Redes

Sniffing con Wireshark

16:51 ANTRAX 34 Comments

Introducción.

Wireshark es un analizador de paquetes de red, comúnmente llamado sniffer.
Es utilizado por administradores de redes para ver todo el tráfico que está pasando en un momento específico.
Una de las ventajas que tiene, es que es open source y multiplataforma.
Wireshark ofrece distintos tipos de filtros para leer los paquetes. Captura a demás cookies y passwords que veremos a continuación en este paper.
Para instalar wireshark simplemente hay que ir a su página oficial y descargarlo.
http://www.wireshark.org/download.html
Desde linux, se puede descargar desde la consola.

Sudo apt-get install wireshark

Partes de Wireshark

Enumere las partes más importantes del Wireshark para describirlas por separado.
1 – Muestra un listado de las interfaces disponibles que podemos poner a la escucha de paquetes.
2 – Permite configurar algunos parámetros de nuestra interface
3 – El filtro permite filtras paquetes separándolos por IP, protocolos, etc
4 – Listado de paquetes. Muestra un resumen de los paquetes capturados, presionando con el otro botón del mouse se listaran opciones disponibles para manejarlos a gusto.
5 – Panel de vista en Árbol. Muestra el paquete seleccionado con mayor detalle.
6 – Panel de detalle  de los datos. Muestra los datos del panel superior en formato hexadecimal y ascii

También podemos ver en el menú superior las siguientes opciones:

File: Contiene las funciones para manipular archivos y para cerrar la aplicación Wireshark.
Edit: Este se puede aplicar funciones a los paquetes, por ejemplo, buscar un paquetes especifico, aplicar una marca al paquete y configurar la interfaz de usuario.
View: Permite configurar el despliegue del paquete capturado.
Go: Desde acá podemos ir a un paquete especifico, volver atrás, adelante, etc.
Capture: Para iniciar y detener la captura de paquetes.
Analyze: Desde analyze podemos manipular los filtros, habilitar o deshabilitar protocolos, flujos de paquetes, etc.
Statistics: Podemos definir u obtener las estadísticas del trafico capturado.
Telephony: Trae herramientas para telefonía.
Tools: Opciones para el firewall
Internal: Parámetros internos de Wireshark
Help: Menú de ayuda.

Primeros pasos con Wireshark

Una vez instalado, lo abrimos y presionamos sobre el icono marcado en rojo en la imagen

Esto nos permitirá seleccionar nuestra tarjeta de red que pondremos a la escucha de paquetes.

Para saber que tarjeta poner a la escucha, debemos observar cual es la que recibe paquetes.
Se puede observar en la imagen que en mi caso es la wlan0. Una vez identificada, damos en Start para comenzar.
Automáticamente el programa comenzara a capturar paquetes de todos los hosts conectados a la red.
Ahora navegare un poco con mis ordenadores por internet para ver que podemos capturar.

Les mostrare un ejemplo de cómo se manifestó mi wireshark cuando hice un apt-get install en la consola de Linux

Ahí podemos ver de que ip a que ip se mueven los paquetes y porque protocolo. A demás de esto podemos ver el contenido del paquete que lo veremos más adelante en este mismo paper.
Si observamos la imagen, hay una caja de texto llamada Filter.

Esa caja de texto, como bien dice su nombre, permite filtrar paquetes. Y ahora veremos algunos de los filtros que posee Wireshark para que podamos usar este sniffer de una forma más eficiente.
En el filtro se pueden usar operadores lógicos como los siguientes:
== (Igual que)
> (Mayor que)
< (Menor que)
!= (Distinto que)
>= (Mayor o igual que)
<= (Menor o igual que)
Basándome en el paper de Datasecurity, les dejo a continuación los parámetros más usados en este sniffer

Filtros por IP

[En todos los ejemplos, reemplazar 0.0.0.0 por la ip a filtrar]
ip.addr = = 0.0.0.0
ip.addr = = 0.0.0.0 && ip.addr = = 0.0.0.0 (Para filtrar más de una IP )
ip.addr = = 0.0.0.0 || ip.addr = = 0.0.0.0 (Para filtrar una IP de cualquiera de las dos)
Para filtrar paquetes de la fuente en direcciones IPv4 especificas:
ip.src == 0.0.0.0
ip.src == 0.0.0.0 && ip.src == 0.0.0.0 (Para filtrar más de una IP )
ip.src == 0.0.0.0 || ip.src == 0.0.0.0 (Para filtrar una IP de cualquiera de las dos)
Para filtrar paquetes del destino en direcciones IPv4 especificas:
ip.dst == 0.0.0.0
ip.dst == 0.0.0.0 && ip.dst == 0.0.0.0 (Para filtrar más de una IP )
ip.dst == 0.0.0.0 || ip.dst == 0.0.0.0 (Para filtrar una IP de cualquiera de las dos) 
Nota: Para direcciones IP v6 utilice: ipv6.addr, ipv6.src, ipv6.dst, etc.

