أدوات الأمان مفتوحة المصدر
Wireshark: قراءة الحزم مثل المحترفين
يأخذ Wireshark ملف التقاط ويجعل الشبكة مقروءة: يتم تشريح كل بروتوكول، وكل تدفق يمكن متابعته، وكل مرشح هو سؤال يمكنك طرحه على ملايين الحزم. في عمليات الارتباط، يكون هذا هو الجانب التحليلي من عمل الحزم - قم بالتقاطه باستخدام tcpdump على الخادم، ثم افتح الملف في Wireshark حيث تقوم واجهة المستخدم الرسومية بالقراءة الفعلية. المهارة ليست النقر. إنها معرفة السؤال الذي يجب طرحه بعد ذلك، بدءًا من إعادة بناء الدفق وحتى فك تشفير TLS عندما تسمح قواعد المشاركة باستخراج الأسرار.
النقاط الرئيسية
- تعلم لغتي التصفية واحتفظ بهما بشكل مستقيم: مرشحات الالتقاط هي BPF (المضيف 10.0.0.5 والمنفذ 443)، ويتم تشغيل مرشحات العرض بعد الالتقاط (http.request.method == 'POST').
- يعد Follow Stream (النقر بزر الماوس الأيمن على أي حزمة TCP) هو العمود الفقري: فهو يحول ألف حزمة إلى محادثة واحدة مهمة.
- الإحصائيات أولاً، والحزم ثانيًا: يخبرك التسلسل الهرمي للبروتوكول والمحادثات على الفور بما يحتويه الالتقاط بالفعل.
- معلومات الخبراء هي مسار الفرز - تظهر عمليات إعادة الإرسال والإطارات المشوهة والأعلام المشبوهة أخطاء قد تستغرق القراءة اليدوية ساعة للعثور عليها.
- قم بفك تشفير TLS بالطريقة المشروعة: عندما تسمح المشاركة بذلك، قم بتحميل ملفات سجل مفتاح TLS أو الأسرار المستخرجة وتتوقف المصافحة عن كونها جدارًا من النص المشفر.
- لا تلتقط على خادم إنتاج باستخدام Wireshark: التقط هناك باستخدام tcpdump -w، وقم بالتحليل في وضع عدم الاتصال؛ لا تنتمي واجهة المستخدم الرسومية ومكدس التشريح المتعطش للذاكرة إلى مضيف أعمال.
- يتم التقاط الاسم لكل مرحلة (nmap-recon.pcapng، auth-test.pcapng) وتجزئتها؛ إن اكتشاف التقرير الذي لا يمكن أن يشير إلى ملفه الأولي هو إشاعة.
- الوضع المختلط يعني قراءة حركة المرور التي لا تخصك: على الشبكات المشتركة وشبكات Wi-Fi، يعد التقاط بيانات الآخرين دون إذن بمثابة خط خصوصية وقانوني، وليس آدابًا.
ملاحظة ميدانية
قام Follow Stream بحفظ اجتماع توجيه أصابع الاتهام لمدة أربع ساعات مرة واحدة من خلال إظهار أن "مشكلة التطبيق" كانت عبارة عن حلقة إعادة توجيه HTTP واحدة. أفتح الإحصائيات أولاً الآن بدافع من رد الفعل - كانت الإجابة موجودة في التسلسل الهرمي للبروتوكول طوال الوقت.
أسئلة شائعة
Wireshark أو tcpdump — ما الذي تستخدمه بالفعل؟
كلاهما، مقسمان حسب الموقع: يلتقط tcpdump على الخادم لأنه موجود بالفعل ولا يكلف شيئًا، ويحلل Wireshark على محطة العمل حيث يحصل المشرحون على مكانهم.
هل يمكنه قراءة حركة المرور المشفرة؟
فقط باستخدام مفاتيح من مكان شرعي: سجلات مفتاح TLS من نقطة نهاية تم تكوينها أو الأسرار المستخرجة بموجب قواعد المشاركة؛ بدون مفاتيح يظهر مجموعات وأحجام التشفير، وليس المحتويات.
هل بناء جملة مرشح العرض صعب؟
لها منحنى تعليمي ولكنها لغة استعلام تستحق التعلم؛ أسبوع من كتابة المرشحات مقابل اللقطات المعملية يجعل معظم عمليات التصفية اليومية تلقائية.
ما هو الفلتر الأول الذي يتعلمه معظم المحترفين؟
ليس مرشحًا واحدًا بل عادة: قم بالتصفية إلى المضيف والبروتوكول الذي يهمك، ثم اتبع البث، لأن الإجابة عادةً ما تكون في محادثة واحدة.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
باختصار: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. سلّمها إلى خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا وهي مغطاة: تقييم سليم وتنفيذ نظيف ومراقبة على مدار الساعة.