Wireshark e sniffing http password

[^Bart]

Salve,

sto facendo dei test su un server web in http che purtroppo mi sono
ritrovato in casa ed a breve vedrò di rottamare per fortuna non ci gira
nulla di serio ma intanto volevo approfittare per fare dei test con
Wireshark per sniffare le credenziali essendo appunto in plain text.

Ho avviato Wireshark dal mio laptop collegato ad un hotspot wifi ed ho
fatto provare a far inserire le credenziali di login ad un collega su
un'altra rete (lan collegata alla dmz dove sta il server in questione)
ma, forse ho sniffato poco, non sono riuscito ad intercettare nulla.

Ho provato dal mio laptop, sempre da un hotspot wifi esterno, a digitare
il sito in questione inserendo le credenziali e lasciando sempre
Wireshark aperto ed in pochi secondi le stesse sono apparse!

Mi rimane da provare con due laptop collegati a due hotspot diversi
entrambi fuori dall'influenza della lan e della dmz per capire se da uno
si riesca ad intercettare il traffico che l'altro fa verso il server remoto.

Nella sezione filter di Wireshark puoi usare l'opzione con cui sniffi il
traffico verso un determinato ip, il traffico che genera un determinato
ip o entrambi, non vedo altre strade, ultima strada da percorrere tcpdump.

Saluti.
^Bart

[sm]

Il Thu, 24 Aug 2023 19:09:59 +0200, ^Bart ha scritto:

> Salve,
>
> sto facendo dei test su un server web in http che purtroppo mi sono
> ritrovato in casa ed a breve vedrò di rottamare per fortuna non ci gira
> nulla di serio ma intanto volevo approfittare per fare dei test con
> Wireshark per sniffare le credenziali essendo appunto in plain text.
>
> Ho avviato Wireshark dal mio laptop collegato ad un hotspot wifi ed ho
> fatto provare a far inserire le credenziali di login ad un collega su
> un'altra rete (lan collegata alla dmz dove sta il server in questione)
> ma, forse ho sniffato poco, non sono riuscito ad intercettare nulla.
>
> Ho provato dal mio laptop, sempre da un hotspot wifi esterno, a digitare
> il sito in questione inserendo le credenziali e lasciando sempre
> Wireshark aperto ed in pochi secondi le stesse sono apparse!
>
> Mi rimane da provare con due laptop collegati a due hotspot diversi
> entrambi fuori dall'influenza della lan e della dmz per capire se da uno
> si riesca ad intercettare il traffico che l'altro fa verso il server
> remoto.

Si ma le basi.

Se vuoi sniffare i pacchetti devi metterti dove questi pacchetti passano,
mica in dei posti a caso. Come se volessi intercettare le macchine che
vanno da Firenze a Roma e tu ti apposti a Modena, speri di riuscici?

> Nella sezione filter di Wireshark puoi usare l'opzione con cui sniffi il
> traffico verso un determinato ip, il traffico che genera un determinato
> ip o entrambi, non vedo altre strade, ultima strada da percorrere
> tcpdump.

La strada di studiare le basi del TCP/IP non la prendi proprio in
considerazione, vedo.

[ObiWan]

:: On Thu, 24 Aug 2023 18:39:22 -0000 (UTC)
:: (it.comp.sicurezza.varie)
:: <pan$220b8$9154fb27$8fe6caac$dd72...@carotone.net>

:: sm <caro...@test.net> wrote:

> La strada di studiare le basi del TCP/IP non la prendi proprio in
> considerazione, vedo.

Non è solo questione di basi, ma anche di come funziona fisicamente una
rete, se si è su una rete switched (credo nessuno usi più gli HUB), per
poter intercettare il traffico è necessario configurare una porta
mirror sullo switch di interesse (o sul centro stella) altrimenti si
sniffano soltanto i broadcast/multicast

[sm]

Il Fri, 25 Aug 2023 01:28:14 -0000 (UTC), Allen ha scritto:

> sm <caro...@test.net> wrote in news:pan$220b8$9154fb27$8fe6caac
> $dd72...@carotone.net:

>
>> La strada di studiare le basi del TCP/IP non la prendi proprio in
>> considerazione, vedo.
>

> Ad un responsabile inforNatico di grossa azienda come lui mica serve.
> Convoca 4 o 5 fornitori, si fa fare un preventivo e chiede a loro.
>
> Però prima passa per i newsugruppi... :-(

Ma magari.

