いけりり＠InteropTokyo 2021です。現地にてProfitap社のFPGAキャプチャ機器、ProfiSharkシリーズのデモンストレーションを行っています。

ProfiShark1G/1G+ではShowNetからの回線をフェイルセーフパススルーで接続します。また電源はUSB3より取得できます。10G/1Gに対応しているProfiShark10G/10G+では回線の種類にあわせてSFP/SFP＋モジュールを接続します。たとえば、１GBASE-SXにつないでファイバの全二重２Gbpsのフルキャプチャを行ったり、10GBASE-TのSFP＋モジュールを接続してカッパーネットワークの計測を行うこともできます。

キャプチャはFPGAで行うため、コンピュータの性能に関係なくキャプチャを行うことができます。さらにハードウエアでタイムスタンプを付与するので、通常モデルで８ｎｓの時間精度、ＧＰＳモデルでは16ns、またPPS端子から時間を入力することも可能です。

取得したパケットは専用のダイセクタを用いて高い時間精度で表示できるほか、PAUSEフレーム、VLANのタグフレーム、FCSフレームをはじめとして、３２バイト以上のフレームをエラーや壊れたフレームを含めてすべてキャプチャできます。

ストレージを内臓し、Erastic＋Kibana＋Grafanaによる見える化を加えたアプライアンス型のIOTAシリーズも用意しておりますので、ぜひご検討くださいませ。

 

いけりりではペネトレーションテスト機器としてO.MGケーブルと
O.MG Programmerを取り扱っております。

OMGケーブルですが、 ちょっとがっかりされるかもしれませんが
このケーブルは見た目は普通のライトニングケーブルそのもので
プログラマの方を 使ってSSIDやパスフレーズ、アドレスなどを設定すると
ターゲットがケーブルを接続すると通常のLightningやUSB-Cや
マイクロUSBのスマホ接続ケーブルであると同時に
無線LANアクセスポイントのように見えます

リモートからスマートフォンやパソコンからOMGケーブルに接続すると
このケーブルをさしたターゲットのPCに 対してUSBのHID
キーボードのようにUSBキーストロークの 挿入攻撃が行えるものです
いわば、同期ケーブルをさしたPCにキーストロークをくれると言う製品です

実際のところは残念ながらスロット（メモリ）が少ないため
あまり長いコマンドとかが送れません。事前にDuckyScriptを作りこんでおいて
外部からデータを取得するなど工夫が必要です。

また、このようなケーブルを検出するO.MG Malicious Cable Detectorも取り扱っております。
ペネトレーションテストのデモンストレーションとして利用できますので、
お問い合わせくださいませ。

弊社では防衛省様、都道府県警察様をはじめとして、Hak5社の各種ペネトレーションテスト機器を用いた
ペネトレーションテスト教育なども行っております。どうかよろしくお願いします
→ペネトレーションテスト機器販売 (ikeriri.ne.jp)

いけりりネットワークサービス株式会社竹下は
防衛省陸上自衛隊システム防護隊様および
茨城県警様においてWiresharkによるパケットキャプチャ
及びKaliLinuxによるサイバーセキュリティセミナーを実施いたしました。

今後もいけりりは都道府県警察様防衛省様に向けて
品質の高い教育を提供していきたいと思います。何卒よろしくお願いします。

パケットダイアグラム画面、フィルタボタンの階層化、google.protobuf.Timestampをはじめとしたprotobufフィールド対応、RTP8kHzコーデックのau出力、IPPoverUSBなど新機能やEAP等プロトコル更新多数のWireshark3.4.0rc1が公開されました。
WindowsではNpcap/QTも更新されます →www.wireshark.org

いけりりネットワークサービス (‪@ikeriri‬)2020/10/16 9:04Wireshark 開発者会議 Sharkfest’20のいけりりのセッション「Session 11: Automation TIPS & tricks Using Wireshark/TShark」がまもなく始まります。(Zoom/Discord)


オンライン開催なのでSharkfestV登録されていない方でもWireshark 公式のYoutubeチャンネルで配信をご覧になれます！ youtube.com/watch?v=Sdej7y…

いけりり＠ようやくというか、やっと２５台の実習PCのメモリ１６GB化を完了しました。
Core i5 + SSD + 16GBRAMで快適な環境でテストやセミナができるようになりました。

そして、念願の単焦点プロジェクターを入れました。これは会場が狭いところでは特につよつよで、すごく画面大きくなるのでよいのですよね。嬉しい！

•Lawrence Abramsさんの投稿より
https://www.bleepingcomputer.com/news/microsoft/windows-10-quietly-got-a-built-in-network-sniffer-how-to-use/



•Windowsのキャプチャ方法としては以前からnetshによる方法として netsh trace start capture=yes traceFile=ファイル名.etlがありましたが、こちらのETLは以前はWiresharkでうまく処理できなかったり（現在のWiresharkはETL対応）、インタフェースの指定が難しいなど問題がありました。これに対してWindows10 May 2020アップデートにおいて、新しくpktmon.exeに-l real-timeおよびpktmon pcapngオプションが追加されました！

