Pesquisa de tráfego de rede

Principalmente para futuros alunos do curso “Engenheiro de Rede. Básico ” nosso especialista - Alexander Kolesnikov preparou um interessante material do autor.



Também o convidamos a participar de uma aula online aberta sobre o tema “STP. O que? Pelo que? Por quê?" ... Os participantes da aula, juntamente com um especialista, irão revisar o protocolo STP, analisar a lógica de seu funcionamento e analisar suas vantagens e desvantagens.

---

Este artigo mostrará como você pode trabalhar com tráfego de rede. Usando o exemplo de vários dumps de tráfego de rede, o trabalho de várias ferramentas úteis será analisado e serão mostradas abordagens para extrair e coletar informações do tráfego.

Instrumentação e metodologia de pesquisa

Usaremos o seguinte software para analisar o tráfego:

• wirehark ;

  
  
  
  
  

• tshark ;

  
  
  
  
  

, . tshark



wireshark



. , .

. , .

Disclamer: CTF, .

:

1. ;

   
   
   
   
   

2. ;

   
   
   
   
   

3. 2 ;

   
   
   
   
   

4. , , , , .

   
   
   
   
   

:

1.pcap(9cd84b46fee506dae818ecdca76607d1)



. — , "FLAG-???????????"



. . , :

WireShark (, , tshark



. WireShark ). WireShrak "Statistics->Endpoints":

8 IP , . . "Statistics->Protocol Hierarchy":

, — http. pcap



body



. tshark



. :

```  tshark -r ./1.pcap -Y http -Tfields -e http.file_data | grep "FLAG"```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

:

— 2.pcap (9a67e1fb9e529b7acfc6e91db6e1b092)



. . :

13 — . :

, . tcp . udp - :

``` tshark -r ./2.pcap -Y 'dns' ```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

, dns, :

ip , - . :

```tshark -r ./2.pcap -Y '!icmp.code && dns.qry.name contains 192.168' -Tfields -e 
dns.qry.name | tr '.' ' ' |awk '{print $1}' |xxd -r```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

base64



, :

``` base64 -D <<< 
"VGhpcyBpcyBhIHNlY3JldCB0Y3JldCB0cmFuc21pdHRlZCB0aHJvdWdoaHJvdWdoIGRucyBxdWVyeSA6KSBGTEFHKSBGTEFHLUZUNDdjTVgyNnBXeUZTSTZSeUZTSTZSUFdhU3I1WVJ3"```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

:

3.pcap(0e66830db52ad51971d40c77fa5b02c0)



. :

, , — . http.

``` tshark -r ./3.pcap -Y http```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

, http "flag.zip" "secret.txt". Wireshark :

, flag.zip



WireShark. , — Raw :

:

, , . , , tcp, :

:

```python 
 data = []
 with open('dump') as f:
     data = f.read()
     
with open('tesst.zip','w') as w:
    w.write(data[1010788:])
```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

:

``` 7z x ./test.zip ```
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

, , flag.txt

. , 4.pcap(604bbac867a6e197972230019fb34b2e)



.

---

«Network engineer. Basic».

«STP. ? ? ?».

---

:

• Linux