Title: Arbeiten mit Wireshark
Course: Benutzung Wireshark Sniffer Version V2.01 > Section: Arbeiten mit Wireshark

Starten der Software

Starten der Software

Jetzt kann ein bestehendes Trace-File geöffnet oder neues Trace-File von einem ausgewählten Interface angelegt werden.

Packete aufzeichnen mit Wireshark

Für einen umfassenden Mitschnitt des Netzwerkverkehrs zwischen Heimnetz und Internet ist der Router als zentrale Schnittstelle zwischen WAN und (W)LAN am besten geeignet. Jedes Gerät aus dem Heimnetz, das ins Internet möchte, muss dabei über die WAN-Schnittstelle des Routers gehen.

Sofern Sie eine Fritzbox als Router im Heimnetz einsetzen, verwenden Sie deshalb nicht Wireshark zum Mitschneiden, sondern eine nicht dokumentierte Capture-Funktion, die AVM in seinen Fritzbox-Routern integriert hat. Auf diese Weise lässt sich der gesamte Internetverkehr aller Heimnetzgeräte mitschneiden.

Wer keinen Heimnetz-Router mit Capture-Funktion im Einsatz hat, erzeugt die Capture-Datei mit der Capture-Funktion von Wireshark direkt am PC oder Notebook. In diesem Fall können jedoch nur die Datenpakete aufgezeichnet werden, die an den Wireshark-PC adressiert sind oder von diesem versendet werden. Hierzu öffnen Sie Wireshark, wählen ein aktives Netzwerk-Interface aus und klicken auf Start --> Blaue Haifschflosse

Stop und Restart

Capture-Datei mit Fritzbox erzeugen

Um mit einem Fritzbox-Router Datenpakete mitzuschneiden, rufen Sie im Browser die Adresse http://fritz.box/html/capture.html auf. Nachdem Sie Ihre Benutzerkennung eingegeben haben, erscheint eine vom Startmenü abweichende Oberfläche mit der Überschrift Paketmitschnitt. Hier lassen sich nun diverse Mitschnitte in den Bereichen Internet, Netzwerkschnittstellen, WLAN oder gar USB starten.

Um den Datenverkehr zwischen Heimnetz und Internet abzudecken, sollte die Option Routing-Schnittstelle im Bereich Internet gewählt werden. Klicken Sie rechts daneben auf die Start-Schaltfläche. Gleich darauf wählen Sie ein Verzeichnis auf Ihrem Rechner aus, in das die Capture-Datei gespeichert werden soll.

Wichtig: Das Browser-Fenster, von dem aus der Mitschnitt gestartet wurde, sollte für die Dauer des Mitschnitts nicht geschlossen werden. Die Capture-Datei könnte sonst beschädigt werden und lässt sich dann mit Wireshark nicht mehr öffnen.

Live Test Ping

Wenn man einen LiveTest durchführen will, muss Wireshark die Pakete auch Live sehen können. Die kann entweder ein PC mit Wireshark an einem Hub oder Switch mit konfigurierten MirrorPort sein oder der Traffic wird von diesem PC erzeugt.

Zum Testen wurde die Fritzbox angepingt

C:\Users\mkellerer>ping fritz.box

Ping wird ausgeführt für fritz.box [192.168.88.1] mit 32 Bytes Daten:
Antwort von 192.168.88.1: Bytes=32 Zeit=1ms TTL=64
Antwort von 192.168.88.1: Bytes=32 Zeit=2ms TTL=64
Antwort von 192.168.88.1: Bytes=32 Zeit=1ms TTL=64
Antwort von 192.168.88.1: Bytes=32 Zeit=1ms TTL=64

Ping-Statistik für 192.168.88.1:
    Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0
    (0% Verlust),
Ca. Zeitangaben in Millisek.:
    Minimum = 1ms, Maximum = 2ms, Mittelwert = 1ms

Sieht im Wireshark dann so aus:

In der Blau hinterlegten Linie kann man die Sendende MAC und Ziel-MAC-Adresse erkennen.

