EN3611 Segurança de Redes Prof. João Henrique Kleinschmidt Prática Wireshark Sniffer de rede

Transcrição

1 EN3611 Segurança de Redes Prof. João Henrique Kleinschmidt Prática Wireshark Sniffer de rede Entregar um relatório contendo introdução, desenvolvimento e conclusão. A seção desenvolvimento pode conter várias subseções e deve ter as principais observações, análises e resultados obtidos durante a prática de laboratório. O Wireshark é um analisador de protocolos (sniffer), distribuído gratuitamente, a partir do endereço Ele pode ser executado em diversas plataformas, incluindo sistemas Unix e Windows. Para ambiente Windows, é necessário instalar a biblioteca de captura de pacotes WinPcap (confirmar na instalação). Ela é uma versão da biblioteca libpcap (existente para ambientes Unix), para o Windows. 1. Capturando pacotes Abra o Wireshark e ative a captura de pacotes (Menu Capture Interfaces). 1. Na opção interface, escolha a interface Ethernet. 2. Identifique a interface Ethernet; em opções (Options) seleciona a opção enable network name resolution. 3. Inicie a captura (pressionando em Start). 4. Acesse a rede por alguns segundos (exemplo: acesse o site Não é necessário muito tempo (basta acessar uma única página). 5. Pare a captura de pacotes clicando no botão Stop da janela de captura. 6. A interface do Wireshark é dividida em três partes. A primeira contém uma relação dos pacotes capturados, um por linha. Selecione um dos pacotes A segunda contém informações sobre o pacote que está selecionado, onde cada linha contém um protocolo, na ordem em que eles são empilhados. Dentro de cada protocolo, são mostrados os campos do seu cabeçalho. A terceira parte contém os dados, ou seja, a carga útil (payload) do pacote, que será utilizada pela aplicação. A carga útil é apresentada no formato hexadecimal e o seu correspondente para ASCII. 7. Selecione os vários pacotes e observe os seus campos e valores. 2. Filtros de visualização Estabeleça alguns filtros de visualização (display filter). Atenção: alguns filtros podem não mostrar nenhum pacote, em função da atividade da rede naquele momento. 1. Na parte inferior esquerda da janela do Wireshark, você pode ver um botão Filter com um espaço em branco ao lado dele. 2. Digite o filtro no espaço em branco (exemplo: ip.addr== and http) 3. Para ativar o filtro pressione ENTER. 4. Para desativar o filtro (antes de digitar outro), pressione no botão Clear. Os filtros devem ser digitados em letras minúsculas.

2 Construa filtros para as situações abaixo e anote as expressões usadas (dica: clique no botão Filter e depois em Add Expression ): 1. Apenas pacotes do protocolo IP 2. Apenas pacotes do protocolo DNS 3. Apenas pacotes do protocolo ARP 4. Apenas pacotes do protocolo HTTP 5. Apenas pacotes do protocolo UDP 6. Apenas pacotes do protocolo TCP 7. Apenas os pacotes HTTP enviados ou recebidos pelo seu host (forneça o seu IP) 8. Apenas pacotes do host (Lembre-se: você deve informar o número IP desse host e não o nome. Descubra o número IP do desse host com o comando ping ) 9. Todos os pacotes enviados ou recebidos pelo seu host (forneça o seu IP) 10. Todos os pacotes originados (enviados) pelo seu host. 11. Todos os pacotes UDP originados (enviados) pelo seu host. 12. Todos os pacotes TCP originados (enviados) pelo seu host. 13. Todos os pacotes UDP ou TCP recebidos ou enviados pelo seu host. Mostre todos os pacotes trocados entre outro computador da sua rede e o servidor 3. Capturando dados de uma sessão FTP Vamos capturar uma sessão FTP (o FTP é uma aplicação que usa o protocolo de comunicação TCP para transferência de arquivos). 1. Desabilite o filtro de visualização (se houver), clicando no botão Clear (parte inferior da janela do Wireshark). 2. Ative a captura de pacotes (Menu Capture Start). Escolha a interface Ethernet. 3. Pressione OK. Observe que agora existe uma janela de captura ativada. 4. Abra uma janela de comandos MS-DOS. 5. Conecte-se via FTP com algum site. Exemplo: ftp download.intel.com Atenção: Se o servidor FTP indicado no exemplo acima estiver fora do ar (não responde), tente um dos seguintes: ftp3.usa.openbsd.org, ftplinux.cc.gatech.edu. 6. Quando for solicitado o login, digite anonymous 7. Na senha, digite: eu@provedor.com.br (o seu endereço de , ou qualquer outro) 8. Observe que a senha não aparece na tela. 9. Agora você pode digitar comandos do FTP. Por exemplo, para ver os arquivos na máquina remota, digite do comando ls 10. Para sair digite quit 11. Pare a captura de pacotes (na janela de captura). 12. No Wireshark, filtre a visualização de pacotes usando o seguinte critério: apenas pacotes FTP do host IP, onde IP é o número IP do seu host. Ou seja, supondo que seu IP é , deve digitar o seguinte filtro: ftp and ip.addr== Salve os pacotes no arquivo ftp1.pcap 4. Visualizando a senha da sessão FTP

