1. Interface. Wireshark (Ehtereal)

Transkript

1 Wireshark (Ehtereal) Das Programm Wireshark Network Protocol Analyzer dient dazu, wie der Name schon sagt, ersichtlich zu machen, welche Datenpakete die Netzwerkkarte empfängt bzw. sendet. In Form von einzelnen Paketen werden die transferierten Daten übersichtlich aufgelistet und können somit rasch und einfach analysiert werden. Des Weiteren ist mit diesem Programm das Erstellen von Graphiken (Statistiken) der Datenpakete möglich. Um etwaige Verwirrung vorzubeugen, muss hier kurz erwähnt werden, dass im Unterricht das Programm Ethereal Version benutzt wurde, in diesem Protokoll allerdings auf die Wireshark Version eingegangen wird. Es besteht kein großer Unterschied zwischen diesen beiden Programmen, nur dass letzteres eine neuere Version ist. Es ist zwar optisch etwas anders aufgebaut, jedoch wurden inhaltlich keine großen Veränderungen vorgenommen. Aufgabenstellung war, sich mit folgenden Punkten vertraut zu machen: - Kennenlernen der Oberfläche wichtigste Funktionen: - Interface - Einstellungen - Filter/ Suchen - Abspeichern - Visualisieren (Analyse, Statistiken) - Mitsniffen ARP (Request und Reply) z.b.: Browser starten; TCP-Datenverkehr; Inhalte suchen - PING - Paketlänge >4000 Byte - normal (Default = 32 Byte) - TRACEROUTE (Paktet-Header, Inhalte, etc.) 1. Interface

2 Abb.1: Startscreen des Programms Wireshark Version Der Startscreen (Abb. 1) des Programms Wireshark Version besteht aus den Punkten: - Capture - Files - Online - Capture Help In diesem Protokoll wird auf vorwiegend auf den Punkt Capture eingegangen, welcher die Funktionen Interface List und Capture Options beinhaltet. Interface List: Listet bereits bestehende Netzwerke (z.b.: Realtek Wireless LAN Verbindung) auf. Je nachdem, welche Verbindung untersucht werden soll, kann dieser hier einfach ausgewählt werden und das Programm startet den Modus Capture (engl. die Erfassung ) um den aktuellen Datenfluss zu erfassen. Um vor Beginn zu sehen, welches der Netzwerke am meisten Bewegung zeigt, kann hier auch einfach Interface List ausgewählt werden. Caputre Options: Hier besteht die Möglichkeit noch vor Beginn des Modus Capture unterschiedliche Einstellungen zu wählen. (z.b.: einen bestimmten Filter hinzufügen, etc.) Am Startscreen wird unter Capture der Punkt Interface List ausgewählt. (siehe Abb. 1)

3 Abb. 2: Aktive Netzwerkverbindungen werden angezeigt. In Abb. 2 kann man erkennen, dass die Netzwerkkomponente Microsoft die meisten Aktivitäten nachweist. Durch klicken auf Start neben der gewünschten Verbindung, beginnt nun die Analyse der Datenpakete. Abb. 3: Datenpakete Nun wir eine Liste aller Pakete angezeigt (siehe Abb. 3). Es werden bereits hier die wichtigsten Informationen zu den jeweiligen Datenpaketen angezeigt (von links nach rechts): Paketnummer, Zeit, Quelladresse, Zieladresse, Art des Protokolls (HTTP, TCP, ICMP, etc.), Info Abb. 4: Informationen zu den Datenpaketen

4 Zusätzlich wird in der Mitte des Bildschirmes der detailierte Überblick über den Aufbau der einzelnen Pakete geliefert (siehe Abb. 5). Abb. 5: Aufbau des Datenpaketes von Paket Nummer 1 Paket Nummer 1 besteht aus einem Frame in den das Ethernetprotokoll eingepackt ist. In das Ethernetprotokoll ist das Internetprotokoll (IP) eingebettet; in dieses wiederum das Transmission Control Protocol (TCP) eingepackt ist. Und zu guter letzt kommt das Hypertext Tranfser Protocol (HTTP), welches sich im TCP befindet (siehe Abb. 6). Abb. 6: Logische und physikalische Sicht eines Paket-Aufbaues (vereinfacht) Durch klicken auf das Plus neben dem gewünschten Header (?? sind das header oder einfach nur protokolle??), erscheinen detailliertere Informationen dazu. (Durch klicken auf das Minus werden diese wieder ausgeblendet.) Abb. 7: Detaillierte Ansicht des Frame-Headers (?????)

