi, inserisci la query nel modulo del filtro Capture:

ospite 192.168.1.23

Il vantaggio principale dell'utilizzo del filtro Capture è che possiamo ridurre la quantità di dati nel file catturato, perché invece di catturare qualsiasi pacchetto o traffico, specifichiamo o limitiamo a un determinato traffico. Il filtro di acquisizione controlla quale tipo di dati nel traffico verrà acquisito, se non è impostato alcun filtro, significa acquisire tutto. Per configurare il filtro di acquisizione, fare clic su Opzioni di cattura pulsante, che si trova come mostrato dall'immagine nel cursore che punta in basso.

Noterai Capture Filter Box in basso, fai clic sull'icona verde accanto alla casella e seleziona il filtro che desideri.

2. VISUALIZZAZIONE FILTRO

Il filtro di visualizzazione, d'altra parte, viene utilizzato in "Analisi offline". Il filtro di visualizzazione è più simile a una funzione di ricerca di determinati pacchetti che vuoi vedere nella finestra principale. Il filtro di visualizzazione controlla ciò che viene visualizzato da un'acquisizione di pacchetti esistente, ma non influenza il traffico effettivamente acquisito. È possibile impostare il filtro di visualizzazione durante l'acquisizione o l'analisi. Noterai la casella Mostra filtro nella parte superiore della finestra principale. In realtà ci sono così tanti filtri che puoi applicare, ma non lasciarti sopraffare. Per applicare un filtro puoi semplicemente digitare un'espressione di filtro all'interno della casella o selezionarla dall'elenco esistente di filtri disponibili, come mostrato nell'immagine sottostante. Clic Espressioni… Pulsante accanto alla casella Mostra filtro.

Quindi seleziona l'argomento Filtro di visualizzazione disponibile su un elenco. e colpisci ok pulsante.

Ora hai un'idea della differenza tra Capture Filter e Display Filter e conosci le caratteristiche e le funzionalità di base di Wireshark.