Wireshark/Ausführen

Wireshark ausführen

FÜHREN SIE IHN NICHT ALS ROOT AUS!

WIRESHARK ENTHÄLT ÜBER EINE MILLION ZEILEN QUELLCODE

• Wireshark ist anfällig für manipulierten Datenverkehr
• Aufgrund seiner Komplexität und der großen Anzahl an Protokoll-Dissektoren
  • Denial-of-Service
  • Ausführung von beliebigem Code

Zugriff auf Netzwerkschnittstellen

• Mit User-Rechten hat Wireshark keinen Zugriff auf Netzwerkschnittstellen
• Erfordert standardmäßig Root-Rechte

Aktivieren von Non-root Capture

Capabilities

Werden mit dem Dienstprogramm setcap zugewiesen

Relevant für Wireshark

Option	Beschreibung
CAP_NET_ADMIN	Erlaubt verschiedene netzwerkbezogene Operationen (z.B. Setzen von privilegierten Socket-Optionen, Aktivieren von Multicasting, Schnittstellenkonfiguration, Ändern von Routing-Tabellen) CAP_NET_ADMIN ermöglicht es uns, eine Schnittstelle in den Promiscuous-Modus zu versetzen, und
CAP_NET_RAW	Erlaubt die Verwendung von RAW- und PACKET-Sockets CAP_NET_RAW erlaubt den Raw-Zugriff auf eine Schnittstelle, um direkt über die Leitung zu erfassen

Wireshark-Gruppe

Da die Anwendung, der wir erweiterte Fähigkeiten zugestehen, standardmäßig von allen Benutzern ausgeführt werden kann, möchten Sie vielleicht eine spezielle Gruppe für die Wireshark-Familie von Dienstprogrammen (und ähnliche Anwendungen) hinzufügen und ihre Ausführung auf Benutzer innerhalb dieser Gruppe beschränken

# groupadd wireshark
# usermod -a -G wireshark user

Nachdem Sie sich selbst zur Gruppe hinzugefügt haben, muss sich Ihr normaler Benutzer möglicherweise ab- und wieder anmelden

• Sie können auch newgrp ausführen, um die neue Gruppe zu erzwingen (Sie müssen Wireshark in Schritt 3 aus derselben Terminalumgebung starten):

$ newgrp wireshark

Wir weisen dieser Gruppe die ausführbare Datei dumpcap anstelle von Wireshark selbst zu, da dumpcap für die gesamte Low-Level-Erfassung zuständig ist

• Durch Ändern des Modus auf 750 wird sichergestellt, dass nur Benutzer, die zu dieser Gruppe gehören, die Datei ausführen können

# chgrp wireshark /usr/bin/dumpcap
# chmod 750 /usr/bin/dumpcap

Wireshark starten

Führen Sie nun Wireshark als den Benutzer aus, den oben zur Wireshark-Gruppe hinzugefügt haben

$ wireshark &

Vollständige Liste der Adapter

Andernfalls

• Prüfen, ob die Wireshark-Gruppe in der Ausgabe der Gruppen aufgeführt ist
• Neu anmelden, damit die Gruppenzuweisung wirksam wird