Wireshark + tshark в Kali: докажите, о чем «говорит» ваша сеть | Инструмент 03

Один захват, два результата: SMB "требуется подпись: False" и почтовый сервер, всё ещё работающий на TLS 1.0. Wireshark и tshark на Kali, метод аудита: разрешения, фильтр захвата, который И ЕСТЬ область действия, пять функций, строки подтверждения tshark. Тупик: зашифрованный трафик ничего не показывает, и это проход. Полный курс:    • Full Pentesting Course: 10 Real Audits, Li...   Инструмент недели 03. Моя собственная изолированная лаборатория; компания, её серверы и каждый адрес выдуманы; каждый поток создан на моём собственном Kali. РАЗДЕЛЫ (измерено на CE-T03-FINAL.mp4, 24 окт. 2026 г.) 00:00 Результат и правило 01:19 Область действия, правило, установка 04:44 Захват: фильтр — это область действия 08:06 Отображение фильтров и отслеживание TCP-потока 09:32 Иерархия протоколов, декодирование как, диалоги 11:21 Экспорт объектов и строки доказательств tshark 13:12 Тупик: шифрование — это пароль, версии TLS 14:55 Строки отчета, краткое изложение, проверьте себя ШПАРГАЛКА: каждая команда как набрана (Kali 10.10.10.4, мой собственный лабораторный сегмент) cd ~/engagements/t03-wire && cat notes.md apt install -y wireshark tshark tshark --version | head -1 getcap /usr/bin/dumpcap; ls -l /usr/bin/dumpcap; getent group wireshark setcap cap_net_raw=eip /usr/bin/dumpcap && getcap /usr/bin/dumpcap (recording container only) script -q evidence/t03.log tshark -i eth0 -f "net 10.10.10.0/24 and not arp" -w evidence/t03.pcapng -a duration:300 -q & curl -s ftp://net-01/scans/ timeout 3 nc net-01 23 | tr -cd '[:print:]\n' nmap -sU -p161 --script snmp-sysdescr --script-args snmpcommunity=public,snmp.version=v2c net-01 smbclient -N -L //files-01 AWS_ENDPOINT_URL=http://s3-01:9000 aws s3 ls --no-sign-request curl -s http://php-01/ http://php-01/feed/ http://php-01/wp-json/ ssh-keyscan -t ed25519 net-01 | cut -c1-60 openssl s_client -brief -connect mx-01:25 -starttls smtp | grep -E 'Proto|Cipher' (то же самое, что и -tls1 -cipher DEFAULT:@SECLEVEL=0) kill -INT %1; wait; capinfos evidence/t03.pcapng | grep -E 'packets|duration|SHA256' wireshark evidence/t03.pcapng & tshark -r evidence/t03.pcapng -q --export-objects http,evidence/objects tshark -r evidence/t03.pcapng -Y snmp -T fields -e ip.src -e snmp.version -e snmp.community | sort -u tshark -r evidence/t03.pcapng -Y 'smb2.cmd == 0 && smb2.flags.response == 1' -T fields -e ip.src -e smb2.sec_mode.sign_enabled -e smb2.sec_mode.sign_required tshark -r evidence/t03.pcapng -q -z conv,tcp | head -20 tshark -r evidence/t03.pcapng -Y 'ssh && tcp.srcport == 22' -T fields -e ssh.protocol -e ssh.kex_algorithms tshark -r evidence/t03.pcapng -Y 'tls.handshake.type == 2' -T fields -e tls.handshake.version -e tls.handshake.extensions.supported_version -e tls.handshake.ciphersuite ФЛАГИ: -f что хранится · -Y что вы просматриваете · -a duration:N останавливает себя · -T fields -e только эти поля · -z io,phs / conv,tcp · -d tcp.port==9000,http = Декодировать как. Графический интерфейс никогда не от имени root: usermod -aG wireshark. ФЛАГИ: -f что хранится · -Y что вы просматриваете · -a duration:N останавливает себя · -T fields -e только эти поля · -z io,phs / conv,tcp · -d tcp.port==9000,http = Декодировать как. Графический интерфейс никогда не от имени root: usermod -aG wireshark. Правила: захватывайте только свой сегмент, ограничивайте его и хешируйте. Нечитаемое содержимое — это пропуск; рукопожатие — это аудит. В TLS 1.3 в поле legacy указано 0x0303: читайте supported_version. Wireshark/tshark 4.6 (Kali). Документация: https://www.wireshark.org/docs/man-pa... РЕЗУЛЬТАТЫ (базовая версия CVSS 3.1) T03-01 Подписание SMB не требуется · 4.2 Средний · AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N T03-02 Почтовый сервер принимает TLS 1.0 для STARTTLS · 3.7 Низкий · AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N Обнаружено в сети, оценено в модулях 16 и 19: анонимный FTP, Telnet, SNMP v2c, API хранилища через HTTP. Исправления: обязательное подписание SMB; только TLS 1.2+; SFTP/SSH/SNMPv3; TLS перед API хранилища. ПРОВЕРЬТЕ СЕБЯ (ответы ниже) 1. Какой флаг предотвращает сохранение трафика, выходящего за пределы области видимости? 2. В вашей строке TLS отображается 0x0303 для сервера TLS 1.3. Что вы пропустили? -- 1. -f: фильтр отображения только скрывает; файл все равно будет его содержать. 2. supported_version: поле legacy всегда показывает 1.2. ЛАБОРАТОРНАЯ РАБОТА (только на собственной виртуальной машине): захватите минуту, запустите -z io,phs, переместите один протокол открытого текста в TLS, захватите снова. СЕРИЯ Плейлисты: Инструмент недели, В прямом эфире на Kali · Пентестинг с нуля, В прямом эфире на Kali Предыдущее: CVE 02, RediShell:    • RediShell (CVE-2025-49844): Check Your Red...   Следующее: Модуль 21, аудит безопасности электронной почты:    • Email Security Audit on Kali: SPF, DKIM, D...   ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ Только для образовательных целей. Моя собственная изолированная лаборатория с письменным описанием области применения; все выдумано. Перехват трафика в сетях, которыми вы не владеете или к которым не имеете отношения, без письменн...