AG Test: pcap

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgoCC2_wFP5ukcmjkN6QQdpKG6YYxwHshl_VvzwfnBPMraa8CFCVsLEfiqHqhsMVWblBXxlHiVfiKCaVJDXg0NRqbQmARxTz76mjITqc32PofIOomTK8iw8Yog_e5bvN1Txsx0TOMRf2i45/s1600/wepCrackingLogo.jpg" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="156" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgoCC2_wFP5ukcmjkN6QQdpKG6YYxwHshl_VvzwfnBPMraa8CFCVsLEfiqHqhsMVWblBXxlHiVfiKCaVJDXg0NRqbQmARxTz76mjITqc32PofIOomTK8iw8Yog_e5bvN1Txsx0TOMRf2i45/s200/wepCrackingLogo.jpg" width="200" /></a>Bu notta uygulamalı olarak WEP kullanılarak şifrelenmiş kablosuz bir ağ iletişimine ait pcap dosyası kullanılarak WEP parolasının elde edilmesi, bu parolanın kullanılarak pcap dosyasının şifresinin çözülmesi ve içerisindeki tcp akışındaki dosyasının çıkartılması ele alınacaktır. Öncelikle gerekli pcap dosyası <a href="http://sickbits.net/other/hc3.pcap-04.cap" target="_blank">bağlantıdan</a> temin edilebilir.<br /><br /></div><div><div style="text-align: justify;"><b>tcpdump </b>aracı ile pcap dosyasının içeriğine bakıldığı WEP ile şifrelenmiş bir iletişime ait olduğu ve içerisinde IV paketleri içerdiği görülebilir.<br /><a name="more"></a></div><div><h4># tcpdump -nvr hc3.pcap-04.cap -c10<br />reading from file hc3.pcap-04.cap, link-type IEEE802_11 (802.11)<br />16:19:41.145465 0us Beacon (home) [1.0* 2.0* 5.5* 11.0* 18.0 24.0 36.0 54.0 Mbit] ESS CH: 6, PRIVACY<br />16:19:43.507896 0us Acknowledgment RA:e0:f8:47:2e:93:3e<br />16:19:44.468986 0us Acknowledgment RA:e0:f8:47:2e:93:3e<br />16:19:54.341047 0us Acknowledgment RA:e4:ce:8f:3e:91:68<br /><span style="color: #cc0000;">16:19:54.348727 <u>WEP Encrypted</u> 48us Data IV:6804a7 Pad 0 KeyID 0</span><br />16:19:54.485431 0us Acknowledgment RA:e4:ce:8f:3e:91:68<br />16:19:54.485431 0us Acknowledgment RA:e4:ce:8f:3e:91:68<br /><span style="color: #cc0000;">16:19:54.487991 <u>WEP Encrypted</u> 48us Data IV:6804a9 Pad 0 KeyID 0<br />16:19:56.359991 <u>WEP Encrypted </u>48us Data IV:6804ab Pad 0 KeyID 0</span><br />16:19:57.491514 0us Acknowledgment RA:e0:f8:47:2e:93:3e</h4></div><div><div><span style="text-align: justify;">Dosya içerisinde hangi SSID değerlerine sahip ağların bulunduğunun tespiti için <b>tcpdump</b>, <b>tshark </b>veya <b>pyrit </b>araçları aşağıdaki şekillerde kullanılabilir:</span><br /><h4><span style="text-align: justify;"># tcpdump -nnr hc3.pcap-04.cap '((type mgt subtype beacon) or (type mgt subtype probe-req))' | head</span></h4><h4><span style="text-align: justify;"># tshark -r hc3.pcap-04.cap | grep SSID</span></h4><h4><span style="text-align: justify;">#  pyrit -r hc3.pcap-04.cap analyze | grep AccessPoint | cut -d \' -f2 | sort</span></h4><span style="text-align: justify;">50,000 ve üzeri IV paketinin toplanması ile herhangi bir WEP parolası saniyeler içerisinde kırılabilir. Bunun için <b>aircrack </b>aracından faydalanılabilir.</span></div><h4># aircrack-ng hc3.pcap-04.cap<br /><span style="font-size: x-small;">Opening hc3.pcap-04.cap</span><br /><span style="font-size: x-small;">Read 208428 packets.</span><br /><span style="font-size: x-small;">   #  BSSID                      ESSID                     Encryption</span><br /><span style="font-size: x-small;">   1  00:1A:70:4C:BB:76  home                      WEP (</span><span style="color: #cc0000; font-size: x-small;">50757 IVs</span><span style="font-size: x-small;">)</span><br /><span style="font-size: x-small;">Choosing first network as target.