Wireshark analizator ruchu sieciowego

Transkrypt

1 Wireshark analizator ruchu sieciowego Informacje ogólne Wireshark jest graficznym analizatorem ruchu sieciowego (snifferem). Umożliwia przechwytywanie danych transmitowanych przez określone interfejsy sieciowe na poziomie datagramów lub ramek protokołów warstw 2-7 modelu ISO/OSI. Ponadto szczegółowo wizualizuje strukturę przechwyconych danych dla wielu protokołów sieciowych. Wireshark działa w sposób pasywny, tzn. nie wysyła żadnych informacji, a tylko przechwytuje dane docierające do interfejsu sieciowego. Nie wpływa także w żaden sposób na działanie aplikacji przesyłających dane przez sieć. Podstawy obsługi Uruchom program Wireshark poprzez skrót na pulpicie Live CD Ubuntu. Program musi działać z uprawnieniami użytkownika administracyjnego (root), potwierdź komunikat ostrzegawczy.

2 Komputer wykorzystywany w trakcie ćwiczenia może mieć zainstalowanych wiele interfejsów (kart) sieciowych. Należy wyświetlić listę dostępnych interfejsów, wybierając zaznaczony przycisk. W kolejnym kroku należy wskazać interfejs, z którego mają być przechwytywane dane. Dokonaj wyboru, sugerując się przydzielonym adresem IP i/lub nazwą interfejsu (domyślnie ethx karta sieciowa przewodowa, wlanx karta sieciowa bezprzewodowa, lo interfejs lokalny, tzw. loopback). Kliknij przycisk Start, aby rozpocząć przechwytywanie danych. Wyświetli się okno przechwytywania, którego strukturę opisano na poniższym zrzucie ekranu. W centralnej części okna wyświetlają się przechwycone dane. Jeżeli jest pusta, wygeneruj ruch sieciowy np. uruchamiając przeglądarkę internetową i otwierając dowolną stronę internetową.

3 Możliwość filtrowania danych Przechwycone dane, zaznaczenie wiersza wyświetla w dolnych oknach strukturę i surową zawartość ramki Struktura zaznaczonej ramki, widoczne opakowane danych przez protokoły poszczególnych warstw ISO/OSI Surowa zawartość zaznaczonej ramki Atrybuty przechwytywanych ramek omówiono w tabeli. Atrybut Opis No. Numer kolejny przechwyconej ramki Time Czas przechwycenia przechwytywania Source Adres źródłowy dla danego protokołu Destination Adres docelowy dla danego protokołu Protocol Nazwa protokołu ( Info Szczegółowa informacja o zawartości ramki ramki w sekundach, Aby zatrzymać przechwytywanie danych, kliknij przycisk przechwytywanie czyści listę przechwyconych ramek. liczony od. Przycisk uruchomienia resetuje

4 Filtrowanie przechwytywanych danych Możesz odfiltrować przechwycone datagramy na bazie różnych atrybutów: protokołu, adresu IP, adresu MAC, klikając w górnej części okna głównego przycisk Filter. Poniższy filtr wyświetli tylko datagramy, w których źródłowy lub docelowy adres IP to Aby usunąć wszystkie aktywne filtry, kliknij przycisk Clear w górnej części głównego okna. Analiza przechwyconych danych Gdy klikniesz dwukrotnie w obrębie jednej z przechwyconych ramek, wyświetli się szczegółowe okno ze strukturą zawartych w niej danych. Poniższy przykład pokazuje strukturę ramki, zawierającej dane z protokołu HTTP, przechwycone w trakcie wyświetlania strony internetowej w przeglądarce. Rozwijając poszczególne wpisy możesz zaobserwować opakowywanie protokołów warstw wyższych modelu ISO/OSI w struktury protokołów warstw niższych. W tym przykładzie dane protokołu HTTP (warstwa 7-aplikacji) są przesyłane w segmentach TCP (warstwa 4-transportowa), segmenty TCP w datagramach IP (warstwa 3-sieciowa), a datagramy IP w ramkach Ethernet (warstwa 2-łącza danych). Te ostatnie są transmitowanie między urządzeniami przy pomocy warstwy fizycznej jako ciąg bitów.

