Min første packetsniffing

1. ja, det er pakkens indhold
2. et pakke kan godt indeholde mange tegn
3. http://www.robertgraham.com/pubs/sniffing-faq.html

og vær opmærksom på, at password godt kan været krypteret. det er længe siden jeg har været på try2hack, og kan ikke lige huske om kryptering kommer allerede ved level 6

1 ja det er pakkens indhold, men du er  nødt til at "markere den rigtige del af pakken" i feltet oven for. Hvis du f.eks. står på etherframes, vil du kunne se dens indhold, du skal ned på TCP pakken for at se dataindholdet (hvis der er tale om en TCP pakke)

2. En standard ithernet pakke indeholder 1500 bytes, der går 20 bytes til IP headeren og 20 bytes til tcp headeren, detefterlader 1460 bytes til data. Så længe det du sender ikke overstiger 1460 bytes sendes kun en pakke data. Du skal dog være opmærksom på at en sådan kommunikation kræver en hel de pakker, f.eks. DNS opslag, TCP 3-way handshake, terminering af forbindelsen og den slags. Du kan sagtens være ude for at en datapakke astedkommer 12 - 16 pakker ialt.
Hvis det du sender fylder mere end 1460 bytes, vil pakken blive fragmenteret og sendt med flere pakker. De efter følgende pakker indeholder kun IP headeren og kan således indeholde 1480 bytes.

3. Jeg har selv en masse liggende om dette emne, desværre er der ret heftige copyright restriktioner på dette. Skal du være virkelig god til snifning og håndtering af pakker, skal du anvende TCPDump eller WinDump. Ethereal er faktisk en frontend til tcpdump. Grunden til at tcpdump er bedre er at den er mere rå. Du får adgang til pakkerne på hex niveau og kan meget mere selv. TCPDump kræver en meget bedre forståelse for IP kommunikation for at kunne bruge den, tl gengæld kan du sniffe pakker meget præcist. Hvis du f.eks. vil fange pakker med syn bitten sat kan dette sagtens lade sig gøre.

Prøv at bruge google der må findes nogle tutorials, eller manualer eller how to's om packet sniffing.

Alternativt kan du jo spørge specifikt, så skal jeg nok være der

Går ikke så meget efter en sindsyg stor viden. Bare hvad jeg har brug for at løse opgaven, men tror jeg har forstået det nu.

  Har lige et sidste lille afsluttende spørgsmål. I tilfælde af en pakke ikke er krypteret vil jeg så kunne læse pass og user direkte ud af det i bunden eller skal den "under behandling" først?

uden kryptering vil user/pass fremgå i det øjeblik du vælger pakken, og du ser den som et hex/ascii dump

du kan f.eks. prøve at sniffe en ftp session. her sendes user og pass ukrypteret

ok. hamderpolle >> gider du ikke også lægge et svar?

allrighty then

mange tak for hjælpen.

jeg har lige kigget på level6. er du nået så langt, så du kan se hvad den henter?

Ja kan godt se pakkerne hvis det er det du mener

så kan du også se den laver en alm. http get request til www.try2hack.nl

Er det den hvor der under info står GET HTTP/1.1

ja, den første pakke efter tcp-handshake er get requesten:

GET /levels/level6.data HTTP/1.1

dvs den henter www.try2hack.nl/levels/level6.data

så den egentlige udfordring er at tyde indholdet af denne :)

ok, går jeg i krig med så

Sjovt... Jeg kan heller ikke komme videre herfra...

Men ok, jeg er først nået hertil i nat :-)

hamderpolle, du skrev også i mit spm om en tidl. lvl, kan du hjælpe med at finde ud af at decryptere pakken?

Fandt et skema til det på www.google.dk men kan ikke rigtigt huske hvad jeg søgte på eller hvad det hed....mener jeg søgte "aaaaa" + "aaaab" eller lign

hmm... Jeg er på level 10 nu, så det er lige meget.. :D

Hvis du ønsker hjælp med nogen af dem, så spørg endelig..