Pktmonのサブコマンドはpktmon [コマンド]に対応しており、オンラインヘルプは pktmon filter help のように入力します。—管理者権限でコマンドプロンプトを起動したら、キャプチャフィルタを設定してみます。pktmon filter add –p ポート番号 で特定ポートのみキャプチャするように設定できます.

pktmon start [-c { all | nics | [ids...] }] [-d] [--etw [-p size] [-k keywords]] [-f] [-s] [-r] [-m]でキャプチャを開始します。 たくさんのオプションがあるため、詳細はヘルプを見てください。

—-c, --componentsオプション（おすすめ） 監視対象のコンポーネントを選択します。すべてのコンポーネント、NIC のみ、またはコンポーネント ID の一覧を指定できます。既定値は all です。コンポーネントは仮想アダプタなどがたくさんあるので pktmon comp listでIDを確認することをおすすめします。

—--etwオプション（必須）パケット キャプチャのロギング セッションを開始します。

—-p, --packet-size（おすすめ） 各パケットからログに記録するバイト数。常にパケット全体をログに記録するには、0 に設定します。既定値は 128 バイト。

—-f, --file-name（おすすめ） .etl ログ ファイル。既定値は PktMon.etl です。

—-s, --file-size ログ ファイルの最大サイズ (MB 単位)。既定値は 512 MB 。

以上が良く使うオプションです。例えば、ID13のコンポーネント（NIC）で、ファイル名test.etlですべてのパケットをキャプチャする場合は pktmon start –-etw –p 0 –c 13 –f test.etl になります。—キャプチャを開始したらpktmon stopで停止します。

さて、これまでのファイルはetlのため、Microsoft Message Analyzerに最適化されており、またキャプチャがうまくいっているのかも確認できませんでした。新しいWindows10 May 2020アップデートではpktmonが更新され、pktmonにリアルタイムでキャプチャ情報を表示する「-l real-time」オプション、およびETLファイルをWiresharkで処理しやすいpcapngフォーマットに変換する「pktmon pcapng」サブコマンドが追加されます。

—-l real-timeオプションはpktmon startとあわせて使うことで、標準出力にキャプチャ中の情報（MACアドレス、イーサタイプ、IPアドレス等）を随時表示することで正しくキャプチャされているかを確認できます。

—さらにMicrosoftのpktmonコマンドにpcapngファイルへの変換を行うpktmon pcapサブコマンドが追加されます！！pktmon pcapng ETLファイル –o pcapngファイルのように指定することでETLファイルをpcapngファイルに変換できます。例 pktmon pcapng test.etl-o test.pcapng （画像はLawrence Abrams氏）

これがあれば私たちはWiresharkがインストールできないような環境でも、現場でパケキャプを取得して後でWiresharkで解析ができます！！

いけりり＠SharkfestUS’19開発者ディナーです。今回も誕生日が近いということでプレゼントいただきました！どうもありがとうございます。

そして、今年のキットはこんな感じですTシャツいい感じ。

We have many choices to capture wireless packet, off course airmon-ng ( part of aircrack-ng ) is popular in Linux environment, using Wireless Diagnostics to enable monitor mod e in macOS, but how about Windows? There are some options such as AirPcaps, EyePA and the other commercial products.

New Wireshark3 is included with npcap packet capture driver in Windows. So we can utilize new NDIS based capture driver to capture IEEE802.11 frames.
WLANhelper.exe is a kind of airmon-ng in Windows. WLANhelper set wireless adapter into monitor mode (NetMon) in open source way.

At first, install npcap with “Support raw 802.11 traffic (and monitor mode) for wireless adapters with Wireshark3.



Next download the newest release of WlanHelper ( great work by Yang Luo )
https://github.com/hsluoyz/WlanHelper/releases

Then just execute WlanHelper.exe with Administrator privileges.
( there are many options in WlanHelper but just try it )
WlanHelper starts in interactive mode, so you will just choose opetions to set your wireless adapter in monitor mode. Choose your wireless adapter number and choose 1 to switch WLAN card to Network Monitor (NetMon).



This time I tried Planex GW-450D ( MediaTek mt7610u ), thumb size USB adapeter supports IEEE802.11abgn+ac 1x1:1. ( I tried many kinds of adapters, some Realtek and Intel failed but many Qualcomm and Broadcom works well ).

Finally, start Wireshark3 and choose Capture



I also find there are a few information in Radiotap / PPI header than AirPcap and EyePA, but its open source ! WLANhelper is a nice alternatives of commercial products !!

(Guy Harris commented below
Unfortunately, on Windows, the only information that Npcap can get for the radiotap header is what Windows' NDIS mechanism supplies, which is:
the type of PHY;
the received signal strength, in dBm;
the data rate;
the channel center frequency;
the TSF time stamp;
and there's no guarantee that a given driver will even supply all of that. I suspect the channel frequency is 0 for your device because the adapter doesn't supply it; it appears that NPF_TapExForEachOpen() in the Npcap driver is supplying the center frequency even if it's zero - I'll file a bug on that. AirPcap devices don't go through the standard Windows NDIS mechanism - they go through a special driver mechanism - so they can provide radio information that Npcap can't.)

EyePAにおいて念願の複数チャンネルキャプチャに対応しました！これでよりAirPcap的な複数チャンネルを集約してのキャプチャやデバッグが可能になります！