Leggo dai suoi messaggi che, a suo dire, amministra il firewall
perimetrale, pfsense, VPN site to site di diversi stabilimenti, etc...

Ecco, se questo è vero (e non voglio mettere in dubbio la sua parola) è
molto grave che abbia falle così enormi. Capisco un utente qualsiasi, ma
uno che amministra un firewall aziendale non può chiedersi (e chiedere in
giro) perché non intercetta i pacchetti fra la LAN e la DMZ collegandosi
ad un hotspot esterno. Semplicemente non può. Vuol dire che fa le cose
meccanicamente senza sapere NULLA di quello che fa, in un ambito delicato
come la cybersecurity.

Mi spiace per lui ma queste cose vanno dette.

[sm]

Il Fri, 25 Aug 2023 09:15:42 +0200, ObiWan ha scritto:


>> La strada di studiare le basi del TCP/IP non la prendi proprio in
>> considerazione, vedo.
>
> Non è solo questione di basi, ma anche di come funziona fisicamente una
> rete, se si è su una rete switched (credo nessuno usi più gli HUB), per
> poter intercettare il traffico è necessario configurare una porta mirror
> sullo switch di interesse (o sul centro stella) altrimenti si sniffano
> soltanto i broadcast/multicast

Si ma se fosse che lui stia provando da una porta diversa di uno switch
managed sarebbe già più comprensibile. Invece sta provando, a suo dire, da
un hotspot esterno, quindi da internet.

[^Bart]

> Se vuoi sniffare i pacchetti devi metterti dove questi pacchetti passano,
> mica in dei posti a caso. Come se volessi intercettare le macchine che
> vanno da Firenze a Roma e tu ti apposti a Modena, speri di riuscici?

Corretto.

> La strada di studiare le basi del TCP/IP non la prendi proprio in
> considerazione, vedo.

Chiedo venia, anche questo è corretto, di sicuro ho numerosi gap da
colmare ed il tempo libero a mia disposizione purtroppo è quello che è
ma questa ovviamente non vuol essere una scusante ma semplicemente un
modo per ricordarmi di gestire meglio le attività.

Saluti.
^Bart

[ObiWan]

:: On Thu, 24 Aug 2023 19:09:59 +0200
:: (it.comp.sicurezza.varie)
:: <uc82t9$3i4rt$1...@dont-email.me>

:: ^Bart <gabriel...@hotmail.com> wrote:

> sto facendo dei test su un server web in http che purtroppo mi sono
> ritrovato in casa ed a breve vedrò di rottamare per fortuna non ci
> gira nulla di serio ma intanto volevo approfittare per fare dei test
> con Wireshark per sniffare le credenziali essendo appunto in plain
> text.

ok

> Ho avviato Wireshark dal mio laptop collegato ad un hotspot wifi

Non è il modo, se devi sniffare il traffico da/verso quel server ti
devi collegare allo stesso tronco di rete al quale è connesso il
server, ad esempio, se hai uno switch managed al quale è collegato quel
server, configuri una porta "mirror" che veda tutto il traffico
da/verso la porta alla quale è connesso il server, connetti il laptop
alla porta "mirror" e poi fai partire wireshark

[ObiWan]

:: On Fri, 25 Aug 2023 10:10:52 +0200
:: (it.comp.sicurezza.varie)
:: <20230825101...@mvps.org>

:: ObiWan <obi...@mvps.org> wrote:

> Non è il modo, se devi sniffare il traffico da/verso quel server ti
> devi collegare allo stesso tronco di rete al quale è connesso il
> server, ad esempio, se hai uno switch managed al quale è collegato
> quel server, configuri una porta "mirror" che veda tutto il traffico
> da/verso la porta alla quale è connesso il server, connetti il laptop
> alla porta "mirror" e poi fai partire wireshark

Una nota, di norma in una rete Windows con AD, gestita un modo serio e
non da "cantinari" è buona norma impostare, tra le altre GPO anche
quella che impedisce che gli utenti possano configurare una scheda di
rete in modalità promiscua, in teoria in una rete "switched" la cosa
non dovrebbe essere necessaria, ma in pratica è comunque una buona cosa
da fare

