実験 9: パケットトラフィックのキャプチャとプロトコル分析

スー・ユーチェン
031803108

1. 実験目的

Wireshark の使い方をマスターし、簡単なプロトコル分析に Wireshark を使用できるようになります。
データパケットから必要な情報を見つけるための Wireshark フィルターの定義に熟練している

2. 実験原理

Wireshark は、複数のプラットフォームをサポートするグラフィカルインターフェイスのネットワークスニファーであり、オープンソースプロジェクトとして多くの開発者によって改良され、最もよく使用されるネットワークセキュリティツールの 1 つになりました。

Wireshark を使用してデータパケットを分析する基本プロセスには、データパケットのフィルタリング、データパケットの検索、データパケットの復元、データの抽出の 4 つの部分が含まれます。

パケットフィルタリング機能は Wireshark の中核機能です。たとえば、IP アドレス、MAC アドレス、ポートなどの特定の値に基づいてパケットをフィルタリングできます。たとえば、コマンド ip.dst==202.106.3.25 を入力します。を選択すると、宛先 IP が 202.106.3.25. データパックのパケットをフィルタリングできます。HTTP、Telnet などの特定のプロトコルでパケットをフィルタリングすることもできます。次に例を示します。

HTTP リクエストメソッドが GET であるトラフィックパケットのフィルタリングを指定します: http.request.method== "GET"
HTTP リクエストメソッドが POST であるトラフィックパケットのフィルタリングを指定します: http.request.method=="POST"
HTTP リクエストまたはレスポンスには特定のコンテンツが含まれています: http には「FLAG」が含まれており、HTTP コンテンツに FLAG を含むトラフィックパケットをフィルタリングします。
http.request.uri==“/img/logo-edu.gif” は、HTTP リクエスト URL が /img/logo-edu.gif であるトラフィックパケットをフィルタリングします。

Wireshark の検索機能では、正規表現、文字列、16 進数などの検索方法がサポートされており、通常の状況では、Wireshark インターフェイスで直接「Ctrl+F」を押し、文字列メソッドを使用してキーワード検索を実行できます。検索バーには、グループリスト、グループの詳細、グループバイトストリームの 3 つのオプションがあり、さまざまなオプションを選択してデータパケットの内容をさらに検索できます。

データパケット復元：Wiresharkにはデータフローを追跡する機能があり、HTTPまたはTCPトラフィックを収集して元のデータに復元できます例えば復元したいデータパケットを選択し、右クリックメニューから「フロー追跡」→ TCP フロー/UDP フロー/SSL フロー/HTTP フロー、ポップアップウィンドウで復元されたトラフィック情報を確認できます。

Wireshark は、次のように HTTP 経由で送信 (アップロード/ダウンロード) されたファイルのコンテンツの抽出をサポートしています。

HTTP ファイル転送トラフィックパッケージを選択し、グループの詳細でデータまたはラインベースのテキストデータ:text/html レイヤーを見つけ、メニューを右クリックして [グループ化されたバイトストリームのエクスポート] を選択し、最後に [名前を付けて保存] ボタンをクリックしてファイルをエクスポートします。

したがって、実際のアプリケーションでは、まず「キー」を含むプロトコルの形式でフィルタリングルールを使用して、文字列キーを含む指定されたプロトコルデータパケットをフィルタリングして除外し、次にこれらの右クリックメニューから [フローの追跡] を選択します。データパケット、トラフィックの追跡には忍耐が必要です。分析では、HTML ファイル、圧縮ファイル、スクリプトファイル、テキストファイル、画像ファイルなどの重要な情報を隠す可能性のあるファイルを探すことに特に注意し、分析のためにファイルコンテンツをエクスポートします。必要に応じて。Wireshark の使用方法の詳細については、参考リンクと Wireshark 公式ユーザーガイド https://www.wireshark.org/docs/wsug_html_chunked/ を参照してください。

3. 実験テーマ

トラフィックを分析し、次の形式の文字列を取得します: flag_hctf{xxxxxxx}

ヒント: TCP フローをトレースし、Python スクリプトを見つけ、スクリプトを読み取り、変更し、実行してフラグを取得します。

4. 実験環境

Windows 7 システム以降、インターネットに接続されたホスト
必要なツール: Wireshark
参考リンク:
- https://blog.csdn.net/CliffordR/article/details/82749382
- https://www.freebuf.com/column/155600.html