Para filtrar paquetes del protocolo ARP entre:
arp.src.proto (dirección del protocolo de la fuente)
arp.src.hw (dirección hardware de la fuente)
arp.dst.hw (dirección hardware del destino)
arp.src.hw_mac (dirección MAC de la fuente)
arp.dst.hw_mac (dirección MAC del destino)
arp.src.proto_ipv4 (dirección IPv4 de la fuente )
arp.dst.proto_ipv4 (dirección IPv4 del destino)
Para filtrar paquetes del protocolo Ethernet:
eth.dst == ff:ff:ff:ff:ff:ff (dirección MAC)
eth.src == ff:ff:ff:ff:ff:ff (dirección MAC)
eth.addr == ff:ff:ff:ff:ff:ff (dirección MAC)
Veremos un ejemplo con uno de los filtros: ip.addr == 192.168.1.37

En este caso me debería mostrar los paquetes correspondientes a la ip 192.168.1.37
Se puede ver en verde también 192.168.1.1 y esto es porque hace petición al router.

Filtro por protocolo

Como vimos hasta ahora, este filtro es muy poderoso, pero se darán cuenta de su potencial ahora que filtraremos por protocolo.
Algunos de los filtros son estos: tcp, http, pop, dns, arp, ssl, etc.
Con un Sniffer podemos obtener datos muy importantes. Desde cookies hasta usuarios y contraseñas. A modo ejemplo, abriré un FTP y veremos lo que hace nuestro Wireshark:

Como se puede ver, solo filtre el protocolo FTP. Y tambien notaremos que sacó mi user y pass del FTP.
Veremos ahora otros de los protocolos que suele capturar. En este caso hare un ping a mi blog www.antrax-labs.org

La imagen muestra el protocolo DNS e ICMP. Que si los añadimos en la caja de texto de filtro, nos los filtrara.
Aquí tenemos filtro por DNS

Cabe aclarar que cada protocolo tiene un color diferente (que puede modificarse a gusto) para resaltarlos y distinguirlos con mayor facilidad.

Otros filtros

Veremos ahora otros filtros de gran utilidad, como este otro que nos permite filtrar por dominio o host
http.host == “DOMINIO”
Acá lo que hice fue poner la url de facebook y robo mi cookie. Veremos ahora un ejemplo con otra web, pero filtrando nada más que el protocolo TCP:

Se puede ver de qué ip privada navego hacia que ip publica. En este caso, la ip pública es la del foro infiernohacker y abajo muestra la url de referencia.

Otras opciones de Wireshark

Veremos ahora algo que se llama Go to Packet o ir al paquete. Para usar esta opción basta con ir a GO >> Go to Packet en el menú de la barra superior.
Permite ir a un número de paquete que especifiquemos en el cuadro de texto.

Otras de las opciones muy útiles que tiene Wireshark es la de poder mostrar en formato ascii la lectura de los paquetes capturados para poder así facilitar su entendimiento
Para ir a esta opción colocamos en el filtro HTTP y solo basta con clickear con el botón secundario del mouse y seleccionar Follow TCP Stream

Como se puede ver, se ve mucho más entendible el código y permite tambien pasarlo a Hexadecimal, C Array etc.

Espero que les haya sido de utilidad

ANTRAX

You Might Also Like

34 comentarios:

  1. muy bueno , e interesante

    ResponderEliminar
  2. Puedo hackear un contraseña de facebook a distancia ANTRAX? galicio123@hotmail.com

    ResponderEliminar
    Respuestas
    1. Si estas sniffeando, solo podras sacar pass que esten en tu misma red.
      Para sacar alguna contraseña remotamente, deberas acudir a los malwares.

      Eliminar
  3. Hola quiero captar un facebook que esta utilizando mi wifi desde un iPhone, ya he puesto todos los filtros posible en wiresahrk pero no pillo nada, alguien me puede ayudar por favor??

