Newsgroup: it.comp.sicurezza.varie
Titolo: Wireshark e sniffing http password

Salve,
 
sto facendo dei test su un server web in http che purtroppo mi sono 
ritrovato in casa ed a breve vedrò di rottamare per fortuna non ci gira 
nulla di serio ma intanto volevo approfittare per fare dei test con 
Wireshark per sniffare le credenziali essendo appunto in plain text.
 
Ho avviato Wireshark dal mio laptop collegato ad un hotspot wifi ed ho 
fatto provare a far inserire le credenziali di login ad un collega su 
un'altra rete (lan collegata alla dmz dove sta il server in questione) 
ma, forse ho sniffato poco, non sono riuscito ad intercettare nulla.
 
Ho provato dal mio laptop, sempre da un hotspot wifi esterno, a digitare 
il sito in questione inserendo le credenziali e lasciando sempre 
Wireshark aperto ed in pochi secondi le stesse sono apparse!
 
Mi rimane da provare con due laptop collegati a due hotspot diversi 
entrambi fuori dall'influenza della lan e della dmz per capire se da uno 
si riesca ad intercettare il traffico che l'altro fa verso il server remoto.
 
Nella sezione filter di Wireshark puoi usare l'opzione con cui sniffi il 
traffico verso un determinato ip, il traffico che genera un determinato 
ip o entrambi, non vedo altre strade, ultima strada da percorrere tcpdump.
 
Saluti.
^Bart

 tcpdump.
 
La strada di studiare le basi del TCP/IP non la prendi proprio in 
considerazione, vedo.
 

 considerazione, vedo.
 
Non è solo questione di basi, ma anche di come funziona fisicamente una
rete, se si è su una rete switched (credo nessuno usi più gli HUB), per
poter intercettare il traffico è necessario configurare una porta
mirror sullo switch di interesse (o sul centro stella) altrimenti si
sniffano soltanto i broadcast/multicast
 
 

 Però prima passa per i newsugruppi... :-(
 
Ma magari.
 
Leggo dai suoi messaggi che, a suo dire, amministra il firewall 
perimetrale, pfsense, VPN site to site di diversi stabilimenti, etc...
 
Ecco, se questo è vero (e non voglio mettere in dubbio la sua parola) è 
molto grave che abbia falle così enormi. Capisco un utente qualsiasi, ma 
uno che amministra un firewall aziendale non può chiedersi (e chiedere in 
giro) perché non intercetta i pacchetti fra la LAN e la DMZ collegandosi 
ad un hotspot esterno. Semplicemente non può. Vuol dire che fa le cose 
meccanicamente senza sapere NULLA di quello che fa, in un ambito delicato 
come la cybersecurity.
 
Mi spiace per lui ma queste cose vanno dette.
 

 soltanto i broadcast/multicast
 
Si ma se fosse che lui stia provando da una porta diversa di uno switch 
managed sarebbe già più comprensibile. Invece sta provando, a suo dire, da 
un hotspot esterno, quindi da internet. 
 

 considerazione, vedo.
 
Chiedo venia, anche questo è corretto, di sicuro ho numerosi gap da 
colmare ed il tempo libero a mia disposizione purtroppo è quello che è 
ma questa ovviamente non vuol essere una scusante ma semplicemente un 
modo per ricordarmi di gestire meglio le attività.
 
Saluti.
^Bart
 

 Ho avviato Wireshark dal mio laptop collegato ad un hotspot wifi
 
Non è il modo, se devi sniffare il traffico da/verso quel server ti
devi collegare allo stesso tronco di rete al quale è connesso il
server, ad esempio, se hai uno switch managed al quale è collegato quel
server, configuri una porta "mirror" che veda tutto il traffico
da/verso la porta alla quale è connesso il server, connetti il laptop
alla porta "mirror" e poi fai partire wireshark
 
