iT邦幫忙

2018 iT 邦幫忙鐵人賽
DAY 17
2
Security

鯊魚咬電纜:30天玩Wireshark系列 第 20

[Day 17] 解解題 Puzzle #4: The Curious Mr. X

繼續下一題吧!今天要介紹的題組中,主角終於不是Ann了,而是另一位Mr. X,今天就來介紹如何用Wireshark來解出第四個題組「Puzzle #4: The Curious Mr. X」(網址:http://forensicscontest.com/2010/02/03/puzzle-4-the-curious-mr-x ),一樣的,請先至該題網址中觀看詳細故事前提,並且把pcap檔下載下來。

今天會用到比較多TCP三向交握的觀念,如果不熟悉的可以先翻開課本或問Google大神複習一下,對於解今天的題目會比較有幫助喔~

第一題:What was the IP address of Mr. X’s scanner?
這一題可以使用到跟昨天介紹過的統計工具,也就是用找端點的方式來找到答案,所以就點選功能列的Statistics>Endpoint,而因為Mr.X的IP就是會跟其他設備都有接觸的IP,所以可以推斷封包數量最多的就是答案要的IP,所以直接找Packets數量最多的,也就是10.42.42.253這個IP。

https://ithelp.ithome.com.tw/upload/images/20180105/201073048q4nFHV0Mf.png

第二題:For the FIRST port scan that Mr. X conducted, what type of port scan was it? (Note: the scan consisted of many thousands of packets.) Pick one:
觀察封包,發現Mr.X一直送出[SYN]的封包,目標設備也持續回傳[RST, ACK]或[SYN/ACK]的封包,而根據封包的flag,可以看出他們是TCP封包,所以這一題答案就是TCP Connect。

第三題:What were the IP addresses of the targets Mr. X discovered?
由第一題的答案我們知道Mr.X的IP是10.42.42.253,因此只要跟這個IP有互動的IP都是這題的答案,這時我們可以用Wireshark的另一個工具,也就是功能列的Statistics>Conversations來解這題,直接也曾經介紹過這個功能,它會把有交談過的設備資訊列出來,所以我們選擇IPv4的頁籤,並且把Address B進行排序,就可以很清楚的看到跟10.42.42.253有過交談的IP有哪些,也就可以得到這題的解答 10.42.42.25、10.42.42.50及10.42.42.56。

https://ithelp.ithome.com.tw/upload/images/20180105/201073048X4zMNgeKN.png

第四題:What was the MAC address of the Apple system he found?
這一題昨天也有類似的題目,一樣使用Statistic>Endpoints,在Ethernet頁籤勾選畫面下方Name Resolution,找到Apple_92的機器是哪一台,再把Name Resolution取消勾選,就可以找到他對應的MAC Address就是00:16:cb:92:6e:dc。

https://ithelp.ithome.com.tw/upload/images/20180105/20107304MMkqNCgGhW.png

第五題:What was the IP address of the Windows system he found?
這一題可以用設備的ttl(time to live) 來找出答案,由於LINUX的ttl是64、Windows 95/98/98SE/ME的ttl是 32、Windows XP/Vista/7的ttl是128,雖然還不大確定確切的Windows版本,不過因為題目發布的時間是2010年,那時候應該大部分用Windows的不是Windows Vista就是Windows 7,所以就先試試過濾出ttl是128的封包有哪些吧,這時我們可以下「ip.ttl == 128」這個過濾指令,從過濾出來的結果就可以發現,這題的答案就是10.42.42.50。

https://ithelp.ithome.com.tw/upload/images/20180105/201073045ZCsbHgd90.png

第6題:What TCP ports were open on the Windows system? (Please list the decimal numbers from lowest to highest.)
這一題已經指定是要看Windows system,所以就必須先拿上一題的答案,也就是10.42.42.50,來觀察這個IP有開哪些port。
由於Mr.X對這個IP的機器做Port scan,而如果該Port是打開的,機器就會回覆[SYN/ACK]的封包,反之,若Port沒開,則會回覆[RST/ACK]的封包,所以在這邊我們就找出有哪些Port是有回傳[SYN/ACK]封包的就可以找到答案了。
我們可以利用下「tcp.flags.syn ==1 && tcp.flags.ack == 1 && ip.ttl ==128」或是「tcp.flags.syn ==1 && tcp.flags.ack == 1 && ip.src==10.42.42.50」的過濾指令,就可以得到解答,也就是135跟139 兩個Port是開著的。

https://ithelp.ithome.com.tw/upload/images/20180105/201073046y3HKGT9QC.png

其實每個題目都有很多種解法,如果可以嘗試用其他方式來解出題目也是很好的喔!


上一篇
[Day 16] 解解題Puzzle #3: Ann’s AppleTV
下一篇
[Day 18] 解解題 Puzzle #5: Ms. Moneymany’s Mysterious Malware
系列文
鯊魚咬電纜:30天玩Wireshark51

1 則留言

0
hihijhoho2
iT邦新手 5 級 ‧ 2018-01-10 14:15:26

感謝分享耶~
這一題好實務喔~

WLLO iT邦新手 4 級 ‧ 2018-01-10 20:40:35 檢舉

謝謝你~
有什麼更實用的絕招也都歡迎分享喔

我要留言

立即登入留言