Downloaded 148 times
![WinPcap 4.1 以降のバージョンでは NPF
サービスが自動起動に設定されます
• [管理者として実行] しなくてもパケット キャプ
チャができます
• 自動起動で問題がある場合は、以下のレジストリ
キーで設定が変更できます
HKLMSYSTEMCurrentControlSetservices
NPFStart
0x1 : SERVICE_SYSTEM_START
0x2 : SERVICE_AUTO_START
0x3 : SERVICE_DEMAND_START
2015/2/23ネットワーク パケットを読む会(仮)
4](https://image.slidesharecdn.com/wireshark4-150223035440-conversion-gate02/75/Wireshark-4-4-2048.jpg)
![[Capture] – [Options] – [Manage Interface]
[Remote Interface] タブに切り替えて [Add]
[Host] と [Port] を設定
2015/2/23ネットワーク パケットを読む会(仮)
26](https://image.slidesharecdn.com/wireshark4-150223035440-conversion-gate02/75/Wireshark-4-26-2048.jpg)
More Related Content
Wireshark入門(4)
- 1. Wireshark は「覗き見ソフト」なのか 2015/2/23 Murachi Akiraaka hebikuzure This material provided by CC BY-NC-ND 4.0. See http://creativecommons.org/licenses/by-nc-nd/4.0/
- 2.
- 3. 最新バージョンを利用しましょう • セキュリティ修正が含まれます • 古いバージョンは攻撃対象になります •現在の最新版は 1.12.3 (2015/1/7 リリース) Windows 環境では同梱の WinPcap を利用 しましょう 2015/2/23ネットワーク パケットを読む会(仮) 3
- 4. WinPcap 4.1 以降のバージョンではNPF サービスが自動起動に設定されます • [管理者として実行] しなくてもパケット キャプ チャができます • 自動起動で問題がある場合は、以下のレジストリ キーで設定が変更できます HKLMSYSTEMCurrentControlSetservices NPFStart 0x1 : SERVICE_SYSTEM_START 0x2 : SERVICE_AUTO_START 0x3 : SERVICE_DEMAND_START 2015/2/23ネットワーク パケットを読む会(仮) 4
- 5. How To SetUp a Capture http://wiki.wireshark.org/CaptureSetup Security http://wiki.wireshark.org/Security Platform-Specific information about capture privileges http://wiki.wireshark.org/CaptureSetup/Cap turePrivileges 2015/2/23ネットワーク パケットを読む会(仮) 5
- 6. Wireshark User‘s Guide http://www.wireshark.org/docs/ wsug_html_chunked/ WiresharkWiki http://wiki.wireshark.org/FrontPage Wireshark University http://www.wiresharktraining.com/ 2015/2/23ネットワーク パケットを読む会(仮) 6
- 7.
- 8.
- 9.
- 10.
- 11.
- 12. Wireshark で 「ひそかに」「こっそりと」 他人が『隠している』『秘密にしている』 通信のパケットを 相手に知られる事なくキャプチャー /解析 できるのか 2015/2/23ネットワーク パケットを読む会(仮) 12
- 13. Wireshark で「覗き見」ができるとしても、それを 目的としたソフトウェアでないことは自明です その上で、Wireshark で「覗き見」と呼ぶに相応 しいことができるのか、できるとしたらどのよ うなことができるのか、を考えてみました 発表内容を実際に実行することを推奨するもの ではありません。また実際に実行した場合に法 令に基づき処罰される可能性が無いことを保証 するものではありません。 2015/2/23ネットワーク パケットを読む会(仮) 13
- 14.
- 15. PCAP (libpcap /WinPcap) • パケット キャプチャー モジュール • 実際にパケットを取り出しているのはこちら Wireshrak • パケット解析ツール • PCAP でキャプチャーされたデータを解析して可 視化、ファイル化 2015/2/23ネットワーク パケットを読む会(仮) 15
- 16. libpcap • Unix /Linux 系システム用の実装 • ディストリビューションに含まれているか、リポ ジトリからインストール可能 • http://www.tcpdump.org/ WinPcap • libpcap の Windows への移植版 • Wireshark と同時にインストールされる • http://www.winpcap.org/ 2015/2/23ネットワーク パケットを読む会(仮) 16
- 17. リピータハブの場合 • コリジョン ドメイン内には同じデータが送られる •NIC をプロミスキャスモードにするだけ 2015/2/23ネットワーク パケットを読む会(仮) 17
- 18.