Im DOS-Fenster kann man unter Windows mit dem Kommando ipconfig /all seine eigene MAC-Adresse herausbekommen.

Ethernet-Adapter Ethernet Docking Station:
   Verbindungsspezifisches DNS-Suffix: fritz.box
   Beschreibung. . . . . . . . . . . : Realtek USB GbE Family Controller
   Physische Adresse . . . . . . . . : 04-0E-3C-BE-CD-FC
   DHCP aktiviert. . . . . . . . . . : Ja
   Autokonfiguration aktiviert . . . : Ja
   IPv4-Adresse  . . . . . . . . . . : 192.168.88.231(Bevorzugt)
   Subnetzmaske  . . . . . . . . . . : 255.255.255.0
   Lease erhalten. . . . . . . . . . : Mittwoch, 3. März 2021 16:12:04
   Lease läuft ab. . . . . . . . . . : Montag, 15. März 2021 07:32:43
   Standardgateway . . . . . . . . . : 192.168.88.1
   DHCP-Server . . . . . . . . . . . : 192.168.88.1
   DNS-Server  . . . . . . . . . . . : 192.168.88.1
   NetBIOS über TCP/IP . . . . . . . : Aktiviert

In der Fritzbox ist die LAN-MAC-Adresse nicht zu finden, aber nach einem PING in der MAC-Adress-Tabelle des Rechner:

C:\Users\mkellerer>arp -a

Schnittstelle: 192.168.88.231 --- 0x1a
  Internetadresse       Physische Adresse     Typ
  192.168.88.1          2c-91-ab-d0-66-bc     dynamisch
  192.168.88.255        ff-ff-ff-ff-ff-ff     statisch

Das in der blauen Zeile HP.... und AVM.... steht liegt daran, das MAC-Adressen nicht willkürlich vergeben werden sondern von einem Gremium verteilt werden.
Jeder Hersteller hat seinen zugewiesenen Block. Kann bei einer Fehlersuche recht hilfreich sein, zu wissen um welche Firma es sich handelt, um dann Rckschlüsse zu ziehen wer das sein kann. Im Internet gibt es Datenbanken in dem man MAC-Adressen eingeben kann und diese geben dann die zugeteilte Firma aus:

https://www.dein-ip-check.de/tools/macfinder

Filter setzen

Wenn man die Aufzeichnung startet, wird ALLES auf dem Interface mitgeschrieben. Das kann unter Umständen recht viel sein !!

Deswegen sollte auf der Festplatte immer genug Platz vorhanden sein. Da können in kürzester Zeit einige Tausend Pakete zusammenkommen.

Um da eine gewisse Ordnung hineinzubekommen, können Filter eingesetzt werden.

z.B Filer auf:

SendeMAC:  eth.src == 00:0d:b9:59:e7:90

SendeIP:  ip.src == 192.168.88.231

und es werden nur noch Pakete mit diesen Kriterien angezeigt.

Beispiel 1:

Zum Testen wurde ein EMailServer aufgesetzt und der Client frägt nun per POP3 Emails ab und sendet per SMTP.

ClientIP: 192.168.1.1   EMailServerIP 192.168.88.20

EMail Senden:

SMTP-POP3 EMail mitschneiden

Zum Testen wurde ein EMailServer aufgesetzt und der Client frägt nun per POP3 Emails ab und sendet per SMTP.

ClientIP: 192.168.1.1   EMailServerIP 192.168.88.20

EMail Senden:

Email Empfangen:

OBACHT: Das Passwort geht unverschlüsselt über die Leitung. --> 262656

HTTP-Traffic Analyse

In this Session there captured an HTTP-Request of an client.

On filter toolbar type “ip.addr == 10.254.1.22”with no quotes and hit [Enter]. That will instruct Wireshark to only display packets to and from that server.

You shall see a long list of entries that represent every single Data Unit exchanged with the server in order to download the page. Scroll all the way up

You will first see three packets listed as “SYN”, “SYN, ACK” and “ACK” under the Info column.