[ObiWan]

:: On Fri, 25 Aug 2023 09:15:42 +0200
:: (it.comp.sicurezza.varie)
:: <20230825091...@mvps.org>

:: ObiWan <obi...@mvps.org> wrote:

> Non è solo questione di basi, ma anche di come funziona fisicamente
> una rete, se si è su una rete switched (credo nessuno usi più gli
> HUB), per poter intercettare il traffico è necessario configurare una
> porta mirror sullo switch di interesse (o sul centro stella)
> altrimenti si sniffano soltanto i broadcast/multicast

e tra l'altro bastava SEMPLICEMENTE LEGGERE

https://wiki.wireshark.org/CaptureSetup/Ethernet#capture-using-a-monitor-mode-of-the-switch

ma evidentemente qualcuno qui pensa che il tempo che gli altri dedicano
a rispondergli non abbia valore mentre il suo ne ha, e la cosa inizia a
diventare fastidiosa, uomo avvisato...

[sm]

Il Fri, 25 Aug 2023 09:58:05 +0200, ^Bart ha scritto:


> Chiedo venia, anche questo è corretto, di sicuro ho numerosi gap da
> colmare ed il tempo libero a mia disposizione purtroppo è quello

Ascolta non è che devi chiedere venia o giustificarti con me. Se per
lavoro ti occupi di networking e sicurezza sono altri quelli a cui devi
rendere conto dei gap da colmare.
Io al massimo ti dico che questa è una bomba che prima o poi scoppia nelle
mani di qualcuno, tua o della tua azienda.

[ObiWan]

:: On Fri, 25 Aug 2023 09:58:05 +0200
:: (it.comp.sicurezza.varie)
:: <uc9mtk$3ub64$1...@dont-email.me>

:: ^Bart <gabriel...@hotmail.com> wrote:

> Chiedo venia, anche questo è corretto, di sicuro ho numerosi gap da
> colmare ed il tempo libero a mia disposizione purtroppo

TEMPO LIBERO ?

L'aggiornarsi, studiare e capire è PARTE INTEGRANTE del lavoro in campo
informatico, si tratta anzi di un INVESTIMENTO, non di qualcosa da fare
nel "tempo libero" ... o pensi che chi ti risponde qui sia gente con un
mucchio di tempo libero e/o che certe cose le hai imparate alla "Scuola
Radio Elettra" ?

Hai veramente toccato il fondo, ed il brutto è che stai continuando a
scavare...

[sm]

Il Fri, 25 Aug 2023 16:30:17 +0200, ObiWan ha scritto:


>> Chiedo venia, anche questo è corretto, di sicuro ho numerosi gap da
>> colmare ed il tempo libero a mia disposizione purtroppo
>
> TEMPO LIBERO ?
>
> L'aggiornarsi, studiare e capire è PARTE INTEGRANTE del lavoro in campo
> informatico, si tratta anzi di un INVESTIMENTO, non di qualcosa da fare
> nel "tempo libero" ... o pensi che chi ti risponde qui sia gente con un
> mucchio di tempo libero e/o che certe cose le hai imparate alla "Scuola
> Radio Elettra" ?

Mah io voglio pensare che abbia dei senior sopra che lo controllano e che
non abbia in gestione autonoma tutto quello che dice di avere. Altrimenti
non si spiega. Non voglio pensare ci siano aziende che danno in mano
networking e sicurezza a persone che mancano delle nozioni base e non
sanno documentarsi nei posti giusti.
Va bene gli smanettoni ma che ci sia comunque chi li tiene a bada e non
gli faccia prendere decisioni.

[sm]

Il Sat, 26 Aug 2023 00:58:44 -0000 (UTC), Allen ha scritto:

> sm <caro...@test.net> wrote in news:pan$344c2$62280d11$858e1bcf
> $e023...@carotone.net:

>
>> Mah io voglio pensare che abbia dei senior sopra che lo controllano e
>> che non abbia in gestione autonoma tutto quello che dice di avere.
>

> Purtroppo per sua ammissione, l'unica persona sopra di lui è il titolare
> che per sempre a suo scrivere non è che ne "capisca tanto".

Se il core business non è l'IT è normale che il titolare ne capisca meno
di zero. Per quello dovrebbe scegliere un IT manager che sia tale con le
dovute credenziali.