</span><br /><span style="font-size: x-small;">Opening hc3.pcap-04.cap</span><br /><span style="font-size: x-small;">Attack will be restarted every 5000 captured ivs.</span><br /><span style="font-size: x-small;">Starting PTW attack with 50757 ivs.</span><br /><span style="font-size: x-small;">                                                  Aircrack-ng 1.1 r2178</span><br /><br /><span style="font-size: x-small;">                                  [00:00:00] Tested 861 keys (got 50459 IVs)</span><br /><span style="font-size: x-small;">   KB    depth   byte(vote)</span><br /><span style="font-size: x-small;">    0    0/ 13   28(63744) A8(60928) 86(58880) C7(58880) 3D(58624) A4(58112) 53(57856) 5B(57856)</span><br /><span style="font-size: x-small;">    1    0/  1   57(76544) 0F(60928) 34(59392) 5B(58880) D4(57856) DF(57856) 4D(57344) 66(57344)</span><br /><span style="font-size: x-small;">    2    1/  2   1E(61952) A8(59648) 67(59136) 03(58624) 5F(58368) 61(58368) 91(58368) 3A(58112)</span><br /><span style="font-size: x-small;">    3    0/  1   B4(75264) 31(61184) 7F(60416) 66(58112) 83(57856) 9F(57856) A2(57600) D6(57600)</span><br /><span style="font-size: x-small;">    4    9/  4   F9(58368) 07(57856) EF(57856) FF(57856) 3B(57600) 6E(57344) 93(57344) E7(57088)</span><br /><span style="font-size: x-small;">            </span><span style="color: #cc0000;"><span style="font-size: x-small;"> </span>KEY FOUND! [ 28:E6:6B:E9:D3:B6:20:95:DD:E9:2F:BE:37 ]</span><br /><span style="font-size: x-small;">        Decrypted correctly: 100%</span></h4></div><div style="text-align: justify;">Mevcut pcap dosyasının şifresinin çözülmüş halini elde etmek için <b>airdecap </b>uygulaması kullanılabilir.</div><div><h4># airdecap-ng hc3.pcap-04.cap -w 28:E6:6B:E9:D3:B6:20:95:DD:E9:2F:BE:37<br />Total number of packets read        208428<br />Total number of WEP data packets     96367<br />Total number of WPA data packets         0<br />Number of plaintext data packets         0<br />Number of decrypted WEP  packets     96367<br />Number of corrupted WEP  packets         0<br />Number of decrypted WPA  packets         0</h4><div>airdecap ile şifresi çözülen pcap dosyası sonucunda aynı dizin altında <b>hc3.pcap-04-dec.cap</b> adı altında decrypt edilmiş yeni bir dosya oluşacaktır.</div><h4># ls hc3.pcap-04*<br />hc3.pcap-04.cap  <span style="color: #cc0000;">hc3.pcap-04-dec.cap</span></h4></div><div style="text-align: justify;">Wireshark uygulamasındaki "follow tcp stream" seçeneği ile pcap içerisinde dosya görülebileceği ve çıkartılabileceği gibi Backtrack içerisindeki <b>tcpxtract </b>uygulaması ile de hedef dosya elde edilebilir.</div><div><h4><div style="text-align: justify;"># tcpxtract -f hc3.pcap-04-dec.cap</div>Found file of type "zip" in session [192.168.0.122:26817 -> 2.2.2.2:20228], exporting to 00000000.zip<br /># file 00000000.zip<br />00000000.zip: Zip archive data, at least v1.0 to extract</h4></div><div style="text-align: justify;">Yine aynı pcap dosyası içerisindeki e-posta içeriğindeki base64 kodlanmış parolanın aşağıdaki şekilde geri elde edilmesi ile zip dosyasının da açılması mümkündür.</div><h4># echo "dGhlIHBhc3N3b3JkIGlzIGJvc3Rvbk1BMTk3Nwo=" | base64 -d</h4><h2><a href="https://sickbits.net/hack3rcon3-the-xrg-ctf-challenge-4-solution-decrypt-pcap-wep-extract-file/" target="_blank">Kaynak</a></h2></div>