Select the entry that lists “GET / HTTP/1.1” in the Info column.Five entries will appear in the “Packet Details” section including Frame details and Data Link, Network, Transport and Application headers.

Three Way Handshake

Three Way Handshare

On filter toolbar type “ip.addr == 10.254.1.22”with no quotes and hit [Enter]. That will instruct Wireshark to only display packets to and from that server.

You shall see a long list of entries that represent every single Data Unit exchanged with the server in order to download the page. Scroll all the way up

You will first see three packets listed as “SYN”, “SYN, ACK” and “ACK” under the Info column. These 3 Pakets called as 3 Way-Handshare.

Packet Details

Select the entry that lists “GET / HTTP/1.1” in the Info column.Five entries will appear in the “Packet Details” section including Frame details and Data Link, Network, Transport and Application headers.

What protocols are listed in “Frame details”section and what OSI model layers do they belong to?

Data Link header: ________________________________________________________

Network header: _________________________________________________________

Transport header: ________________________________________________________

Application header: ______________________________________________________

--> Click, then expand the “Ethernet II” entry.

What is the length of the header?________________________________________________________________________

What are the values of Destination and Source fields?________________________________________________________________________

What is the Type value (also known as Ethertype)?________________________________________________________________________

--> Click, then expand the “Internet Protocol Version 4” entry.

What is the length of the header?

________________________________________________________________________

What is the protocol version?

________________________________________________________________________

What is the Time to live value?

________________________________________________________________________

ANSWER: TTL is an 8-bit field with an initial value when the packet is created, every time thepacket crosses a layer 3 boundary then TTL is decreased by 1, when it reaches0 the packet gets discarded.

What is the Protocolnumber?

________________________________________________________________________

What does the IP protocol number represent and what is its main purpose of this field?

________________________________________________________________________________________________________________________________________________________________________________________________________________________

Answer: IP protocol number or Protocol for short, is a numeric identification of the upper layer protocol contained in the packet’s payload.The IANA has assigned unique values to each IP protocol, e.g. ICMP is IP protocol 1, TCP is 6, UDP is 17 and GRE is 47.

What are the values of the Destination and Source fields?
________________________________________________________________________

--> Click, then expand the “Transport Control Protocol” entry.

What is the length of the header?
________________________________________________________________________
What are the first two fields?
________________________________________________________________________
________________________________________________________________________
What are they for?
________________________________________________________________________
What is the sequence number for?
________________________________________________________________________

--> Expand “Flags”

Do you know any of them?
________________________________________________________________________
Please do some research and find out what the following flags are for?
Acknowledgement:
________________________________________________________________________
________________________________________________________________________
_________________________________________________________
Reset:
________________________________________________________________________
________________________________________________________________________
___________________________________________________________________
Syn:___________________________________________________________________
_______________________________________________________________________
__________________________________________________________________________
Fin:______________________________________________________________________
__________________________________________________________________________
_____________________________________________________________________

ANSWER: Flagtypes are:
- Acknowledgement: Indicates that the acknowledgement field is significant. All packets after the initial SYN packet sent by the client should have this flag set.
- Reset: Reset the connection.
- Seen on rejected connections.
- Syn: Synchronize the sequence numbers. Seen on new connections.
- Fin: No more data from sender. Seen after a connection is closed.

What is the Window size?
________________________________________________________________________
What is the Window size for?
________________________________________________________________________

ANSWER: The window size field is the number of bytes the sender will buffer for the response. During 3-way handshake both sender and receiver will say how large their receive window is.

--> Expand the “Hypertext Transfer Protocol”entry.

IMPORTANT: In Hyper Transfer Protocol orHTTP’s headerthere are 4 main commands: GET, PUSH, PUT and DELETE. Usually after the 3-way handshake, the first HTTP payload has a GET instruction in order to download the web page.

Session End

After requesting the web page, there will be a lot of packets coming from the server. These are acknowledgedby the client and displayed as the black with red entries(image below), they contain the web page itself. Once the page is fully loaded in the browser there is a FIN segment coming from the client signaling the end of the session. It is followed by similar one from the server, and finally a last ACK is sent by the client

UDP-Traffic Analyse

Now you will look into a UDP header and compare it with the TCP one.