3 Quando digitamos a senha (ex.: eu@provedor.com.br) para a sessão FTP do exercício anterior, ela foi enviada em um pacote TCP para o servidor FTP. Como estávamos capturando pacotes durante a sessão, ela vai poder ser observada. 1. Abra o arquivo de pacotes salvo no exercício anterior. 2. Caso já haja algum filtro ativado, clique antes no botão Clear. 3. Faça um filtro para mostrar apenas os pacotes FTP do seu host (exemplo: ftp and ip.addr== ). 4. Clique duas vezes no primeiro pacote mostrado, para que ele fique marcado. 5. No menu, escolha a opção Tools Follow TCP Stream. 6. Aparece uma janela mostrando todos os dados (em modo ASCII) que foram trafegados entre seu computador (cliente) e o servidor durante a sessão FTP. Dados mostrados em azul foram enviados pelo seu host e em vermelho foram recebidos. Não se preocupe em entender o formato dos dados, pois eles são entendidos pela aplicação FTP. 7. Procure dentro do texto mostrado as linhas contendo as palavras USER anonymous e PASS eu@uol.com.br. Suponha que você estivesse acessando o site FTP da sua empresa e tivesse sido autenticado (feito o login) com seu nome e senha reais. Você acredita que seria difícil alguém capturar sua senha usando um sniffer do tipo Wireshark na sua rede local? 5. Capturando pacotes com filtro de captura 1. Ative a captura de pacotes (Menu Capture Start). 2. Na opção interface, escolha a interface Ethernet. 3. No campo filter, digite: ip.addr==seu_ip, onde SEU_IP é o número IP do seu computador. Exemplo: ip.addr== Pressione OK. Observe que agora existe uma janela de captura ativada. 5. Acesse a rede por alguns segundos (exemplo: acesse o site Não precisa demorar (basta acessar uma única página). 6. Pare a captura de pacotes clicando no botão Stop da janela de captura. 7. Salve os pacotes capturados no arquivo captura2.pcap O que acabamos de fazer foi a captura seletiva de pacotes, ou seja, capturamos apenas os pacotes que nos interessam, evitando a captura completa. Isso é diferente de fazer uma captura completa e filtrar a visualização de pacotes. Uma captura completa toma grande espaço no disco e tempo para processar os pacotes. Em uma rede local grande (com muito tráfego), 5 minutos de captura pode representar vários gigabytes de espaço no disco. 6. Capturando pacotes HTTP 1. Ative a captura de pacotes (Menu Capture Start). 2. Na opção interface, escolha a interface Ethernet. 3. No campo filter, digite: ip.addr==seu_ip, onde SEU_IP é o número IP do seu computador. Exemplo: host Pressione OK. Observe que agora existe uma janela de captura ativada.

4 5. Acesse o seguinte URL: 6. Pare a captura de pacotes clicando no botão Stop da janela de captura. 8. Faça um filtro de visualização para mostrar apenas os pacotes TCP. 9. Clique duas vezes no primeiro pacote TCP mostrado, para que ele fique marcado. 10. No menu, escolha a opção Tools Follow TCP Stream. 11. Aparece uma janela mostrando todos os dados (em modo ASCII) que foram trafegados entre seu computador (cliente) e o servidor durante a sessão HTTP. 7. Capturando pacotes HTTPS (HTTP com criptografia) Este exercício requer que haja um servidor HTTP capaz de suportar o serviço HTTPS (utiliza SSL Secure Socket Layer) 1. Faça a mesma coisa do exercício anterior, trocando a URL acessada para: (observe que agora é https ) 2. Você consegue ver o que trafegou? Explique. 8. Reconstituindo um fluxo TCP 1. Inicie um captura sem o modo promíscuo e depois entre em uma página Web (UOL, por exemplo). Interrompa a captura. 2. Verifique a sequência dos pacotes: DNS, conexão TCP (em três vias), requisição HTTP, como mostra a figura abaixo. 3. Agora, clique com o botão da direita e escolha Follow TCP Stream. Veja que primeiro aparece o cabeçalho HTTP, depois o seu conteúdo, ou seja, o HTML da página. 4. Vá no navegador (Internet Explorer, por exemplo) e escolha para visualizar o fonte daquela página (ou seja o HTML). 9. Capturando senhas de Observação: a realização dessa atividade pode não ser possível no momento da realização dessa prática, porque os provedores estão cada vez mais usando criptografia para a transferência do nome do usuário e senha (que é a melhor opção, atualmente). No passado, provedores como ig ( e BOL ( não usavam criptografia, mas agora já estão tomando as devidas precauções. Faça este exercício com diferentes provedores (ww.mail.com.br; etc. ). 1. Inicie uma captura e depois acesse o provedor mail.com ( Entre com um usuário qualquer (ex., maria ) e uma senha qualquer (ex., muitofacil ). Espere uns segundos e então interrompa a captura.

5 2. O mail.com transmite o nome do usuário e da senha sem criptografia, em um string, ex: =maria&password=muitofacil 3. Vá no menu, Edit/Find packet. Na janela, selecione o botão string, digite password (sem as aspas) e então clique no botão Find. Localize o pacote onde está a senha e observe a área de dados do Wireshark, para localizar a senha. 4. Reconstitua o fluxo TCP (botão da direita do mouse e Follow TCP Stream) para ter uma visão mais clara.