Instructeur :
Dans cette conférence, nous allons parler de l'outil appelé Wireshark.
Wireshark est un analyseur de protocole réseau.
Il n'est pas conçu pour les pirates informatiques
et il n'est pas conçu pour pirater et espionner d'autres personnes sur le réseau.
Il est conçu pour les administrateurs réseau afin qu'ils puissent voir ce
qui se passe sur leur réseau et
s'assurer que tout fonctionne correctement et que personne ne fait
quoi que ce soit de mal ou de suspect sur le réseau.
La façon dont Wireshark fonctionne est qu'il vous permet
de sélectionner une interface, puis d'enregistrer tous les paquets ou tout le trafic
qui transite par cette interface.
Vous sélectionnez donc une interface.
Il peut s'agir d'une
carte sans fil, d'une carte filaire, sur votre ordinateur actuel.
Et puis il commencera à enregistrer toutes les informations qui
transitent par cette interface.
Il dispose également d'une très belle interface graphique qui
permet d'analyser ce trafic.
Cela vous permet donc de filtrer ces
paquets en fonction du protocole qui les utilise comme HTTP, TCP, etc.
Il vous permet également de rechercher certaines choses.
Par exemple, si vous recherchez
des cookies ou
si vous recherchez des publications
ou recevez des demandes, et que cela vous permet également de rechercher
dans ces paquets, vous pouvez rechercher les informations stockées dans
les paquets et trouver les éléments qui vous cherchez.
C'est un très très gros outil
et vous avez besoin d'un cours complet pour cela.
Donc, dans
ce cours, nous allons en fait l'utiliser dans
quelques conférences, couvrant simplement les bases ou les choses qui nous concernent.
Donc, l'idée principale ici est que Wireshark n'est pas un outil de piratage.
Il vous permet uniquement de capturer le trafic qui transite par
votre propre ordinateur, via votre propre interface.
Je vais l'utiliser maintenant,
et ça deviendra plus clair pour toi.
Alors je vais juste aller à Kali
et nous allons commencer Wireshark.
Vous pouvez exécuter Wireshark à partir de l'invite
de commande, ou vous pouvez simplement accéder à toutes les applications et taper
Wireshark, et il apparaîtra ici.
Je vais cliquer dessus et ça va charger le
programme pour moi.
C'est juste l'erreur normale.
Ignorez simplement cette erreur.
Et c'est l'interface principale de Wireshark.
Donc tout
d'abord, vous pouvez simplement aller dans le fichier et aller à l'ouverture.
Et ici,
cela vous permettra d'ouvrir un fichier que vous avez déjà capturé.
Ainsi, par
exemple, si vous capturez les paquets à l'aide d'un autre
renifleur, à l'aide de la flèche du vidage, de l'homme au milieu à gauche
ou de t-shark, qui est la partie invite de commande de Wireshark.
Donc, si vous avez capturé des paquets à l'aide de l'un
de ces programmes et que vous l'avez démarré dans un fichier, vous pouvez
simplement entrer ici, l'ouvrir et commencer à analyser ce fichier.
C'est vraiment pratique car parfois vous ne voulez pas
vraiment analyser le trafic à la volée.
Alors parfois, vous voulez juste le capturer.
Si vous l'êtes, parfois vous capturez à partir d'un petit ordinateur portable
ou de votre capture intelligente à partir de votre téléphone,
et vous n'êtes même pas
à la maison, vous êtes ailleurs en train de faire vos tests d'intrusion,
puis vous rentrez chez vous et vous voulez analyser ce que vous avez capturé.
Ensuite, vous pouvez stocker cela dans un fichier.
Et puis venez ici, allez dans le
fichier, ouvrez et ouvrez le fichier que vous souhaitez analyser.
Donc, ce que je veux vous montrer ici, c'est l'idée que Wireshark n'est pas
un outil de piratage.
Il ne va pas capturer les choses qui
se passent dans un autre appareil.
Il ne capturera que
les éléments qui passent par votre propre interface.
Donc ici, nous pouvons voir que nous avons toutes les interfaces
dans mon ordinateur.
Nous pouvons donc voir que nous avons eth0.
Nous en avons n'importe lequel, et
nous en avons tous les autres dont certains sont
créés par virtual box.
Le principal ici est donc
eth0, qui est l'interface virtuelle connectée à mon réseau NOC.
Et vous pouvez voir qu'il n'y a pas de trafic
à travers cela.
Vous pouvez donc voir que c'est
constant et que rien ne se passe.
Donc ce que je vais faire maintenant, c'est que je vais
juste le rendre un peu plus petit, et je vais ouvrir mon navigateur ici.
Et je vais juste aller sur un site Web normal.
Je vais juste aller sur google. com.
Maintenant, comme vous pouvez le
voir ici, vous pouvez voir que le trafic eth0 augmente.