Uygulamalı WEP Parolası Kırma, Şifre Çözme ve PCAP içerisinden Dosya Çıkarma

Bu notta uygulamalı olarak WEP kullanılarak şifrelenmiş kablosuz bir ağ iletişimine ait pcap dosyası kullanılarak WEP parolasının elde edilm...

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s1600/tcpdump.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="158" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s200/tcpdump.png" width="200" /></a>Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek <b>tcpdump </b>aracı ile temel ağ trafiği analizinin nasıl gerçekleştirilebileceğine değinilecektir.<br />Analiz yöntemlerinin temelinde <b>pcap </b>verisi yer almaktadır. 1987 yılında <i>Lawrence Berkeley National Laboratory</i> tarafından ortaya konulan bu format, bir çok farklı ağ tabanlı uygulama tarafından okunabilmekte/yazılabilmektedir.<br /><br /><a name="more"></a></div><div style="text-align: justify;">Sistem üzerinde tcpdump bulunmuyorsa </div><h4># apt-get install tcpdump</h4><div style="text-align: justify;">komutu ile kurulum gerçekleştirilebilir.</div><div style="text-align: justify;"><span style="text-align: start;">Tcpdump çıktısının temel olarak yapısı aşağıdaki gibidir:</span><br /><h2 style="text-align: start;"><span style="font-size: small;">[zaman_damgası] [protokol] [kaynak IP].[kaynak port] > [hedef IP].[</span><span style="font-size: small;">hedef</span><span style="font-size: small;"> </span><span style="font-size: small;">port]</span></h2></div><div style="text-align: justify;"><b>-w </b>parametresi ile dosyaya yazmak için</div><h4># tcpdump -w kayit.pcap</h4><blockquote class="tr_bq"><span style="color: #990000;">Görsel gösterim için <a href="http://www.wireshark.org/" target="_blank">Wireshark</a>'tan yararlanılabilir.</span></blockquote><div>Pcap dosyası içindeki paket sayısını bulmak için:</div><h4># tcpdump -nn -r kayit.pcap | wc -l</h4><div><span style="text-align: justify;">I/O yönlendirme ile <b>cut </b>aracı ile dosya içerisindeki kaynak IP adresi ve portu aşağıdaki gibi süzülebilir:</span></div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap | cut -d " " -f3</h4><div style="text-align: justify;">Çıktıdan 2.katman trafiğini hariç tutmak için tcpdump'a protokol süzgeci girilebilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3</h4><div>Port bilgisini de hariç tutarak sadece IP adresini görmek için</div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4</h4><div style="text-align: justify;">Bu noktada sadece IP adreslerini süzmek için aşağıdaki gibi bir düzenli ifade ile <b>grep </b>komutu kullanılabilir:</div><h4>grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'</h4><div style="text-align: justify;">Çıktıdaki birbirini tekrar eden kayıtları gözardı etmek ve sıralamak için <b>sort </b>ve <b>uniq </b>komutları kullanılabilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq</h4><div style="text-align: justify;"><blockquote class="tr_bq"><span style="color: #990000;"><b>sort </b>komutu <b>-u</b> parametresi ile <b>uniq</b>'in yaptığı işlevi görebilmektedir.</span></blockquote></div><div style="text-align: justify;">Belirlenen IP adreslerine dair kaç adet kayıt bulunduğunu görmek için <b>-c </b>parametresi ile <b>uniq </b>komutu çalıştırılır ve çıktı büyükten küçüğe tekrar sıralanır.</div><div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq -c | sort -nr</h4><div><div style="text-align: justify;">Sadece bağlantı kurmaya çalışan (SYN bayrağı ayarlanmış) IP adreslerinin hedef aldığı portların belirlenmesi için <b>tcp[13]=2</b> filtresinden yararlanılabilir:</div></div><div><h4># tcpdump -nn -r kayit.pcap 'tcp[13]=2' | cut -d " " -f5 | cut -d "." -f5 | sort | uniq -c | sort -nr</h4></div><div style="text-align: justify;">SMTP, FTP, DNS gibi yükünü düz metin olarak ileten protokollerin içeriklerinin gösterimi için <b>-A </b>parametresi kullanılabilir.</div><h4># tcpdump -Ann -r kayit.pcap 'dst port 21 or dst port 25 or dst port 53 or dst port 80'</h4><div>Çıktı üzerinden istenilen içerik grep ile aranabilir. Örneğin 80.port süzüldükten sonra </div><h4>grep -Ei 'user-agent | sort | uniq -c | sort -nr | head 10</h4><div>komutuna yönlendirilirse en fazla GET isteğinde bulunan 10 User-Agent'ı görülebilir. </div><h2><span style="color: white; font-size: small;">Bazı sık kullanılan tcpdump filtreleri</span></h2><h4># tcpdump net 1.2.3.0/24<br /># tcpdump icmp<br /># tcpdump port 3389<br /># tcpdump udp and src port 53 //udp port 53 filtrele<br /># tcpdump 'src 10.0.2.4 and (dst port 3389 or 22)'<br /># tcpdump -ni eth1 -w file.cap not port 22<br /># tcpdump -ni eth1 -s 150 -c 10 not port 22<br /># tcpdump -r file.cap<br /># tcpdump -e -n not port 22            <span style="color: #cc0000;">//Ethernet başlığını görüntüle</span><br /></h4></div><blockquote class="tr_bq"><span style="color: #990000;">Tcpdump için faydalı bir cheatsheet <a href="http://media.packetlife.net/media/library/12/tcpdump.pdf" target="_blank">bağlantıdan</a> temin edilebilir.</span></blockquote>

Tcpdump ve Temel Linux Komutları ile Temel Ağ Trafiği Analizi

Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek tcpdump...