Installation

Bitte installieren Sie zuerst Wireshark. Installieren Sie dann einfach Winshark.

Derzeit müssen Sie Wireshark anweisen, DLT_USER 147 als ETW zu interpretieren. Dies liegt daran, dass Sie noch keinen echten Wert von libpcap für unseren neuen Data Link haben. Wir haben einen Pull-Request eingereicht, um einen dedizierten DLT-Wert zu erhalten; dieser ist noch ausstehend. Dazu müssen Sie den Reiter Preferences unter dem Menü Edit öffnen. Wählen Sie DLT_USER unter Protocols und klicken Sie Edit in der Tabelle der Kapselungen:

Und setzen Sie winshark für DLT = 147:

Viel Spaß!

Erstellen

Winshark wird von cmake unterstützt:

Funktionsweise

Um zu verstehen, wie Winshark funktioniert, müssen wir zunächst verstehen, wie ETW funktioniert.

ETW ist in drei Teile unterteilt:

• Ein Anbieter (Provider), der Protokolle ausgibt und durch eine eindeutige ID identifiziert wird
• Eine Sitzung (Session), die einen oder mehrere Anbieter mischt
• Ein Verbraucher (Consumer), der von einer Sitzung ausgegebene Protokolle liest

Anbieter (Provider)

Es gibt viele verschiedene Arten von Anbietern. Die gebräuchlichsten und nutzbarsten sind registrierte Anbieter. Ein registrierter Anbieter (oder manifestbasierter Anbieter) ist unter dem Registrierungsschlüssel HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers eingetragen. Dies stellt die Verbindung zwischen einer Anbieter-ID und einer DLL her. Das Manifest ist in der zugehörigen DLL in einer Ressource namens WEVT_TEMPLATE enthalten.

Sie können alle auf Ihrem Rechner registrierten Anbieter mit logman auflisten:

Sie können auch alle von einem bestimmten Prozess gebundenen Anbieter auflisten:

Einige von ihnen können ohne Namen erscheinen; diese Art von Anbietern können WPP- oder TraceLogging-Protokolle erzeugen.

Sitzung (Session)

Sitzungen werden erstellt, um Protokolle von mehr als einem Anbieter zu sammeln. Sie können Ihre eigene Sitzung mit logman erstellen:

Sie können alle aktiven Sitzungen über eine Admin-Befehlszeile auflisten:

Sie sehen hier einige interessante Sitzungen, die vom Ereignisprotokollierer verwendet werden, um Protokolle aus den Sitzungen Application, System und Sysmon zu erfassen.

Verbraucher (Consumer)

Ein Consumer ist ein einfaches Programm, das Protokolle aus einer Sitzung liest. Bekannte Consumer sind:

• Ereignisprotokollierer
• logman
• netsh
• tracert

Und jetzt Winshark!!! Winshark ist ein einfacher ETW-Consumer. Der eigentliche zugrundeliegende Consumer ist libpcap (wpcap.dll für Windows), das von dumpcap.exe verwendet wird, dem Prozess, der für die Paketerfassung zuständig ist.

Wireshark

Wireshark ist in drei Teile aufgeteilt (ja, auch er):

• Wireshark.exe, das für das Parsen und Zerlegen von Protokollen zuständig ist
• dumpcap.exe, das für die Erfassung von Paketen zuständig ist
• libpcap (wpcap.dll), das für die Schnittstelle zwischen dumpcap.exe und dem Betriebssystem zuständig ist

Winshark findet im ersten und im letzten Teil statt. Es implementiert ein Backend für libpcap zur Erfassung von ETW-Ereignissen. Winshark arbeitet mit ETW-Sitzungen, weshalb Sie zu Beginn der Erfassung eine ETW-Sitzung anstelle einer Netzwerkschnittstelle auswählen können. Dann generiert Winshark während des Installationsschritts lua-Dissectoren für jeden auf Ihrem Computer registrierten manifestbasierten Anbieter. Winshark kann auch tracelogging-basierte Anbieter parsen.

Netzwerkverkehr erfassen

Um Netzwerkverkehr mit Winshark zu erfassen, können Sie zwei einfache Methoden verwenden:

pktmon (Packet Monitor)

pktmon ist ein integriertes, komponentenübergreifendes Netzwerkdiagnosetool für Windows. Es kann für Paketerfassung, Erkennung von Paketverlusten, Paketfilterung und -zählung verwendet werden (unterstützt ab RS5).

(https://docs.microsoft.com/en-us/windows-server/networking/technologies/pktmon/pktmon)

Sie können pktmon -h für weitere Optionen ausführen (als Admin)

Zum Beispiel:

Starten Sie dann Wireshark mit Administratorrechten und wählen Sie die Pktmon-Schnittstelle:

Dadurch wird die Paketerfassung gestartet:

netsh trace

Erstellen Sie dann eine ETW-Sitzung, die mit dem Anbieter Microsoft-Windows-NDIS-PacketCapture verknüpft ist:

Starten Sie dann Wireshark mit Administratorrechten und wählen Sie die Schnittstelle Winshark-PacketCapture:

Dadurch wird die Paketerfassung gestartet:

Nach Prozess-ID filtern

ETW kennzeichnet jedes Paket mit einem Header, der einige Metadaten über den Absender setzt. Eine davon ist die Process ID des Emitters. Dies ist eine enorme Verbesserung gegenüber einer klassischen Paketerfassung von einem NDIS-Treiber. Geben Sie einfach das Filterfeld von Wireshark mit dem folgenden Ausdruck ein:

NamedPipe erfassen

@kobykahane stellt einen Dateisystemfiltertreiber zur Verfügung, der für jede Aktion auf einer NamedPipe ein ETW ausgibt.

Installation

• Treibersignierungsprüfung im Testmodus umgehen

• Installieren Sie NpEtwSetup.msi
• Neustart
• Aktualisieren Sie den Winshark-Dissector, indem Sie C:\Program Files\Wireshark\WinsharkUpdate.bat mit Admin-Rechten doppelklicken

Erfassung

• Öffnen Sie eine cmd.exe im Admin-Modus
• Starten Sie den Treiber

• Erstellen Sie eine ETW-Sitzung

• Starten Sie Wireshark und wählen Sie die Sitzung namedpipe. Viel Spaß!

SSTIC (Symposium sur la sécurité des technologies de l'information et des communications)

Dieses Projekt ist Teil einer Präsentation, die für SSTIC erstellt wurde.