Wireshark tricks

学习和实践AWS黑客技术：HackTricks培训AWS红队专家(ARTE) 学习和实践GCP黑客技术：HackTricks培训GCP红队专家(GRTE)

支持HackTricks

查看订阅计划!
加入 💬 Discord群组或Telegram群组或关注我们在Twitter 🐦 @hacktricks_live.
通过向 HackTricks和HackTricks Cloud GitHub库提交PR分享黑客技巧。

提升你的Wireshark技能

教程

以下教程非常适合学习一些酷炫的基本技巧：

分析信息

专家信息

点击分析 --> 专家信息 你将获得一个概述，了解在分析的数据包中发生了什么：

已解析地址

在 统计信息 --> 已解析地址 下，你可以找到Wireshark“解析”的多条信息，如端口/传输到协议、MAC到制造商等。了解通信中涉及的内容是很有趣的。

协议层次

在 统计信息 --> 协议层次 下，你可以找到通信中涉及的协议及其相关数据。

对话

在 统计信息 --> 对话 下，你可以找到通信中的对话摘要及其相关数据。

端点

在 统计信息 --> 端点 下，你可以找到通信中的端点摘要及其相关数据。

DNS信息

在 统计信息 --> DNS 下，你可以找到捕获的DNS请求的统计信息。

I/O图

在 统计信息 --> I/O图 下，你可以找到通信图。

过滤器

在这里你可以找到根据协议的Wireshark过滤器：https://www.wireshark.org/docs/dfref/ 其他有趣的过滤器：

(http.request or ssl.handshake.type == 1) and !(udp.port eq 1900)
HTTP和初始HTTPS流量
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002) and !(udp.port eq 1900)
HTTP和初始HTTPS流量 + TCP SYN
(http.request or ssl.handshake.type == 1 or tcp.flags eq 0x0002 or dns) and !(udp.port eq 1900)
HTTP和初始HTTPS流量 + TCP SYN + DNS请求

搜索

如果你想在会话的数据包中搜索****内容，请按 CTRL+f。你可以通过右键点击并编辑列来添加新的层到主信息栏（编号、时间、源等）。

免费pcap实验室

通过以下免费挑战进行练习： https://www.malware-traffic-analysis.net/

识别域名

你可以添加一个显示Host HTTP头的列：

以及一个添加发起HTTPS连接的服务器名称的列（ssl.handshake.type == 1）：

识别本地主机名

从DHCP

在当前的Wireshark中，你需要搜索DHCP而不是bootp

从NBNS

解密TLS

使用服务器私钥解密HTTPS流量

edit>preference>protocol>ssl>

按 Edit 并添加服务器和私钥的所有数据（IP、端口、协议、密钥文件和密码）

使用对称会话密钥解密HTTPS流量

Firefox和Chrome都能够记录TLS会话密钥，这些密钥可以与Wireshark一起使用以解密TLS流量。这允许对安全通信进行深入分析。有关如何执行此解密的更多详细信息，请参阅Red Flag Security中的指南。

要检测此内容，请在环境中搜索变量SSLKEYLOGFILE

共享密钥的文件看起来像这样：

要在Wireshark中导入此文件，请转到 _edit > preference > protocol > ssl > 并将其导入到（Pre）-Master-Secret日志文件名中：

ADB通信

从ADB通信中提取APK，其中APK被发送：

from scapy.all import *

pcap = rdpcap("final2.pcapng")

def rm_data(data):
splitted = data.split(b"DATA")
if len(splitted) == 1:
return data
else:
return splitted[0]+splitted[1][4:]

all_bytes = b""
for pkt in pcap:
if Raw in pkt:
a = pkt[Raw]
if b"WRTE" == bytes(a)[:4]:
all_bytes += rm_data(bytes(a)[24:])
else:
all_bytes += rm_data(bytes(a))
print(all_bytes)

f = open('all_bytes.data', 'w+b')
f.write(all_bytes)
f.close()