Wireshark tricks
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Verbessere deine Wireshark-Fähigkeiten
Tutorials
Die folgenden Tutorials sind großartig, um einige coole grundlegende Tricks zu lernen:
Analysierte Informationen
Experteninformationen
Durch Klicken auf Analyse --> Experteninformationen erhältst du eine Übersicht darüber, was in den analysierten Paketen passiert:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-c9c778b2d088e9df1fd3ab30d1aa3ddd423934c2%252Fimage%2520%28256%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d21d8cb9&sv=1)
Aufgelöste Adressen
Unter Statistiken --> Aufgelöste Adressen findest du mehrere Informationen, die von Wireshark "aufgelöst" wurden, wie Port/Transport zu Protokoll, MAC zu Hersteller usw. Es ist interessant zu wissen, was an der Kommunikation beteiligt ist.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-4d6681debac9b6d0f1f7a9d6eb838fbc1a768562%252Fimage%2520%28893%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9eed644f&sv=1)
Protokollhierarchie
Unter Statistiken --> Protokollhierarchie findest du die Protokolle, die an der Kommunikation beteiligt sind, sowie Daten über sie.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-5d65600876b0eccaea055c00ba5e1260b3bc242e%252Fimage%2520%28586%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f32d4d29&sv=1)
Gespräche
Unter Statistiken --> Gespräche findest du eine Zusammenfassung der Gespräche in der Kommunikation und Daten darüber.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-07d2d492041a0647a7f7cce3ea62b52c22a18304%252Fimage%2520%28453%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=395fe41e&sv=1)
Endpunkte
Unter Statistiken --> Endpunkte findest du eine Zusammenfassung der Endpunkte in der Kommunikation und Daten über jeden von ihnen.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-da99a7c62ebe78416bc9f2d140b41f5f5c0c87ae%252Fimage%2520%28896%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f406b481&sv=1)
DNS-Info
Unter Statistiken --> DNS findest du Statistiken über die erfassten DNS-Anfragen.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-c9c6e6b91802b59d49c1e70da4edfebe1de78c31%252Fimage%2520%281063%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=47ab94ee&sv=1)
I/O-Diagramm
Unter Statistiken --> I/O-Diagramm findest du ein Diagramm der Kommunikation.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-e73c8449460789e914313a83006824852ed3b3db%252Fimage%2520%28992%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7641002c&sv=1)
Filter
Hier findest du Wireshark-Filter je nach Protokoll: https://www.wireshark.org/docs/dfref/ Weitere interessante Filter:
(http.request or ssl.handshake.type == 1) and !(udp.port eq 1900)
HTTP- und anfänglicher HTTPS-Verkehr
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002) and !(udp.port eq 1900)
HTTP- und anfänglicher HTTPS-Verkehr + TCP SYN
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002 or dns) and !(udp.port eq 1900)
HTTP- und anfänglicher HTTPS-Verkehr + TCP SYN + DNS-Anfragen
Suche
Wenn du nach Inhalten innerhalb der Pakete der Sitzungen suchen möchtest, drücke CTRL+f. Du kannst neue Ebenen zur Hauptinformationsleiste (Nr., Zeit, Quelle usw.) hinzufügen, indem du mit der rechten Maustaste klickst und dann die Spalte bearbeitest.
Kostenlose pcap-Labore
Übe mit den kostenlosen Herausforderungen von: https://www.malware-traffic-analysis.net/
Identifizierung von Domains
Du kannst eine Spalte hinzufügen, die den Host-HTTP-Header anzeigt:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-4731cf3e3c9e55c21fae726c9eb84b0f0c54fd48%252Fimage%2520%28639%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d5f8160b&sv=1)
Und eine Spalte, die den Servernamen von einer initiierenden HTTPS-Verbindung (ssl.handshake.type == 1) hinzufügt:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-f5ec748fb7887e8e6dd4432a04a3c608f009afd3%252Fimage%2520%28408%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1ab61210&sv=1)
Identifizierung lokaler Hostnamen
Von DHCP
In der aktuellen Wireshark-Version musst du anstelle von bootp
nach DHCP
suchen.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-c514662020a716b8c64cac56ad88a5588219986e%252Fimage%2520%281013%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=4beaeba7&sv=1)
Von NBNS
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-274df2375723d762fdfce57afb0a49985569a48e%252Fimage%2520%281003%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8abc9763&sv=1)
TLS entschlüsseln
Entschlüsselung von HTTPS-Verkehr mit dem privaten Schlüssel des Servers
edit>präferenz>protokoll>ssl>
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-2c18e67c06696b5f671842c2b5bdf49dad0f52da%252Fimage%2520%281103%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=663946c9&sv=1)
Drücke Bearbeiten und füge alle Daten des Servers und den privaten Schlüssel (IP, Port, Protokoll, Schlüsseldatei und Passwort) hinzu.
Entschlüsselung von HTTPS-Verkehr mit symmetrischen Sitzungsschlüsseln
Sowohl Firefox als auch Chrome haben die Fähigkeit, TLS-Sitzungsschlüssel zu protokollieren, die mit Wireshark verwendet werden können, um TLS-Verkehr zu entschlüsseln. Dies ermöglicht eine eingehende Analyse sicherer Kommunikation. Weitere Details zur Durchführung dieser Entschlüsselung findest du in einem Leitfaden bei Red Flag Security.
Um dies zu erkennen, suche in der Umgebung nach der Variablen SSLKEYLOGFILE
.
Eine Datei mit gemeinsamen Schlüsseln sieht so aus:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-b6cad7d36423ee8c4f315e55224042706854019f%252Fimage%2520%28820%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=91725b2b&sv=1)
Um dies in Wireshark zu importieren, gehe zu _bearbeiten > präferenz > protokoll > ssl > und importiere es in (Pre)-Master-Secret-Protokolldateinamen:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F365789996-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FoC7kdpmNTJZIcPU2vQzG%252Fuploads%252Fgit-blob-ab5d833dca662874145ccaae213eea334acd6cc8%252Fimage%2520%28989%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7a75ecfe&sv=1)
ADB-Kommunikation
Extrahiere eine APK aus einer ADB-Kommunikation, in der die APK gesendet wurde:
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated