Windows 仮想マシンの TPM 通信をキャプチャ・改ざんする
An Library to assist in TPM communication capture and tampering - CyberDefenseInstitute/tpmproxy 準備 PC が 1 台必用です。 TPM は無くても構いませんが、あった方が少しだけ楽しみが増えます。 Linux（Ubuntu） をインストール後、Linux 上で仮想マシンに Windows をインストールする流れになりますので、Windows 11 がインストール可能な程度のスペックが必用です。 PC が用意できたら次の作業を行ってください。 BIOS（UEFI）で仮想化機能を有効化 Ubuntu 24.04 インストール Linux 上で仮想マシンが動かせれば何でも構いません（Arch Linux はいいぞ） 本稿では Ubuntu 24.04 のコマンド、パッケージ、パスを前提に手順を解説
続々 WiresharkのDissectorを使った独自プロトコル解析（TCP,UDP分割パケットの場合）
本稿では、初めて実際に独自プロトコルのDissectorを作る人が最初にぶつかるであろう壁を乗り越える方法を紹介します。 Dissectorって何？という人は、先に↓こちらを読んでください。 WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました - DARK MATTER 本稿では、基本的なDissectorの作り方と、Dissectorを活用したパケット解析方法を紹介します。WiresharkのDissectorをご存知でしょうか？DissectorはWireshar ... できるようになること 複数のパケットに分割されたパケットのDissectorの作成 TCPのパケット分割について（いちおう書いておきます） TCPはストリーム型の通信であり、送信サイズや通信環境によりTCPの仕組みでパケットが分割されて送信される場合があります。このため一般に公
Nethor
Nethor is a free packet analyzer and visualization tool for Windows that can capture and decode data packets, and also allows working with multiple open PCAP/PCAPNG files, operated as one, from a modern UI. It visualizes packets on a timeline, displays nodes on a world map and it lets you arrange connections in a matrix. Nethor has many features and details to aid packet/network forensic and analy
LANケーブルをニッパーで切断し５秒でネットワークへ侵入・盗聴できるか実験してみました
サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず
WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました
本稿では、基本的なDissectorの作り方と、Dissectorを活用したパケット解析方法を紹介します。 WiresharkのDissectorをご存知でしょうか？DissectorはWiresharkのプロトコル解析部分で、バイト列を人が理解できる内容に変換し表示してくれます。 Wiresharkを使った事がある方なら、独自プロトコルのバイト列を人が理解できる表示にできないかなぁと思った経験があると思います。 Dissectorを自作しPluginとして追加すると独自プロトコル解析が容易になります。 なぜ今Dissectorを紹介するの？ 技術部の安井です。 長年、制御システムを開発した経験から、現在は制御システムセキュリティを見ています。 現在、世の中の多くのプロトコルに対応したDissectorがWiresharkに搭載されています。しかし、制御システムやIoT機器など独自プロトコ
RAW Socket / BPF(Berkeley Packet Filter)を用いたパケットキャプチャーツールの実装 - c-bata web
パケットキャプチャーツールは、ネットワークを流れるすべてのパケットを受け取り解析します。 NIC(Network Interface Card)のほとんどはプロミスキャスモードとよばれるモードをサポートしており、これを有効にすることでアドレスにかかわらずNICはすべてのパケットをホストに渡します。 ソフトウェアとハードウェアが連携して動作するため、扱っているレイヤーが低く環境によってInterfaceに差異があります。 tcpdumpの開発者によってつくられたlibpcapというライブラリはUNIXのシステムの差異を吸収します。またWindowsにもWinPcapという名前で移植されています。 もしパケットキャプチャーを作る際にはlibpcapを利用することが一般的かと思いますが、今回は勉強も兼ねて Linux と macOS で動作するパケットキャプチャーをlibpcapを使わずに1から
libwireshark のdissector を借りて、バイト列をパケットとしてデコードする - LGTM
Wireshark という強力なプロトコルアナライザーがあります。多くのプロトコルをサポートし、「どんなパケットが流れているか分からないが、プロトコルスタックの深いところまで解析したい」場合には 非常に頼りになります。 この記事では、いくつかのプログラミング言語上のバイト列を libwireshark を使ってパケット解析してみます。 直面している問題 ネットワーク運用のために、sflow をきちんと解析したいと思っています。netflow では、ネットワークの制約により 欲しい統計が取れないことがあるためです。 トラフィック制御のために、Q-in-Q、IPIP、GRE などのトンネルプロトコルの出番が増えた バックボーンを流れるときには、さらにMPLS ラベルやSegment Routing Header がつく このようにプロトコルスタックが深い場合、高価なASICであったとしても ネ
netsh traceと同じようにパケットキャプチャーするプログラムを作った - イグトランスの頭の中