    ResponderEliminar
    Respuestas
    1. No es tan facil, la password viaja encriptado

      Eliminar
  4. Hola! En la captura de interfaces solo me aparee una que dice Microsoft y a momento de ponerle ftp no me sale nada! te paso mi correo omar.pilo@hotmail.com

    ResponderEliminar
  5. Omar, enviame un mail explicandome tu problema:
    antrax.bt@gmail.com

    ResponderEliminar
  6. Antrax si estoy en una lan con una maquina que escucha por una ethernet puedo captar paquetes de otra que se conecta por wifi? he intentado pero veo muy poco de la maquina con wifi, quisiera captar un chat con facebook o con skype, se podra? y como se hace para ver un chat?

    ResponderEliminar
  7. Está web es oro puro.
    Muchas gracias!

    ResponderEliminar
  8. Tengo que agradecer el trabajo que hacen, excelente trabajo!!!

    ResponderEliminar
  9. que buen tutorial,gracias por compartir.

    ResponderEliminar
  10. Este tío es un maquina! gracias a gente como él da gusto sentarte con tu cigarrito y aprender! Muchas gracias Antrax!!

    ResponderEliminar
  11. me gustaria saber si se verian las conversaciones de whatsapp y si es asi como decodificarlas.gracias

    ResponderEliminar
  12. para eso esta whatsapp sniffer :) para android

    ResponderEliminar
  13. No me sale ningún resultado para ftp, ¿¿alguna sugerencia???

    ResponderEliminar
  14. Como se pueden capturar paquetes de un equipo movil como blackberry o iphone?? excelente aporte muchas gracias

    ResponderEliminar
  15. Hola , tengo wireshark y quiero auditar las redes de 192.168.0.1 yo soy la 192.168.0.14 , hay cuatro mas , pero solo consigo capturas de la mia , alguna ayudita ? gracias de antemano

    ResponderEliminar
  16. Antrax puedo ver todos los password que se hagan en mi computer , las contraseñas van todas encriptadas o slo las remotas

    ResponderEliminar
  17. hola para ver si me pueden ayudar sabes que deseo ver los directorios (url )de una pagina web por decir algo ejemplo : www.servidor.com/paquetes/paquete_descarga.rar
    y se que en la pagina hay mas url parecidos pero los desconozco ya que por obvias razones pues no conozco el indice de urls me gustaria que me ayudaran si es posible de antemano esta pagina esta de lujo

    ResponderEliminar
  18. HE CAPTURADO EL SIGUIENTE DATO
    username=JAN&password=fe2a7c03ad9d30df48264e2c9bcb0e95&dst=http%3A%2F%2Fwww.google.com.pe%2F&popup=trueHTTP/1.1 200 OK
    en realidad mi password=MMK
    Digo como cambiar este password=fe2a7c03ad9d30df48264e2c9bcb0e95 para desencriptarlo y que me de MMK

    ResponderEliminar
    Respuestas
    1. holas, estimado, yo tengo el mismo problema, ayudaaaaaa

      Eliminar
  19. Al setear la interfaz de captura en modo Promiscuo, captura todo el trafico de la red?
    Puedo capturar desde el wireshark el trafico de un IP diferente de la local, es decir que si conozco la IP de otra tarjeta de red puedo capturar ese trafico?

    ResponderEliminar
  20. saben como puedo filtrar un trafico de una red; osea no solo de una ip sino de toda una red ?

    ResponderEliminar
  21. Tengo una duda, se puede capturar trafico de una camara ip con wireshark y con algun programa o reinyectado el paquete poder visualizar el video?

    ResponderEliminar
  22. Eres un MounstruO ANTRAX Saludos Brother , espero que Dios te de mucha Vida & Salud para que sigas haciendo lo que te gusta

    ResponderEliminar
  23. ecxelente, muchas gracias hermano!

    ResponderEliminar
  24. Q tal funciona el whatssapp sinff?? ya que whatsapp ah encriptado sus mensajes de lo contrario que otra opcion hay para capturar y decodificar los mensajes de whattapp actualmente?

    ResponderEliminar
  25. Se puede usar wireshark para capturar los mensajes de whatsapp en una misma red wiffi? whatsapp sinff ya no sirve por el encriptado.
    Algun manual en linea por favor...
    mi correo seba.33@adinet.com.uy

    ResponderEliminar