Il y avait donc du trafic généré via eth0.
Donc, pour
renifler cela, nous pourrons capturer ces paquets qui
ont été envoyés via eth0.
Maintenant, ce que je vais faire, c'est aller sur ma
machine Windows juste pour prouver ce point.
Et je vais parcourir le site ici et vous verrez
que eth0 ne sera pas affecté.
Et le trafic généré sur cette machine Windows, qui se trouve
sur le même réseau que la machine kali, ne sera
pas capturé par la machine kali.
Donc, si je reviens sur Google
ici, vous verrez que rien ne s'est passé dans eth0.
Il n'y a donc pas de trafic qui passe par là.
C'est toujours constant.
Et nous ne pouvons capturer que les paquets qui passent par eth0.
Alors maintenant, vous vous demanderez probablement pourquoi Wireshark est si utile ?
Pourquoi en parle-t-on même ?
Si nous ne pouvons voir que les choses qui passent par notre propre
ordinateur, pourquoi en parlons-nous ?
Eh bien, nous en parlons parce que
nous voyons qu'il existe un grand nombre de
façons de
devenir l'homme du milieu.
Nous avons appris comment faire cela en utilisant l'usurpation d'identité
ARP, et dans les
prochaines conférences, je vais vous montrer
comment le faire en créant un faux point d'accès.
Donc quand on est l'homme du milieu,
si on commence à renifler sur l'interface
qui sert à devenir l'homme du
milieu, on va pouvoir capter tout le trafic généré par
les personnes que l'on cible dans notre
homme en l'attaque du milieu.
Donc, si vous avez démarré le faux point d'accès,
vous pouvez commencer à renifler sur l'interface qui
est diffusée dans le signal et vous pouvez capturer tous
les paquets envoyés ou reçus à toute personne connectée à ce
faux point d'accès.
Si vous êtes devenu l'homme du milieu en utilisant l'usurpation
d'identité ARP, sélectionnez simplement l'interface que vous avez utilisée lorsque vous avez
lancé votre attaque d'usurpation d'identité ARP.
Donc pour l'instant, je vais devenir l'homme du milieu,
en utilisant l'usurpation d'ARP.
Vous pouvez utiliser ARP spoof ou bettercap comme je vous l'ai montré plus tôt, mais je
vais utiliser bettercap en utilisant exactement la même commande que nous
avions l'habitude de faire.
Donc, nous faisons littéralement bettercap suivi de l'interface qui
est connectée à mon réseau
cible, qui est eth0.
Et je lance mon caplet, ce spoof caplet, pour
qu'il configure le module ARP spoof et l'exécute pour que je
me place au milieu de la connexion.
Je vais donc appuyer sur Entrée.
Et comme vous pouvez le voir, cela fonctionne comme prévu.
Donc, en ce moment, je devrais être au milieu de
la connexion, interceptant tout ce que la machine Windows cible envoie
ou reçoit.
Allons maintenant à la machine
Windows et voyons si je fais quelque
chose ici si cela affectera le trafic dans eth0.
Nous verrons donc si Wireshark sera capable de capter le
trafic généré par cet ordinateur.
Alors écrivons n'importe quoi ici.
Je vais juste le chercher sur
Google, ou je vais juste aller sur un autre site Web.
Je vais juste aller sur Bing.
Et si nous revenons ici, vous
verrez que nous avons du trafic généré ici, et
nous pouvons voir que eth0 capture en fait tout ce qui
se passe dans un appareil complètement différent.
Cela se produit parce que lorsque nous sommes l'homme du
milieu, tous les paquets générés par le périphérique Windows sont en
fait redirigés vers mon propre ordinateur ici même
vers le kali.
Et puis Wireshark renifle cela depuis la machine kali, il le
renifle depuis ma propre machine locale.
Ce n'est pas le renifler du réseau.
Il ne le renifle pas depuis l'ordinateur cible.
Encore une fois,
si vous faites cela avec le faux point d'accès
et écoutez simplement sur l'interface que vous diffusez, si vous faites
cela avec un vrai réseau sans fil, si vous êtes connecté à
votre réseau sans
fil domestique en utilisant la terre zéro, alors
vous pouvez simplement le faire avec la terre zéro.
Mais avec l'usurpation
d'identité ARP, vous devez d'abord rediriger
le trafic, puis vous pouvez utiliser Wireshark.
Maintenant, c'est juste pour vous montrer ce qu'est Wireshark et
comment cela fonctionne.
Et je voulais juste souligner l'idée que Wireshark n'est
pas un
outil de piratage, c'est seulement un programme qui vous permet
d'enregistrer les paquets circulant à
travers une certaine interface, puis d'analyser ces paquets.
Donc, dans la
prochaine vidéo, nous verrons comment nous
pouvons renifler et analyser des paquets à l'aide de Wireshark.