側錄無線AP可疑連線 動手揪出存取異常手機

手機App很容易下載使用,但使用者無法全權掌握App內部的運作,也就成為個人資料外洩的一項隱憂。為了這個問題,本文將使用Wireshark架設網路封包偵測環境,擷取出流經HUB的所有封包,並透過WhatsMyIP網站來查詢IP及DNS資訊,以幫助使用者發現與分析網路異常行為。

現有的App五花八門,使用者看到喜歡的,便直接點選下載,方便又快速,但往往也成為有心人士竊取個資的捷徑。手機病毒的危害有許多種,例如藉由色情圖片吸引觀看時,在後台偷偷下載其他App,造成流量大增。或發送簡訊,其內容包含誘人文字和一段連結(URL),一旦點選後,便會下載一個惡意App,將手機機敏資訊傳給C&C Server(Command and Control Server,負責管控殭屍網路的伺服器,並將攻擊指令傳遞給這個App),導致個資外洩並作為攻擊的工具。

根據資安公司趨勢科技的預估,如圖1所示,截至2014年底前,Android手機的惡意程式數量將高達400萬個,趨勢科技曾提出報告,預測2015年全球的資安環境,Android惡意程式數量將可能突破800萬個。


▲圖1 2012年至2015年Android平台惡意程式數量及預估數量。

趨勢科技從2012年開始統計,當年所有行動平台的惡意程式數量只有35萬個,在2013年增加了2倍,惡意程式數量達140萬個,但到了2014年,Android平台的惡意程式就高達400萬個,更是2012年的10倍之多。從這個趨勢可以推測,2015年的惡意程式數量將高達800萬個。

惡意軟體的對外連線行為,將資料傳送到異常主機,為了偵測異常所在與目的地,並取得有利證據,本文提供一個簡易方法,如圖2所示,以Wireshark為操作工具協助資訊人員進行檢測。

Wireshark是一款網路封包解析工具,提供圖形化的操作介面和功能完整的過濾器,協助鎖定分析目標,擷取出異常封包,並掌握詳細資訊與證據。


▲圖2 Wireshark使用介面。

相關背景介紹

以下將介紹與本次實作有關的知識,包括何謂網路封包,以及會使用到的軟體及工具。

網路封包

網路上資料的傳輸是以封包的方式傳遞,網路封包是網路用來傳送資料的最小單位。封包裡面通常含有來源和目的地的IP位址、來源和目的地的MAC(Media Access Controller)位址,以及所要傳輸的資料。

封包因不同的應用服務或通訊協定,而有各種不同的大小。一個封包由標頭(Header)和資料(Data)所組成,封包的屬性被詳細地定義在標頭內,包括所使用的通訊協定、來源的IP位址、來源的通訊埠、目的地的IP位址、目的地的通訊埠等欄位。不過,並非所有的通訊協定都有相同的欄位資料,由於採用不同的通訊協定,網路封包的結構都有些許的差異。

兩台電腦資料要透過網路溝通,就必須藉由封包傳送來完成。透過傳輸封包,發訊端製作封包,並把封包送出,收訊端接收封包,並將恢復為原來發訊端的傳輸內容,兩台電腦互傳封包,就可以相互溝通。

使用工具及軟體簡介

接著,介紹本次所使用的軟體及工具,包括HUB、Wireshark、WhatsMyIP、Android智慧型手機。

HUB
乙太網路集線器(HUB)有兩大特性:廣播以及半雙工。廣播是指,當網路要透過HUB傳送資料給A電腦時,網路端送出來的資料其實連接在這台HUB上的電腦都會收到,但是只有A電腦會將資料收起來,其他電腦則是將封包丟掉。封包監控的原理,即是將所有經過HUB的封包全部擷取出來。

半雙工則是指,收資料或送資料不能同時,一次只能做其中一種。由於HUB的這種特性,所以當HUB連接非常多的電腦時,網路就會變慢。HUB範圍從非常小的4埠裝置到企業環境內安裝於機架上所設計的大型48埠不等。本文所採用的HUB由於是廣播式(Broadcast)的傳輸,會將封包送往所有的連接埠,藉由此種特性,資訊人員即可監聽所有傳輸中的封包。

Wireshark
Wireshark是一款網路封包分析軟體,功能是擷取網路封包,並盡可能地顯示出最為詳細的網路封包資料。Wireshark支援了多種作業系統,在Windows、UNIX、Mac OS等都有相對應的版本。

藉由此軟體,可以抓取資料封包,進一步分析封包內的摘要與詳細資訊,一般常用在網路故障排除、監聽異常封包、軟體封包問題檢測等地方。Wireshark的方便強大之處,在於其支援的Protocol較多且完整,更因為開放原始碼的關係,更新Protocol相當迅速,不同封包擷取軟體所產生的檔案亦可在此讀取檢視。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!