--> Click the restart button then click "Continue without Saving" button. This will clean up the packet capture.

--> Open Tftpd64

--> Click on the "Tftp Client" tab

--> Click the "..." button nrxt to "Local File" field, then select Desktop as destination directory and type CXF.txt as file name.

--> Click Open Button

Back in "Tftp Client" tab, fill out the fields with the following information:

- Host :  10.254.1.22
- Port: 69
- Remote File: CXF.txt

--> Click the GET button. The software will begin a TFTP connection and download the file.

--> Click OK to the transfer confirmation message, then move to Wireshark. You will see a new capture with all packet involed in the transfer

Is there any Thre-way handshake session establishment?

--> Click the first packet (Read Request)

Select and expand the "User Datagram Protocol" entry in the Packet Details section.

VRRP-Beispiel

Virtual Router Redundancy Protocol

Das Virtual Router Redundancy Protocol (VRRP) ist ein Verfahren zur Steigerung der Verfügbarkeit wichtiger Gateways in lokalen Netzen durch redundante Router.

Das VRRP wurde von Ascend Communications, DEC, IBM, Microsoft und Nokia im Jahr 1998 entwickelt. Heute ist es aber auch in den Routern vieler anderer Hersteller wie Alcatel, Cisco oder DrayTek verfügbar. Ziel war es, einen offenen Standard zu etablieren, der sich dem Problem der Ausfallsicherheit von Datenwegen widmet, nämlich der Verfügbarkeit des sogenannten Standardgateways in lokalen Netzen.

Der Router Port mit der IP-Adresse 10.3.11.1 verschickt VRRP-Pakete (sogenannte Multicast Pakete) an das Ziel 224.0.0.18.

Mit der Protokol-Nummer 112.

Und gibt bekannt, das der Virtuelle Router die ID 11 hat und die eigene IP-Adresse 10.3.1.11 ist und die mit der virtuellen VRRP-IP-Adresse 10.3.11.254 erreichbar ist. Im Fehlerfall würde diese IP-Adresse zu dem 2. VRRP-Router springen.

SIP Telefonie abhören

SIP Telefonie abhören

In einem Testaufbau wurden auf einer einfachen Fritzbox ein Capture-File gezogen, über die gerade ein IP-Telefonat mit dem SIP-Protokoll geführt wurde. Dieses Capture File kann mit der Wireshark Software geöffnet.

Nun sieht man im Wireshark alle Pakete in dem Trace-File. Aber ich weis, das in diesem File ein Telefoniegespäch enthalten ist. Nun einfach in der Oberen Menüleiste auf Telefonie --> VoIP Anrufe klicken.

Jetzt erkennt Wireshark ein Telefonat in diesem Capture File.

Dieses Gespräch markieren

und unten mit StreamAbspielen bestätigen. Es öffnet sich ein weiteres Fenster.

Jetzt sieht man 2 Gesprächsteilnehmer ( Sender + Empfänger ) und kann mit PLAY das Gespräch anhören.

Obacht auf welchem Lautsprecher dieses Gespräch ausgegeben wird.

Deswegen immer daran denken, mit welchen einfachen Mitteln ein Telefonat immer noch abgehört werden kann.

Lesenswerte Artikel

- Heise Verlag: App ins Labor!
- Heise Verlag: Fritzbox und DNS-over-TLS: Analyse mit Wireshark
- Heise Verlag: c´t-Raspion Projektseite
- Heise Verlag: Spurensicherung im Netzwerk
- Wiki Ubuntuuser: Gute Wireshark Erklärung

Quellen

- https://www.pc-magazin.de/ratgeber/wireshark-anleitung-deutsch-netzwerk-analysieren-tipps-3051396.html
- https://www.ip-insider.de/erste-schritte-mit-wireshark-a-631469/
- https://de.wikipedia.org/wiki/Wireshark