Installazione

Installa prima Wireshark. Poi installa semplicemente Winshark.

Attualmente, devi chiedere a Wireshark di interpretare DLT_USER 147 come ETW. Questo perché non hai ancora un valore vero da libpcap per il nostro nuovo Data Link. Abbiamo inviato una richiesta pull per avere un valore DLT dedicato; è ancora in sospeso. Per farlo devi aprire la scheda Preferences sotto il pannello Edit. Seleziona DLT_USER sotto Protocols e modifica (Edit) la tabella delle incapsulazioni:

E imposta winshark per DLT = 147 :

Buon divertimento!

Compilazione

Winshark è basato su cmake:

Come funziona

Per capire meglio come funziona Winshark, dobbiamo prima capire come funziona ETW.

ETW è suddiviso in tre parti:

• Un Provider che emetterà log e identificato da un ID univoco
• Una Sessione che mescolerà uno o più provider
• Un Consumer che leggerà i log emessi da una sessione

Provider

Ci sono molti tipi diversi di provider. I più comuni e utilizzabili sono i provider registrati. Un provider registrato, o basato su manifest, è registrato sotto la chiave di registro HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers. Questo crea il collegamento tra un ID provider e una dll. Il manifest è incluso nella dll associata in una risorsa chiamata WEVT_TEMPLATE.

Puoi elencare tutti i provider registrati sulla tua macchina usando logman:

Puoi anche elencare tutti i provider associati a un particolare processo:

Alcuni di loro potrebbero apparire senza nome; questi tipi di provider possono produrre log WPP o TraceLogging.

Sessione

Le sessioni vengono create per raccogliere log da più di un provider. Puoi creare la tua sessione usando logman:

Puoi elencare tutte le sessioni attive da un prompt dei comandi come amministratore:

Qui puoi vedere alcuni interessanti sessioni usate dal logger degli eventi per catturare log dalle sessioni Applicazione e Sistema e da Sysmon.

Consumer

Un consumer è un semplice programma che legge i log da una sessione. Consumer ben noti sono:

• Event Logger
• logman
• netsh
• tracert

E ora Winshark!!! Winshark è un semplice consumer ETW. Il vero consumer sottostante è libpcap, (wpcap.dll per Windows) che viene utilizzato da dumpcap.exe, il processo responsabile della cattura dei pacchetti.

Wireshark

Wireshark è suddiviso in tre parti (sì, anche lui):

• Wireshark.exe che si occupa di analizzare e dissezionare i protocolli
• dumpcap.exe che si occupa di catturare i pacchetti
• libpcap (wpcap.dll) che si occupa di interfacciare dumpcap.exe con il sistema operativo

Winshark si inserisce nella prima e nell'ultima parte. Implementa un backend per libpcap per catturare eventi ETW. Winshark funziona con le sessioni ETW, ecco perché puoi selezionare una sessione ETW al posto dell'interfaccia di rete all'inizio della cattura. Poi Winshark genera dissector lua per ogni provider basato su manifest registrato sul tuo computer, durante la fase di installazione. Winshark è anche in grado di analizzare i provider basati su tracelogging.

Catturare il traffico di rete

Per catturare il traffico di rete usando Winshark, puoi usare due semplici modi:

pktmon (Packet Monitor)

pktmon è uno strumento di diagnostica di rete integrato e cross-component per Windows. Può essere utilizzato per la cattura di pacchetti, rilevamento di perdita di pacchetti, filtraggio e conteggio (supportato da RS5)

(https://docs.microsoft.com/en-us/windows-server/networking/technologies/pktmon/pktmon)

puoi eseguire pktmon -h per più opzioni (come amministratore)

Ad esempio: Aggiungi un filtro per i pacchetti

Poi avvia Wireshark con privilegi di amministratore e seleziona l'interfaccia Pktmon:

Questo avvierà la cattura dei pacchetti:

netsh trace

E poi crea una sessione ETW associata al provider Microsoft-Windows-NDIS-PacketCapture:

Poi avvia Wireshark con privilegi di amministratore e seleziona l'interfaccia Winshark-PacketCapture:

Questo avvierà la cattura dei pacchetti:

Filtrare per ID processo

ETW contrassegna ogni pacchetto con un'intestazione che imposta alcuni metadati sul mittente. Uno di questi è l'ID Processo dell'emettitore. Questo è un grande miglioramento rispetto a una classica cattura di pacchetti da un driver NDIS. Basta compilare il campo filtro di Wireshark con la seguente espressione:

Catturare NamedPipe

@kobykahane fornisce un driver filtro file system che emette un ETW per ogni azione eseguita su un NamedPipe.

Installazione

• Superare il controllo della firma del driver in modalità test

• Installa NpEtwSetup.msi
• Riavvia
• Aggiorna il dissector di Winshark facendo doppio clic su C:\Program Files\Wireshark\WinsharkUpdate.bat con diritti di Amministratore

Cattura

• Apri un cmd.exe in Modalità amministratore
• Avvia il driver

• Crea una sessione ETW

• Avvia Wireshark e seleziona la sessione namedpipe. Buon divertimento!

SSTIC (Symposium sur la sécurité des technologies de l'information et des communications)

Questo progetto fa parte di una presentazione fatta per SSTIC