Windowsでパケットキャプチャをするなら、WiresharkとWinPcapの組み合わせが最も一般的だと思います。しかし、Windowsにもパケットキャプチャの機能が標準搭載されています。それはnetsh trace startコマンドです。 Windows 7以降のnetsh traceコマンドでパケットをキャプチャする方法 – Eiji James Yoshidaの記録 ならば、自分のアプリからも使えないものかと思い、netsh trace startがやっていることを調べてみました。同じようにAPIを呼び出せば、同じようにパケットキャプチャできるはずという、至極単純な発想です。 というわけで作ったプログラムがこちらです。 gist: “netsh trace start caputre=yes traceFile=D:\packet.etl”の再現 Windows 8.1とSer
OSC2016 Tokyo/Spring セミナー資料
Open Source conference 2016Tokyo Springでの セキュリティ・キャンプ活動報告の発表資料ですRead less
攻撃／防御双方の視点からサイバーセキュリティを“ディープに“解説した人気連載を無料提供
著名ペンテスターで＠IT人気筆者でもある辻伸弘氏が、攻撃／防御双方の視点を織り交ぜながらセキュリティ関連のテーマについて考察した連載「セキュリティ・ダークナイト」がついにeBook化！ 「CTF体験記」から「Anonymousインタビュー」に至るまで、筆者自身が体当たりで収集した情報と知見を余すことなく紹介します。 他にも、「『Wireshark』のコマンドライン版を使ったログ分析」「ハニーポットの構築」「パスワードクラッキング」など、教科書には載っていないディープなテーマが盛りだくさん。一通り基礎知識は習得しているけれど、「もう一歩先に進みたい」「本物の最前線が知りたい」、そんな皆さまには最適な内容でしょう。 また、普段セキュリティ関連業務には直接携わっていないエンジニアの方や、情報システム部門の皆さまにとっても、きっと参考になるはずです。本eBookが、あなた自身やあなたの会社を脅威か
暗号化された Application Data を復号する - Qiita
暗号化された Application Data を Wireshark で復号するためには 2 つの方法があります。 一つはよく知られている Wireshark に秘密鍵を指定する方法、もう一つは Premaster Secret または Master Secret を指定する方法です。 後者の方法では、鍵交換に DH や ECDH を選択した場合でも復号可能です。 今回は、後者の方法で、WebRTC の data channel の中身を確認してみます。 SSLKEYLOGFILE 環境変数 SSLKEYLOGFILE 環境変数に Premaster Secret や Master Secret, Client Random を出力するファイルを指定した後に、下記のように Firefox を立ち上げます。
:: bettercap
ベッターキャップ！ The Swiss Army knife for WiFi, Bluetooth Low Energy, wireless HID hijacking, CAN-bus and IPv4 and IPv6 networks reconnaissance and MITM attacks. Read the project introduction to get an idea of what bettercap can do for you, install it, RTFM and start hacking all the things!!! Follow @bettercap Star
WiresharkでHTTP/2をパケットキャプチャする - ASnoKaze blog
20190417追記 HTTP/3はこちら「WiresharkでのQUICの復号(decrypt) - ASnoKaze blog」 20151030追記 TLSを利用するHTTP/2では、秘密鍵を設定しても通信を復号することは出来ません。 HTTP/2の鍵交換はPFSなので、下記も参考にして下さい 「Wireshark で HTTP/2 over TLS の通信をダンプする方法」 https://gist.github.com/summerwind/a482dd1f8e9887d26199 この記事は HTTP2 Advent Calendar の 9 日目の投稿です。 初めましてゆきと申します。HTTP/2アドベントカレンダーにはガチ勢しかおらず戦々恐々としております。 アドベントカレンダーネタとしては、Push周りを書こうとしてたのですが先日Push周りの素晴らしい記事が投稿されてし
Tcpreplay - pcap ファイルの書き換えと再送信ユーティリティ
Tcpreplay は、あらかじめキャプチャしたネットワークトラフィックを 書き換えたり再送信したりするためのフリーのオープンソースユーティリティ群です。 もともとは IPS/IDS に対して悪意あるトラフィックパターンを再送信するために 設計されたものですが、Web サーバに再送信する機能など多くの進化を遂げました。 Version 4.0.0 では、スイッチ、ルータ、IP Flow/NetFlow アプライアンスを サポートするための機能やパフォーマンス向上がなされました。 実行例 - 10GigE to IP Flow Appliance: root@pw29:~# tcpreplay -i eth7 -tK --loop 5000 --unique-ip smallFlows.pcap File Cache is enabled Actual: 71305000 packets (
Wiresharkによる無線LAN通信の復号手順メモ – (n)
本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、一切責任を負いかねます。ご了承ください。 ひょんなきっかけで接続されているパスワードが設定されており、暗号化された無線LANを流れる自分以外の通信を復号できるかどうかということの再確認を「Wireshark」を用いて行ったのでそちらの手順のメモです。前提条件として、その無線LANに接続しているユーザはWPA2 Personalで共通のパスワードで接続しているというものです。 また、今回、Wiresharkを動作させているコンピュータはMacOSです。 まず、
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://dripcap.org/
https://isc.sans.edu%2Fdiary%2Fno+wireshark%3F+no+tcpdump%3F+no+problem!%2F19409/