- 19. ミラー ポート付きハブを使う タップを挿入する • 自分が管理しているネットワークでなければ物理 的なクラッキング ARPキャッシュ ポイゾニング 送信元 / 送信先クライアントでエージェン トを動作させる • 送信元 / 送信先クライアントのユーザー (管理者) の承諾なしに動作させるとクラッキング 2015/2/23ネットワーク パケットを読む会(仮) 19
- 20. I-O DATA BX-MR1 http://www.iodata.jp/product/lan/hub/bx-mr/ AlliedTelesis CentreCOM FS808TP V1 https://www.allied- telesis.co.jp/products/list/switch/fs808tpv1/ catalog.html 2015/2/23ネットワーク パケットを読む会(仮) 20
- 21.
- 22.
- 23. 手法として「ARPスプーフィング」とも言う ARP のリクエストに対して偽装した応答 を返し、本来の宛先 (例えばデフォルト ゲートウェイ)に成り済ます 例えばデフォルト ゲートウェイに成り済 ませば、外部への通信をすべてキャプ チャーできる 2015/2/23ネットワーク パケットを読む会(仮) 23
- 24. WinPcap の RemoteCapture を使う SSH などでリモート接続して tcpdump を 起動、ローカル側に出力させる その他のエージェントをインストールする 2015/2/23ネットワーク パケットを読む会(仮) 24
- 25. WinPcap にはリモート キャプチャーサー ビスが同梱されている • %ProgramFiles(x86)% WinPcap rpcapd.exe • ソースからコンパイルすれば Unix / Linux でも可 参考 • https://www.winpcap.org/docs/docs_40_2/html/gro up__remote.html • http://kinshachi.ddo.jp/blog/comp/archives/000841 .html 2015/2/23ネットワーク パケットを読む会(仮) 25
- 26. [Capture] – [Options]– [Manage Interface] [Remote Interface] タブに切り替えて [Add] [Host] と [Port] を設定 2015/2/23ネットワーク パケットを読む会(仮) 26
- 27. % touch tmp.pcap %tail -f tmp.pcap | wireshark -k -S -i – % ssh -C (hostname) 'sudo tcpdump -U -n -i eth0 -w -' > tmp.pcap • http://qiita.com/k- kawa@github/items/7bade882a91ace367878 • http://blogs.yahoo.co.jp/nickname_say2/35637694 .html 2015/2/23ネットワーク パケットを読む会(仮) 27
- 28. 無線 LAN の場合 •電波は飛んでいるので受信可能 • 暗号化されている場合がある 2015/2/23ネットワーク パケットを読む会(仮) 28
- 29. Windows 環境では WinPcapでモニター モードのキャプチャーができない • 回避策: AirPcap を使う 暗号化されているとそのままでは解析でき ない • 回避策その1: 暗号を解読する • 回避策その2: Man in the middle する 2015/2/23ネットワーク パケットを読む会(仮) 29
- 30. Riverbed AirPcap http://www.riverbed.com/products/performa nce-management-control/network- performance-management/wireless- packet-capture.html • 難点:高い (a/b/n/g フルサポート版は $698) • 値段だけなら安い Linux マシンを用意した方が… 2015/2/23ネットワーク パケットを読む会(仮) 30
- 31. 一般的な公衆 Wifi で利用されるWPA/PSK の場合、Wifi に接続すればテンポラリー キーが取得でき、キーが取得できれば解読 できる WEP はパスフレーズが分かっていれば解 読できる 自分が接続できるアクセスポイントの通信 は解読可能 2015/2/23ネットワーク パケットを読む会(仮) 31
- 32.
- 33. 無線 LAN の傍受やMITM 有線 LAN ではARP キャッシュ ポイゾニン グ いずれも「ひそかに」「こっそりと」キャ プチャーできる 2015/2/23ネットワーク パケットを読む会(仮) 33
- 34. Wireshark は「覗き見」に使える ただし…… Wireshark は「覗き見」ソフトか? ⇒No 道具を悪用するのは人の「罪」 2015/2/23ネットワーク パケットを読む会(仮) 34