Seguo un po' quello che scrive su it.comp.linux.iniziare e a parte che
pone quasi sempre argomenti completamente OT ma si tratta di progetti che
dalle domande che fa dubito fortemente ne porti in fondo uno. Quindi o lo
paga un tozzo di pane e gli va bene così altrimenti pur non capendoci
nulla dovrebbe rendersi conto che non concretizza.

[Archaeopteryx]

> L'aggiornarsi, studiare e capire è PARTE INTEGRANTE del
> lavoro in campo informatico, si tratta anzi di un
> INVESTIMENTO, non di qualcosa da fare nel "tempo
> libero" ... o pensi che chi ti risponde qui sia gente
> con un mucchio di tempo libero e/o che certe cose le
> hai imparate alla "Scuola Radio Elettra" ?

Già che ci sono non è che mi consigliereste qualcosa su
questi problemi e che tratti anche nomenclatura,
configurazioni, eccetera? Non so come approcciare questa
materia perché ho un testo sulle reti ma è molto astratto,
mentre penso che la parte pratica si possa fare solo sui
manuali dei dispositivi desumendo tutte le possibilità di
collegamento e i problemi connessi a ciascuna.

Ma forse c'è una via di mezzo, magari coperta da 2-3 testi
o altro materiale. Anche i libri di cybersecurity che mi
capita di vedere (ma sono sfogliabili sono in piccola
parte) mi sembrano molto lontani dalle applicazioni.

Capisco che serve esperienza sul campo e tanto impegno, ma
forse un'infarinatura riesco ad averla.

grazie :)

Apx.

[sm]

Il Sat, 26 Aug 2023 11:39:13 +0200, Archaeopteryx ha scritto:

>> L'aggiornarsi, studiare e capire è PARTE INTEGRANTE del lavoro in campo
>> informatico, si tratta anzi di un INVESTIMENTO, non di qualcosa da fare
>> nel "tempo libero" ... o pensi che chi ti risponde qui sia gente con un
>> mucchio di tempo libero e/o che certe cose le hai imparate alla "Scuola
>> Radio Elettra" ?
>
>
> Già che ci sono non è che mi consigliereste qualcosa su questi problemi
> e che tratti anche nomenclatura, configurazioni, eccetera? Non so come
> approcciare questa materia perché ho un testo sulle reti ma è molto
> astratto,
> mentre penso che la parte pratica si possa fare solo sui manuali dei
> dispositivi desumendo tutte le possibilità di collegamento e i problemi
> connessi a ciascuna.

A livello amatoriale la pratica puoi farla anche su roba non enterprise,
più accessibile e sotto certi versi anche didatticamente più interessante.
Magari da amatore non ti interessa imparare a configurare un Cisco ASA
bensì seguire più un percorso di hacking (nel proprio senso della parola).

Un mini pc con due porte Ethernet su cui installare OpenWRT può già essere
un buon laboratorio.

> Ma forse c'è una via di mezzo, magari coperta da 2-3 testi o altro
> materiale. Anche i libri di cybersecurity che mi capita di vedere (ma
> sono sfogliabili sono in piccola parte) mi sembrano molto lontani dalle
> applicazioni.

Per uno che vuole approcciare il tema per passione non ci sono IMHO strade
migliori dell'hacking. Che non significa (ricordo) darsi alla malavita ma
prendere un qualcosa e cercare di vedere come funziona fino ad arrivare a
capire come potrebbe essere rotto.

Cioè non è sbagliato di per se fare lo "smanettone", è sbagliato quando da
smanettone ti vendi come professionista.

[Archaeopteryx]

> Per uno che vuole approcciare il tema per passione non
> ci sono IMHO strade migliori dell'hacking. Che non
> significa (ricordo) darsi alla malavita ma prendere un
> qualcosa e cercare di vedere come funziona fino ad
> arrivare a capire come potrebbe essere rotto.
>
> Cioè non è sbagliato di per se fare lo "smanettone", è
> sbagliato quando da smanettone ti vendi come
> professionista.

Grazie a tutti per i contributi e i suggerimenti. Penso
che appena potrò prenderò quel micro PC (pi qualcosa)
che ha due porte LAN e ci metterò sopra openwrt,
se mai non riuscirò a imparare molto almeno avrò
un firewall come si deve.