Wireshark y tshark
En HTB te encuentras un .pcap con credenciales en claro (HTTP, FTP, LDAP) o necesitas comprobar que tu payload llega (tcpdump con ICMP). tshark hace lo mismo que Wireshark desde la terminal.
- Plataforma
- Linux · Windows · macOS
- Web oficial
- wireshark.org
- En HTB
- 6 máquinas
Instalación
sudo apt install wireshark tshark tcpdumpChuleta de Wireshark y tshark
Capturar
¿Llega mi ping? (confirmar ejecución de comandos)
Atacante
sudo tcpdump -i tun0 icmp
Guardar una captura
sudo tcpdump -i eth0 -w captura.pcapAnalizar un pcap
Conversaciones TCP
tshark -r captura.pcap -q -z conv,tcp
Peticiones HTTP
tshark -r captura.pcap -Y 'http.request' -T fields -e http.host -e http.request.uri
Contraseñas de FTP
tshark -r captura.pcap -Y 'ftp.request.command == "PASS"' -T fields -e ftp.request.arg
Exportar los ficheros transferidos por HTTP
tshark -r captura.pcap --export-objects http,objetos/
Filtro de Wireshark para formularios enviados
http.request.method == "POST"Ningún comando coincide.
Máquinas de HTB donde se usa Wireshark y tshark
Sacadas de los capítulos de los vídeos de IppSec en los que aparece Wireshark y tshark. El enlace ▶ salta al minuto de esa parte.
Guías que usan Wireshark y tshark
- Analizar un PCAP en un CTF con Wireshark y tshark 3 min de lectura Qué mirar primero en una captura de red, cómo sacar contraseñas de FTP, HTTP, LDAP y Kerberos, extraer ficheros y descifrar TLS o WiFi con Wireshark y tshark.