5 Frame-Header: Informationen wie z.b.: Ankunftszeit, Frame-Nummer, Fame-Länge und die Art des Protokolls werden hier angezeigt (siehe Abb. 7). Abb. 8: Detaillierte Ansicht des Ethernet-Headers (?????) Ehternet-Header: Hier werden unter anderem Informationen über die Zieladresse (Destination Adress) bzw. die Quelladresse (Source Adress) angezeigt. Abb. 9: Detaillierte Ansicht des IP-Headers (?????) IP-Header: Es erscheint eine detaillierte Übersicht über die Bestandteile des Internet Protocols. Hier sieht man z.b.: Header-Länge, Gesamtlänge, Flags (z.b. Time to live (TTL), in diesem Fall 102???Steps???) und Header Checksum (beinhaltet Quellund Zieladresse). Abb. 10: Detaillierte Ansicht des TCP-Headers(?????)

6 TCP-Header: Hier erscheinen die Quell- und Zielschnittstellen (???) und bla?was erscheint hier eigentlich? Abb. 11: Detaillierte Anischt des HTTP-Headers (??????) HTTP-Header: Unter diesem Punkt erscheinen Informationen zum HTTP-Header (z.b.: Länge). Abb. 11: WAS IST DAS?? 2. Einstellungen (Menüleiste) Abbildungen 12 bis 21: File, Edit, View, Go, Capture, Analyze, Statistics, Telephony, Tools und Help. Die wichtigsten Punkte im Überblick: File: öffnen, schließen, speichern, drucken, etc. Edit: kopieren, Pakete suchen, markieren, etc. View: hier kann man Menüleisten dazu- bzw. wegschalten, zoomen, Farben ändern, etc.

7 Go: zwischen den verschiedenen Paketen navigieren Capture: Interfaces, stop, restart, Capture Filters, etc. (hierzu später mehr) Analyze: der wichtigste Punkt ist Follow TCP Stream (hierzu später mehr) Statistics: Flow Graph stellt Datenpakete graphisch dar Telephony:??? Tools: Firewall ACL Rules Help: FAQ s, etc. Abb. 12: Menüleiste: File Abb. 13: Menüleiste: Edit

8 Abb. 14: Menüleiste: View Abb. 15: Menüleiste: Go

9 Abb. 16: Menüleiste: Capture Abb. 17: Menüleiste: Analyze

10 Abb. 18: Menüleiste: Statistics Abb. 19: Menüleiste: Telephony

11 Abb. 20: Menüleiste: Tools Abb. 21: Menüleiste: Help

12 Abb. 22: Expression... Unter dem Punkt Expression... kann ein Filter aktiviert werden. Bei Abb. 22 wurde ein HTTP-Filter aktiviert, das bedeutet, dass nur noch Hypertext Transfer Protocols angezeigt werden. Durch klicken auf den Punkt Apply aktualisiert man die Anzeige. PING (was ist ping genau??) Mit diesem Programm kann man...???? Das Programm unter dem der Ping verschickt werden kann, befindet sich im Hauptmenü des Computers. Unter der Eingabe von cmd im Suchfeld kann es schnell geöffnet werden (siehe Abb. 23)

13 Abb. 23: Öffnen des Programms cmd

14 Abb. 24: PING: ipconfig Wie in Abb. 24 gezeigt wird, kann man mit der Eingabe ipconfig die momentan verwendete IP-Adresse ermitteln. Abb. 25: PING: ping h

15 In Abb. 25 wird gezeigt, welche Befehle es im Ping-Modus gibt. Durch die Eingabe von ping h werden diese übersichtlich aufgelistet. Weiters kann durch den Befehl ping l die Größe des zu versendenden Ping s geändert werden. Gemeinsam mit der gewünschten Zieladresse kann nun das Versenden eines Ping s gestartet werden (siehe Abb. 26) Abb. 26: PING: Hier wurde folgender Befehl eingegeben: ping l 50 (Die Datenlänge wurde auf 50 Byte gesetzt; als Zieladresse wurde die Internetseite gewählt) Das Ergebnis dieses Ping s kann unter Ping-Statistik (Abb. 26) abgelesen werden. Gesendet wurden 4 Pakete, von denen allerdings nur 3 empfangen wurden. Das bedeutet, dass eines der Pakete verloren ging daraus resultiert die Verlustrate 25%. Diese stellt für die verwendete Internetverbindung kein zufriedenstellendes Ergebnis dar. TRACEROUTE Mit dieser Funktion (??) können Fehler in Netzwerkverbindungen schnell und einfach ermittelt werden. Das verschickte Datenpaket kann sozusagen verfolgt werden. Dieser Weg wird dann Schritt für Schritt angezeigt um Schwachstellen schnell ausfindig zu machen.

16 Abb. 26: Traceroute In Abb. 26 wurde ein Datenpaket an die Internetseite verschickt. Mit der Eingabe tracert und der gewünschten Zieladresse kann der Prozess gestartet werden. Das Paket läuft über einige Rechner, unter anderem von der Telekom Austria, bis hin zu einem Rechner von einer offensichtlich niederländischen Seite. Traceroute wird häufig in großen Firmen verwendet, da es die Fehlererkennung von Verbindungen um einiges erleichtert!