Kann Wireshark Daten lesen, die an / von anderen Computern gesendet werden?

Angenommen, WireShark ist auf Computer A installiert. Angenommen, ich schaue mir ein Youtube-Video auf Computer B an.

Kann WireShark sehen, was Computer B tut?

Im Allgemeinen, nein, Wireshark kann diesen Verkehr nicht spüren. ErikA beschreibt warum.

Wenn Ihr Netzwerk dies jedoch unterstützt, kann das Netzwerk selbst Computer A den Datenverkehr für Computer B anzeigen und von dort aus kann Wireshark ihn abrufen. Es gibt verschiedene Möglichkeiten, um dorthin zu gelangen.

• Gleicher Switch, gute Methode Wenn sich beide Computer im selben Netzwerk-Switch befinden und der Switch verwaltet wird, ist es wahrscheinlich möglich, ihn so zu konfigurieren, dass er den Datenverkehr für den Port von Computer B auf den Port von Computer A überspannt / spiegelt / überwacht (die Bedingungen ändern sich je nach Hersteller) . Dadurch kann Wireshark auf Computer A den Datenverkehr sehen.
• Gleicher Switch, böse Methode Wenn sich beide Computer auf demselben Netzwerk-Switch befinden und der Switch nicht besonders sicher ist, kann ein sogenannter ARP-Spoofing-Angriff ausgeführt werden. Computer A gibt ein ARP-Paket aus, das dem Subnetz mitteilt, dass es sich tatsächlich um die Gateway-Adresse handelt, obwohl dies nicht der Fall ist. Clients, die das ARP-Paket akzeptieren, schreiben ihre IP: MAC-Adress-Nachschlagetabelle mit der darin enthaltenen falschen Adresse neu und senden den gesamten Datenverkehr außerhalb des Subnetzes an Computer B. Damit dies funktioniert, muss Computer B ihn an den senden echtes Gateway. Dies funktioniert nicht bei allen Switches, und einige Netzwerkstacks lehnen solche Vorgänge ab.
• Gleiches Subnetz, böse Methode Wenn der Router auch nicht besonders sicher ist, funktioniert der ARP-Spoofing-Angriff für ein gesamtes Subnetz!
• Ganz anderes Subnetz Wenn sich Computer B vollständig in einem anderen Subnetz befindet, funktioniert dies nur, wenn der Router-Kern eine Fernüberwachungslösung unterstützt. Auch hier variieren die Namen und die Netzwerktopologie muss genau richtig sein. Aber es ist möglich.

ARP-Spoofing ist die einzige Möglichkeit für einen Computer ohne spezielle Netzwerkberechtigungen, den Datenverkehr eines anderen Netzwerkknotens zu überwachen. Dies hängt davon ab, ob der Netzwerk-Switch gegen diese Art von Aktion verteidigt oder nicht. Die einfache Installation von Wireshark reicht nicht aus. Es müssen andere Maßnahmen ergriffen werden. Andernfalls geschieht dies nur, wenn das Netzwerk explizit so konfiguriert ist, dass dies möglich ist.

Wenn Sie sich in einem Switched-Netzwerk befinden (was sehr wahrscheinlich ist) und Computer A nicht als Standardroute für Computer B dient (unwahrscheinlich), kann Computer A keine Pakete sehen, die für Computer B bestimmt sind.

Wie Farseeker anspielte, warst du früher dazu in der Lage. Vor zehn Jahren verwendeten viele Netzwerke Hubs, die wie Switches, aber dümmer waren, da sie jedes Paket auf jeden Port reflektierten, anstatt herauszufinden, wohin jedes Paket gehen musste, und es nur dorthin zu senden. Zuvor verwendeten einige Netzwerke koaxiales Ethernet mit einem gemeinsamen Kabel (und ohne Hub oder Switch), das jeder Sender sendete und abhörte.

In beiden oben genannten Situationen könnte eine Maschine mit Ethereal (alter Name für Wireshark) tatsächlich das gesamte Netzwerk überwachen.

Obwohl diese Situation heutzutage nur für sehr wenige Netzwerke gilt, erwähne ich sie aus Gründen des Kontexts und um zu verstehen, warum die Idee, Wireshark zu verwenden, um andere zu beschnüffeln, immer noch in den Köpfen vieler Menschen ist.

Pete

Wenn wir sowieso böse Methoden erwähnen: Mit einigen nicht verwalteten Switches kann das Überladen der CAM-Tabelle angeblich funktionieren und ist irgendwo in tcpdump docs IIRC dokumentiert.