5 Zauważ, że Wireshark szczegółowo interpretuje dane przesyłane przy pomocy niektórych protokołów. Dla protokołu HTTP możesz odczytać np. nagłówki zawierające informacje o dacie żądania wyświetlenia strony, serwerze WWW, a także kod HTML fragmentu żądanej strony internetowej. W dolnej części okna szczegółowego wyświetlana jest ramka/datagram w wersji surowej, jako ciąg bajtów w postaci szesnastkowej, interpretowanych jako znaki ASCII. Ćwiczenia W celu realizacji ćwiczeń zestaw stanowisko laboratoryjne z 2 stanowiskami PC ([1] i [2]) podłączonymi do tej samej podsieci z dostępem do internetu. Na obydwu stanowiskach uruchom system operacyjny Ubuntu z Live CD. Na stanowisku [1] uruchom sniffer Wireshark i przechwytywanie danych. 1. Na stanowisku [2] uruchom konsolę (skrót Terminal na pulpicie). Wykonaj polecenie: ping ADRES_IP_STANOWISKA_1 (ADRES_IP_STANOWISKA_1 zamień na właściwy adres IP komputera 1, odczytany np. poleceniem konsolowym ifconfig). Zaobserwuj i skomentuj dane przechwycone na stanowisku [1]. Jakie protokoły są wykorzystywane do komunikacji? 2. Na stanowisku [2] wykonaj w konsoli polecenie ping NIEISTNIEJACY_ADRES_IP (NIEISTNIEJACY_ADRES_IP to adres z podsieci [1] i [2], ale nieprzydzielony żadnemu z tych komputerów i innych urządzeń). Czy na stanowisku [1] zostały przechwycone jakieś dane? Skomentuj dlaczego. 3. Na stanowisku [1] wykonaj w konsoli polecenie (nie zamykaj programu Wireshark) ping prz.edu.pl Zaobserwuj i skomentuj przechwycone przez Wireshark dane. Jakie protokoły są wykorzystywane do komunikacji? 4. Na stanowisku [1] uruchom przeglądarkę internetową (nie zamykaj programu Wireshark) i otwórz dowolną stronę. Zaobserwuj przechwycone przez Wireshark dane. Wyświetl tylko dane związane z protokołem HTTP i spróbuj skomentować ich strukturę.

6 Zenmap skaner portów Zenmap to graficzna nakładka na program nmap, który jest tzw. skanerem portów. Przy pomocy tego typu oprogramowania można uzyskać informację, jakie usługi sieciowe udostępniają urządzenia o określonych adresach IP. Nmap został przewidzany jako narzędzie do audytu bezpieczeństwa w sieci lokalnej, nie powinien być stosowany do skanowania hostów w sieci Internet czy sieci lokalnej, którą nie administrujemy. Nmap jest narzędziem działającym w sposób inwazyjny, które nawiązuje wiele połączeń sieciowych ze skanowanymi hostami. Jego (nad)używanie w nieznanych sieciach może spowodować zablokowanie dostępu przez administratora lub, w przypadku internetu, wysłanie przez administratora skanowanych urządzeń zgłoszenia nadużycia (abuse) do operatora telekomunikacyjnego osoby skanującej i dodanie adresu IP do tzw. czarnych list, co skutkuje blokadą dostępu do niektórych witryn i usług. W trakcie ćwiczenia laboratoryjnego, do testów zenmap należy zestawić środowisko w wydzielonej sieci lokalnej (kilka komputerów połączonych przy pomocy switcha) bez dostępu do internetu. Podstawy obsługi Uruchom program Zenmap poprzez skrót na pulpicie Live CD Ubuntu. Z listy Profile wybierz opcję Quick scan, w polu Target wpisz adres lub zakres adresów IP, które mają zostać przeskanowane pod kątem otwartych portów. Jeżeli chcesz podać pojedynczy adres, wprowadź go w notacji kropkowo-dziesiętnej, np Zakres adresów wprowadzaj w formacie np W tym przykładzie przeskanowanych zostanie 100 adresów od do Przykładowe opcje skanowania zaprezentowano na zrzucie ekranu. Dostosuj zakres adresów IP do adresacji używanej w laboratoryjnej sieci lokalnej, np

7 Kliknij przycisk Scan, aby rozpocząć skanowanie zasygnalizowany zaznaczonym komunikatem. portów. Koniec procesu zostanie W przykładzie powyżej przeskanowano 100 adresów IP w sieci lokalnej z zakresu W tym zakresie wykryto 4 aktywne urządzenia, których lista wyświetla się w lewym panelu. Dla każdego z urządzeń wypisane zostały dostępne usługi (otwarte porty). W analizowanym przykładzie, urządzenie o adresie IP udostępnia usługi: serwera FTP (port 21), serwera SSH (port 22), serwera DNS (port 53), serwera HTTP (port 80), udostępniania plików Samba (porty 139 i 445).

8 W zakładce Topology można podejrzeć przybliżoną topologię skanowanej sieci, przedstawioną w postaci grafu. Ćwiczenie Wykonaj skanowanie wydzielonej podsieci laboratoryjnej przy pomocy programu Zenmap. Do sieci dołącz komputery pracujące pod kontrolą różnych systemów: Windows Server, Windows 7, Linux (Ubuntu). Omów rezultaty skanowania.