 

 alla porta "mirror" e poi fai partire wireshark
 
Una nota, di norma in una rete Windows con AD, gestita un modo serio e
non da "cantinari" è buona norma impostare, tra le altre GPO anche
quella che impedisce che gli utenti possano configurare una scheda di
rete in modalità promiscua, in teoria in una rete "switched" la cosa
non dovrebbe essere necessaria, ma in pratica è comunque una buona cosa
da fare
 

 altrimenti si sniffano soltanto i broadcast/multicast
 
e tra l'altro bastava SEMPLICEMENTE LEGGERE
 
https://wiki.wireshark.org/CaptureSetup/Ethernet#capture-using-a-monitor-mode-of-the-switch
 
 
ma evidentemente qualcuno qui pensa che il tempo che gli altri dedicano
a rispondergli non abbia valore mentre il suo ne ha, e la cosa inizia a
diventare fastidiosa, uomo avvisato...
 

 colmare ed il tempo libero a mia disposizione purtroppo è quello 
 
Ascolta non è che devi chiedere venia o giustificarti con me. Se per 
lavoro ti occupi di networking e sicurezza sono altri quelli a cui devi 
rendere conto dei gap da colmare.
Io al massimo ti dico che questa è una bomba che prima o poi scoppia nelle 
mani di qualcuno, tua o della tua azienda. 

 colmare ed il tempo libero a mia disposizione purtroppo 
 
TEMPO LIBERO ?
 
L'aggiornarsi, studiare e capire è PARTE INTEGRANTE del lavoro in campo
informatico, si tratta anzi di un INVESTIMENTO, non di qualcosa da fare
nel "tempo libero" ... o pensi che chi ti risponde qui sia gente con un
mucchio di tempo libero e/o che certe cose le hai imparate alla "Scuola
Radio Elettra" ?
 
Hai veramente toccato il fondo, ed il brutto è che stai continuando a
scavare...
 
 

 Radio Elettra" ?
 
Mah io voglio pensare che abbia dei senior sopra che lo controllano e che 
non abbia in gestione autonoma tutto quello che dice di avere. Altrimenti 
non si spiega. Non voglio pensare ci siano aziende che danno in mano 
networking e sicurezza a persone che mancano delle nozioni base e non 
sanno documentarsi nei posti giusti. 
Va bene gli smanettoni ma che ci sia comunque chi li tiene a bada e non 
gli faccia prendere decisioni. 

 che per sempre a suo scrivere non è che ne "capisca tanto".
 
Se il core business non è l'IT è normale che il titolare ne capisca meno 
di zero. Per quello dovrebbe scegliere un IT manager che sia tale con le 
dovute credenziali.
 
Seguo un po' quello che scrive su it.comp.linux.iniziare e a parte che 
pone quasi sempre argomenti completamente OT ma si tratta di progetti che 
dalle domande che fa dubito fortemente ne porti in fondo uno. Quindi o lo 
paga un tozzo di pane e gli va bene così altrimenti pur non capendoci 
nulla dovrebbe rendersi conto che non concretizza. 
 

 hai imparate alla "Scuola Radio Elettra" ?
 
 
Già che ci sono non è che mi consigliereste qualcosa su
questi problemi e che tratti anche nomenclatura,
configurazioni, eccetera? Non so come approcciare questa
materia perché ho un testo sulle reti ma è molto astratto,
mentre penso che la parte pratica si possa fare solo sui
manuali dei dispositivi desumendo tutte le possibilità di
collegamento e i problemi connessi a ciascuna.
 
Ma forse c'è una via di mezzo, magari coperta da 2-3 testi
o altro materiale. Anche i libri di cybersecurity che mi
capita di vedere (ma sono sfogliabili sono in piccola
parte) mi sembrano molto lontani dalle applicazioni.
 
Capisco che serve esperienza sul campo e tanto impegno, ma
forse un'infarinatura riesco ad averla.
 
grazie :)
 
Apx.
 
 

 applicazioni.
 
Per uno che vuole approcciare il tema per passione non ci sono IMHO strade 
migliori dell'hacking. Che non significa (ricordo) darsi alla malavita ma 
prendere un qualcosa e cercare di vedere come funziona fino ad arrivare a 
capire come potrebbe essere rotto.
 
Cioè non è sbagliato di per se fare lo "smanettone", è sbagliato quando da 
smanettone ti vendi come professionista.

 professionista.
 
 
 
Grazie a tutti per i contributi e i suggerimenti. Penso
che appena potrò prenderò quel micro PC (pi qualcosa)
che ha due porte LAN e ci metterò sopra openwrt,
se mai non riuscirò a imparare molto almeno avrò
un firewall come si deve.