Wireshark tricks
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Melhore suas habilidades no Wireshark
Tutoriais
Os seguintes tutoriais são incríveis para aprender alguns truques básicos legais:
Informações Analisadas
Informações do Especialista
Clicando em Analisar --> Informações do Especialista você terá uma visão geral do que está acontecendo nos pacotes analisados:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-c9c778b2d088e9df1fd3ab30d1aa3ddd423934c2%252Fimage%2520%28256%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c6d1e0f4&sv=1)
Endereços Resolvidos
Em Estatísticas --> Endereços Resolvidos você pode encontrar várias informações que foram "resolvidas" pelo wireshark, como porta/transporte para protocolo, MAC para o fabricante, etc. É interessante saber o que está implicado na comunicação.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-4d6681debac9b6d0f1f7a9d6eb838fbc1a768562%252Fimage%2520%28893%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ecad3976&sv=1)
Hierarquia de Protocolos
Em Estatísticas --> Hierarquia de Protocolos você pode encontrar os protocolos envolvidos na comunicação e dados sobre eles.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-5d65600876b0eccaea055c00ba5e1260b3bc242e%252Fimage%2520%28586%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e1d12734&sv=1)
Conversas
Em Estatísticas --> Conversas você pode encontrar um resumo das conversas na comunicação e dados sobre elas.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-07d2d492041a0647a7f7cce3ea62b52c22a18304%252Fimage%2520%28453%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a11e49a3&sv=1)
Pontos Finais
Em Estatísticas --> Pontos Finais você pode encontrar um resumo dos pontos finais na comunicação e dados sobre cada um deles.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-da99a7c62ebe78416bc9f2d140b41f5f5c0c87ae%252Fimage%2520%28896%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=328d8d00&sv=1)
Informações DNS
Em Estatísticas --> DNS você pode encontrar estatísticas sobre a solicitação DNS capturada.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-c9c6e6b91802b59d49c1e70da4edfebe1de78c31%252Fimage%2520%281063%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c385980d&sv=1)
Gráfico I/O
Em Estatísticas --> Gráfico I/O você pode encontrar um gráfico da comunicação.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-e73c8449460789e914313a83006824852ed3b3db%252Fimage%2520%28992%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=b7928099&sv=1)
Filtros
Aqui você pode encontrar filtros do wireshark dependendo do protocolo: https://www.wireshark.org/docs/dfref/ Outros filtros interessantes:
(http.request or ssl.handshake.type == 1) and !(udp.port eq 1900)
Tráfego HTTP e HTTPS inicial
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002) and !(udp.port eq 1900)
Tráfego HTTP e HTTPS inicial + TCP SYN
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002 or dns) and !(udp.port eq 1900)
Tráfego HTTP e HTTPS inicial + TCP SYN + solicitações DNS
Pesquisa
Se você quiser pesquisar por conteúdo dentro dos pacotes das sessões, pressione CTRL+f. Você pode adicionar novas camadas à barra de informações principal (No., Hora, Fonte, etc.) pressionando o botão direito e depois editando a coluna.
Laboratórios pcap gratuitos
Pratique com os desafios gratuitos de: https://www.malware-traffic-analysis.net/
Identificando Domínios
Você pode adicionar uma coluna que mostra o cabeçalho Host HTTP:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-4731cf3e3c9e55c21fae726c9eb84b0f0c54fd48%252Fimage%2520%28639%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7bfe7a3e&sv=1)
E uma coluna que adiciona o nome do Servidor de uma conexão HTTPS iniciada (ssl.handshake.type == 1):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-f5ec748fb7887e8e6dd4432a04a3c608f009afd3%252Fimage%2520%28408%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=82a0f219&sv=1)
Identificando nomes de host locais
Do DHCP
No Wireshark atual, em vez de bootp
, você precisa procurar por DHCP
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-c514662020a716b8c64cac56ad88a5588219986e%252Fimage%2520%281013%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=3a9949e4&sv=1)
Do NBNS
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-274df2375723d762fdfce57afb0a49985569a48e%252Fimage%2520%281003%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1d6bd0f4&sv=1)
Decriptando TLS
Decriptando tráfego https com a chave privada do servidor
edit>preferência>protocolo>ssl>
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-2c18e67c06696b5f671842c2b5bdf49dad0f52da%252Fimage%2520%281103%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9953580e&sv=1)
Pressione Editar e adicione todos os dados do servidor e a chave privada (IP, Porta, Protocolo, Arquivo de chave e senha)
Decriptando tráfego https com chaves de sessão simétricas
Tanto o Firefox quanto o Chrome têm a capacidade de registrar chaves de sessão TLS, que podem ser usadas com o Wireshark para decriptar tráfego TLS. Isso permite uma análise aprofundada das comunicações seguras. Mais detalhes sobre como realizar essa decriptação podem ser encontrados em um guia na Red Flag Security.
Para detectar isso, procure dentro do ambiente pela variável SSLKEYLOGFILE
Um arquivo de chaves compartilhadas terá a seguinte aparência:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-b6cad7d36423ee8c4f315e55224042706854019f%252Fimage%2520%28820%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e97be32&sv=1)
Para importar isso no wireshark, vá para _editar > preferência > protocolo > ssl > e importe-o no nome do arquivo de log (Pre)-Master-Secret:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-ab5d833dca662874145ccaae213eea334acd6cc8%252Fimage%2520%28989%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=eacc2d4f&sv=1)
Comunicação ADB
Extraia um APK de uma comunicação ADB onde o APK foi enviado:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated