So entwickeln Sie eine Drohne mit Wireshark mithilfe der Paketzerlegung zurück

Da fortschrittlichere Drohnensysteme eingeführt und in verschiedene Sektoren integriert werden, wird es immer wichtiger, die von ihnen möglicherweise ausgehenden Schwachstellen zu berücksichtigen, um die Sicherheit ihrer Anwendungen zu gewährleisten. Seitdem ich mich für interessiere, wollte ich immer einen Weg zum Hacken finden: UAVs. In diesem Artikel skizziere ich die Schritte, die ich unternommen habe, um DJI-Drohnen mithilfe von Paketüberwachungstechniken mit Wireshark zurückzuentwickeln, und beschäftige mich mit den Details der Paketzerlegung und wie Sie mit der Programmiersprache Lua Ihren eigenen Protokollzerleger entwickeln können. Cybersicherheit in der Luft- und Raumfahrt Obwohl das Reverse Engineering von Drohnen keine leichte Aufgabe ist, sind sie dennoch anfällig für eine Vielzahl von Cyber-Bedrohungen, die schwerwiegende Folgen haben können. Indem ich den Prozess skizziere, mit dem ich meinen Weg in DJI-Drohnen zurückentwickelt habe, um in Paketdaten gespeicherte vertrauliche Informationen offenzulegen, hoffe ich, dass die Forschung bestehende Schwachstellen aufzeigt, um bessere Alternativen zum Schutz bestehender Drohnensysteme zu finden. Inhaltsverzeichnis Unbemanntes Fluggerät Drohnen dekonstruiert Schwachstellen von UAV Was ist Paket-Sniffing und -Analyse? Was ist Wireshack? Wireshack-Anzeigefilter Was ist Paketdissektion? Paketzerlegung mit Wireshack Reverse Engineering von DJI-Drohnen DJI-Paketzerlegung mit Wireshack Tauchen Sie tiefer in die Wireshack-Dissektoren ein Dissektor mit Wireshack einrichten Unbemanntes Fluggerät Ein unbemanntes Luftfahrzeug (kurz UAV) ist ein Luftfahrzeug, das keinen Piloten oder Passagiere an Bord befördert. Meistens wird der Begriff auf Drohnen angewendet, es gibt aber auch andere Arten von UAV-Fahrzeugen, wie zum Beispiel ein UAV für große Höhen und mit langer Lebensdauer, das für Forschungszwecke gedacht ist. UAVs werden für eine Vielzahl von Anwendungen wie Such- und Rettungsmissionen, Datenerfassung, Militär und Strafverfolgung, Luftaufnahmen usw. eingesetzt. Im Vergleich zu herkömmlichen Flugzeugen weisen UAVs eine kompakte Form auf und weisen eine höhere Agilität, Genauigkeit und Präzision auf Manöver und erweisen sich als kosteneffektiv, was sie für verschiedene kommerzielle und Verbraucheranwendungen wie Lieferdienste und Luftvermessung weithin beliebt macht. den Global Hawk der NASA, Drohnen dekonstruiert Da sich dieser Artikel mit der Forensik von Drohnen befasst, ist es wichtig, einen kurzen Überblick über die Komponenten zu geben, aus denen die DJI Phantom 4 besteht. Es ist zwar erwähnenswert, dass die in einer Drohne enthaltenen Komponenten je nach Marke oder Version variieren können, die meisten UAVs sind jedoch gleich eine erhebliche Mehrheit der Komponenten. Das Chassis der Drohne ist der physische Rahmen, der alle Komponenten zusammenhält. Das Chassis besteht typischerweise aus leichten Materialien wie Kunststoff oder Kohlefaser, um die Gesamtflugleistung der Drohne durch Reduzierung des Luftwiderstands und des Gewichts zu verringern Chassis: Drohnen verwenden Motoren, um den für den Flug erforderlichen Auftrieb zu erzeugen. Die meisten Drohnen verfügen normalerweise über eine Quadcopter-Konfiguration, die aus vier Motoren besteht: zwei im Uhrzeigersinn drehenden Motoren und zwei gegen den Uhrzeigersinn drehenden Motoren, um die Drehkraft auszugleichen. Diese Konfiguration existiert, weil Newtons Drittes Gesetz besagt, dass es für jede Aktion eine gleiche und entgegengesetzte Reaktion gibt. Wenn also die gleiche Anzahl an gegenläufigen und rechtsdrehenden Motoren vorhanden ist, erhält die Drohne eine Flugkoordination durch eine ausgeglichene Drehkraft Drohnenmotor: Die Flugsteuerung einer Drohne verhält sich wie ihr Gehirn. Der Flugcontroller empfängt Eingaben von Sensoren an Bord der Drohne, beispielsweise vom GPS-Modul, um den elektronischen Geschwindigkeitsreglern (ESCs) spezifische Anweisungen zur Steuerung der Motoren zu geben Drohnen-Flugsteuerung: Das GPS-Modul (Global Positioning Satellite) verwendet zwei verschiedene globale Positionierungssysteme, um den Standort der Drohne zu bestimmen. Mithilfe des GPS-Moduls kann die Drohne ihre Geolokalisierung anhand der Zeitdauer berechnen, die es dauerte, bis die von verschiedenen Satelliten gesendeten Signale eintrafen GPS-Modul: ESCs sind der Mittelsmann zwischen der Stromverteilungsplatine der Drohne und den Motoren. Sie verwenden Signale vom Flugregler, um die einem Motor zugewiesene Leistungsmenge zu steuern Elektronischer Geschwindigkeitsregler (ESC): Der Stromanschluss ist ein Modul, das die von der Batterie gelieferte Strommenge misst und diese Strom an die ESCs und den Flugcontroller der Drohne verteilt Stromanschlussmodul: Einige Drohnen sind mit Stereosichtsensoren am Rahmen ausgestattet. Diese Sensoren berechnen den Abstand zwischen der Drohne und dem Hindernis vor dem Sensor, indem sie die Tiefe anhand der von jedem Sensor erfassten Bildpixel berechnen Sensoren zur Hindernisvermeidung: Der Gimbal stabilisiert die an der Drohne befestigte Kamera, um das Filmmaterial zu stabilisieren. Wenn Sensoren eine Bewegung um eine Achse bemerken, signalisieren sie dem Gimbal, die richtigen Anpassungen vorzunehmen, um das Kameramaterial zu glätten 3-Achsen-Gimbal: Batterien versorgen die Drohne mit Strom. Einige Batterien verfügen außerdem über Funktionen wie Überladeschutz, Leistungsausgangskommunikation usw Drohnenbatterie: Die Kamera der Drohne wird zum Filmen und Fotografieren verwendet. Der Bildsensor in der Kamera erfasst einfallende Lichtstrahlen und verarbeitet sie zu einem digitalen Bild Drohnenkamera: Drohnenantennen fungieren als Übertragungssystem zur Weiterleitung von Informationen zwischen dem Controller und der Drohne Drohnenantennen: Diese Sensoren werden verwendet, um die Höhe der Drohne über dem Boden zu berechnen. Die Höhe kann berechnet werden, indem ein hochfrequenter Schallimpuls von einem Sensor gesendet und die Zeit gemessen wird, die der andere Sensor benötigt, um ihn zu empfangen Abwärts gerichteter Ultraschall-Hindernisvermeidungssensor: Flug-LEDs werden normalerweise verwendet, um die Flugrichtung der Drohne anzuzeigen. Zwei blinkende rote Lichter zeigen die Vorderseite der Drohne an und blinkende grüne Lichter zeigen die Rückseite an Flug-LED: Joysticks dienen zur Steuerung der Drohne, indem sie die physische Bewegung der Sticks in Informationen umwandeln, die der Controller der Drohne als Bewegungsrichtungen mitteilen kann Joysticks: Die Fernbedienungsplatine ruft nützliche Telemetriedaten über die Drohne ab, z. B. Höhe, Standort und Kamerabilder Hauptplatine der Fernbedienung: Die Kameraplatine verarbeitet Daten vom Bildsensor und den Kardanmotoren, um stabiles Filmmaterial zu synthetisieren Hauptkameraplatine: Schwachstellen von UAVs Obwohl UAVs wie jedes andere Gerät mit einem Bordcomputersystem für eine Vielzahl von Anwendungen eingesetzt werden, sind sie einer Reihe von Cybersicherheitsbedrohungen ausgesetzt. Zu den häufigsten Cybersicherheitsbedrohungen bei UAVs gehören: UAVs sind anfällig für unbefugten Zugriff durch böswillige Akteure, die drahtlose Signale, die zur Steuerung der Drohne verwendet werden, entweder abfangen oder fälschen können. Dies ermöglicht es dem Hacker, die Drohne zu steuern oder ihr passiv Informationen zu stehlen. UAVs sind mit einer Vielzahl von Sensoren ausgestattet, die aktiv Informationen über ihre Umgebung wie Fotos, Videos und Telemetriewerte sammeln. Diese Daten können anfällig für das Abfangen durch Hacker sein, die sie für schändliche Zwecke verwenden können Ein spezifischerer Angriff, den Hacker zum Hacken von Drohnen einsetzen können, ist ein Denial of Service. Dies geschieht, wenn ein Hacker ein DOS auf demselben drahtlosen Kommunikationssystem der Drohne startet und so deren Fähigkeit zum Empfangen oder Senden von Daten beeinträchtigt Da mit der zunehmenden Beliebtheit von UAVs immer mehr Sicherheitslücken entdeckt werden, ist es für Sicherheitsforscher erforderlich, Geräte forensisch auf böswillige Zwecke zu analysieren. Ein Teilgebiet der Cybersicherheit namens konzentriert sich auf das Sammeln und Analysieren von Daten aus einem Angriff zu Ermittlungszwecken Unbefugter Zugriff: Datendiebstahl: Denial of Service: forensische Analyse . Dieses Verfahren ist in realen Kriminalitätsszenarien nützlich, wenn digitale Informationen eines Computersystems beschlagnahmt werden und untersucht werden müssen. Oftmals steht die überwiegende Mehrheit der Informationen auf der Maschine in keinem Zusammenhang mit der Straftat und muss herausgefiltert werden, um die Kriminalitätsszenarien aufzuschlüsseln. Es gibt ein breites Spektrum an illegalen Einsatzmöglichkeiten von Drohnen, wie z. B. Schmuggelware-Abwürfe in nicht genehmigte Gebiete, Drogenabwürfe über ausländische Grenzen und unaufgeforderte Überwachung. Nach vielen dieser Szenarien wird digitale Forensik eingesetzt, um Informationen wie den Gerätebesitz und alle mit der Straftat verbundenen Daten zu ermitteln. Eine , die an gängigen Drohnenmodellen an verschiedenen Tatorten durchgeführt wurde, zeigte, dass Informationen wie Mediendateien im Foto- oder Videoformat, Flugmuster, Standorte und Besitzerinformationen für den Erfolg digitaler forensischer Fälle von Strafverfolgungsermittlern am förderlichsten waren. Obwohl es den Ermittlern der Studie mithilfe digitaler Forensiktechniken möglich war, Informationen über das Verbrechen herauszufiltern, stellte die Studie fest, dass die Gesetzgebung auf Landes- und Bundesebene die Vorschriften hinter der Drohnentechnologie nicht ordnungsgemäß gehandhabt hat und daher viele Interessengruppen angreifbar macht. Insgesamt kamen sie zu dem Schluss, dass der Mangel an forensischen Tools und einer universellen Drohnenstruktur die Entwicklung weiterer Methoden zur Datenextraktion erforderlich machte. Studie Um dazu beizutragen, den Mangel an UAV-Forensik-Tools zu beheben, werde ich demonstrieren, wie ich mithilfe der Programmiersprache ein Paketzerlegungsskript für Wireshark erstellt habe, um in digitalen Forensik-Szenarien nützliche Netzwerkinformationen zu finden. Das Tool ist eine Anwendung digitaler forensischer Fähigkeiten aus erster Hand, um nützliche Informationen über UAVs zu sammeln, die in Ermittlungssituationen verwendet werden könnten, um mehr Daten im Zusammenhang mit dem begangenen Verbrechen zu sammeln. Lua Was ist Paket-Sniffing und -Analyse? Beim Packet Sniffing werden Datenpakete abgefangen und untersucht, während sie über ein bestimmtes Netzwerk übertragen werden. Diese Technik wird von Cybersicherheitsexperten genutzt, um Schwachstellen aufzuspüren, Fehler und die Leistung ihres Netzwerks zu diagnostizieren oder Bedrohungen zu entdecken. Bei einem Computer handelt es sich bei der Netzwerkschnittstellenkarte (auch als NIC bezeichnet) um eine Hardwarekomponente, die eine eingebettete Platine enthält, die es dem Computer ermöglicht, eine Verbindung zu Netzwerken herzustellen und Paket-Sniffing durchzuführen. Aufwändigeres Sniffing für Cybersicherheits- oder Hacking-Zwecke erfordert oft, dass die Netzwerkkarte in versetzt wird, der es dem Computer ermöglicht, den umgebenden Netzwerkverkehr abzurufen. Durch einen Decodierungsprozess können Schnüffler Zugriff auf verschlüsselte Informationen erhalten, die in Datenpaketen gespeichert sind, während diese über ein Netzwerk transportiert werden. Das Schnüffeln kann in zwei allgemeine Kategorien unterteilt werden: und Schnüffeln. den Promiscuous-Modus aktives passives Passives Schnüffeln Beim passiven Sniffing werden nur Pakete abgehört, die als Netzwerkverkehr gesendet werden. Es wird oft als Aufklärungstechnik eingesetzt, um relevante Informationen über den Datenverkehr und die Art der Daten zu ermitteln, die über ein Netzwerk übertragen werden. Auf diese Weise können Sicherheitsexperten das Netzwerk auf Anomalien oder verdächtige Aktivitäten analysieren, z. B. Netzwerkfehler beheben (unter Verwendung des Netzwerkverkehrs als Maß für Netzwerkprobleme) und die Leistung optimieren, indem sie Bereiche mit Überlastung identifizieren. Aktives Schnüffeln Aktives Sniffing ist eine Technik, die in Paketinjektions-/Spoofing-Anwendungen eingesetzt wird, die darauf abzielen, eine Antwort von Netzwerkgeräten auszulösen. Beispielsweise könnte ein Angreifer ein bestimmtes Paket senden, um ein bestimmtes Gerät oder eine bestimmte Anwendung dazu zu bringen, mit vertraulichen Informationen zu antworten. Dies könnte für mehrere böswillige Aktivitäten wie die Orchestrierung eines Man-in-the-Middle-Angriffs (MiTM) und die Übernahme von Netzwerksitzungen genutzt werden. Aktives Schnüffeln ist etwas schwieriger zu erkennen als passives Schnüffeln, da es darauf ausgelegt ist, sich als umgebender Netzwerkverkehr zu tarnen. Aktives Sniffing wird durch die absichtliche Eingabe von ARP-Paketen (Address Resolution Protocol) durchgeführt, um die CAM-Tabelle (Content Address Memory) des Switches zu überlasten. Dies führt dazu, dass legitimer Netzwerkverkehr zu verschiedenen Ports transportiert wird, die als Grundlage für Spoofing-Angriffe wie ARP-Spoofing, DHCP-Angriffe (Dynamic Host Configuration Protocol) und DNS-Poisoning (Domain Name System) dienen. OSI-Modell Das OSI-Modell (bekannt als Open Systems Interconnection) wird verwendet, um zu konzeptualisieren, wie unterschiedliche Komponenten eines Netzwerks miteinander kommunizieren. Das Modell wird als siebenschichtiges Modell dargestellt, das einen standardisierten Regelsatz dafür enthält, wie verschiedene Geräte und Programme über das Netzwerk miteinander kommunizieren können. Das OSI-Modell kann in mehrere Schichten segmentiert werden: Anwendung, Präsentation, Sitzung, Transport, Netzwerk, Datenverbindung und physisch. Dies beschreibt die physischen Eigenschaften des Netzwerks, das für die physische Verbindung zwischen Geräten wie Verkabelung, Anschlüssen und Signalisierung verantwortlich ist. In dieser Schicht werden Daten über übertragen. Physikalische Schicht Bits In dieser Schicht werden Daten in Pakete formatiert und über das Netzwerk übertragen. Die Datenverbindungsschicht stellt außerdem sicher, dass Ihre Daten keine internen Fehler enthalten. Die Datenübertragung erfolgt mittels . Datenübertragungsebene Frames Die Netzwerkschicht verwaltet, wie Pakete adressiert und über das Netzwerk gesendet werden, indem sie den optimalen Weg zum Senden des Pakets findet. In dieser Phase werden IP-Adressen an den Header des Pakets angehängt. Netzwerkschicht Die Transportschicht ist der Übergang zwischen der Netzwerk- und der Sitzungsschicht. Diese Schicht verwendet Netzwerkprotokolle wie UDP und TCP, um zu bestimmen, wie Daten zwischen Anwendungen übertragen werden. Die in dieser Schicht transportierten Daten werden als bezeichnet. Transportschicht Segment Diese Ebene definiert, wie Anwendungen Verbindungen untereinander herstellen und aufrechterhalten. Sitzungsschicht Die Präsentationsschicht wandelt die Daten aus Segmenten in ein besser lesbares Format um. Diese Schicht umfasst auch die Ver- und Entschlüsselung von Paketen. Präsentationsfolie Die Anwendungsschicht dient der Kommunikation mit Benutzern. Es definiert die Protokolle und Schnittstellen, die von Anwendungen zur Kommunikation mit dem Netzwerk verwendet werden können. Anwendungsschicht Aufschlüsselung der Paketinformationen Im Netzwerk ist ein Paket ein kleiner Abschnitt einer größeren Nachricht. Jede Art von Daten, die über ein Netzwerk übertragen werden, wird in Pakete aufgeteilt. Sobald diese Pakete durch das Netzwerk geleitet werden, werden sie von dem Gerät, das sie empfängt, rekonstruiert. Über ein Netzwerk gesendete Pakete enthalten in ihrer Struktur den Header, die Nutzlast und den Trailer. Ich werde das IPv4-Paket als Beispiel verwenden, um die Art der in einem Paket enthaltenen Informationen zu demonstrieren. Der Paket-Header ist der Anfangsteil eines Pakets. Es enthält Adressierungs- und andere Daten, die erforderlich sind, damit das Paket sein Ziel erreicht. Der IPv4-Header enthält 13 Felder… - Versionsnummer des verwendeten Internetprotokolls (z. B. IPv4) Länge des gesamten IP-Headers Informationen zu den unterwegs gesehenen Stauinformationen Länge des gesamten IP-Pakets (einschließlich Header und Body) Wenn das IP-Paket fragmentiert ist, enthält jedes Paket eine entsprechende Identifikationsnummer, um das ursprüngliche IP-Paket zu identifizieren, zu dem es gehört Angabe, ob das Paket groß genug ist, um fragmentiert zu werden Positionierung des Fragments im IP-Paket Die Anzahl der Router, die das Paket noch passieren muss, um eine Schleife im Netzwerk zu vermeiden die Netzwerkschicht auf dem Zielhost, zu dem das Paket gehört (d. h. TCP = 6, UDP = 17 und ICMP = 1) Prüfsummenwert des gesamten Headers, der zur Bestätigung verwendet wird, dass das Paket keine Fehler enthält - 32-Bit-Adresse des Absenders (Quelle) des Pakets 32-Bit-Adresse des Empfängers (Ziels) des Pakets optionales Feld, das Informationen wie Aufzeichnungsroute, Zeitstempel usw. enthalten kann Die Nutzlast eines Pakets umfasst die tatsächlichen Daten, die das Paket an sein Ziel transportieren möchte. Im Fall des IPV4-Pakets wird die Nutzlast mit 0 Bit aufgefüllt, um sicherzustellen, dass das Paket innerhalb der 32-Bit-Beschränkung endet. Manchmal können Pakete ein Ende ihres Pakets enthalten, das als Trailer bezeichnet wird. Obwohl die IPV4-Paketstruktur keinen Trailer enthält, enthalten Ethernet-Frames einen Trailer, der Informationen enthält, die Netzwerkadapter im Ethernet zur Verarbeitung des Frames benötigen. 1. Paket-Header Version: - Internet-Header-Länge (IHL): - Explizite Staubenachrichtigung: - Gesamtlänge: - Identifikation: - Flags: - Fragment-Offset: - Time to Live (TTL): - Protokoll: - Header-Prüfsumme: Quelladresse: - Zieladresse: - Optionen: 2. Nutzlast 3. Anhänger Was ist Wireshark? Wireshark ist ein weit verbreitetes und quelloffenes Netzwerkprotokoll- und Paketanalysetool. Damit können Sie Netzwerkpakete von Quellen wie WLAN (IEEE.802.11), Bluetooth, Ethernet, Token-Ringen usw. erfassen. Wireshark verfügt außerdem über eine Paketfilterfunktion, mit der Sie den Protokollstrom von Paketen filtern können, während diese auf Ihrem Bildschirm angezeigt werden . Die Wireshark-Oberfläche enthält verschiedene Bereiche zur Anzeige von Paketinformationen. Im Hauptfenster wird die Liste aller Pakete angezeigt, die durch das Netzwerk fließen. Wenn Sie ein einzelnes Paket auswählen, sollten am unteren Rand des Bildschirms zwei Bereiche mit spezifischeren Paketdaten angezeigt werden. Die Details für jede der Spaltenkategorien im Hauptbereich lauten wie folgt: Verwendung von Wireshark zur Paketanalyse Die Paketnummer in der Capture-Datei Nr.: Die Zeit, zu der dieses Paket erfasst wurde, nachdem das Paket-Sniffing initiiert wurde Zeit: IP-Adresse und Portnummer des sendenden Geräts Quelle: IP-Adresse und Portnummer des empfangenden Geräts Ziel: der Pakettyp (z. B. TCP, UDP, HTTP usw.) Protokoll: Weitere Informationsinhalte zum Paket, die je nach erfasstem Pakettyp variieren Info: Dies sind die vorkonfigurierten Informationsspalten in Wireshark, aber es stehen noch viele weitere Spalten zur Verfügung, die im Tool angezeigt werden können, z. B. TTL, Prüfsumme usw., indem Sie die „Spalten“-Einstellungen auswählen. Der Abschnitt des Tools zeigt Ihnen interpretierbarere Informationen über das Paket an, die je nach Pakettyp variieren. Der untere Bereich, , zeigt den Paketinhalt im reinen Hexadezimalformat. „Paketdetails“ Paketbytes Wireshark Capture-Filter Die Erfassungsfilter in Wireshark begrenzen die vom eingefügten Filter erfassten Pakete. Wenn Sie es vielleicht bemerkt haben, folgen die Wireshark-Erfassungsfilter demselben Format wie , ein weiteres beliebtes Tool zur Netzwerkpaketerfassung. Die Syntax der Paketerfassung entspricht den Syntaxausdrücken des Berkeley Packet Filter (BPF). Zu den gängigen Capture-Filtern für Wireshark gehören… tcpdump Erfassen Sie nur den Datenverkehr von und zur IP-Adresse 172.18.5.4: host 172.18.5.4 Erfassen Sie den Datenverkehr zu oder von einer Reihe von IP-Adressen: net 192.168.0.0/24 ODER net 192.168.0.0 mask 255.255.255.0 Erfassen Sie den Datenverkehr von einer Reihe von IP-Adressen: src net 192.168.0.0/24 ODER src net 192.168.0.0 mask 255.255.255.0 Erfassen Sie den DNS-Verkehr (Port 53): port 53 Erfassung mit Ausnahme des gesamten ARP- und DNS-Verkehrs: port not 53 and not arp Erfassen Sie nur IPv4-Pakete: ip Erfassen Sie nur Ethernet-Pakete (EAPOL): ether proto 0x888e Wireshark-Anzeigefilter Mit der Anzeigefilterfunktion in Wireshark können Sie die Art der in der Liste der erfassten Pakete angezeigten Pakete eingrenzen. Zu den gängigen Beispielen für Anzeigefilter gehören: Protokollbasierte Filter: Sie können den Paketverkehr basierend auf dem Netzwerkprotokoll filtern http Das obige Beispiel zeigt nur Pakete mit dem HTTP-Protokoll Pakete nach Adresse filtern (d. h. IP-Adressfilterung): Sie können Pakete über die Adresse des Absenders oder des Empfängers filtern ip.src == xxxx Das Obige zeigt den Datenverkehr, der von einer bestimmten IP-Adresse kommt Portbasierte Filter: Sie können den Paketverkehr basierend auf der verwendeten Portnummer filtern http Das obige Beispiel zeigt nur TCP-Pakete mit Port 80 Zeitbasierte Filter: Sie können Pakete nach dem Zeitpunkt ihrer Erfassung filtern frame.time >= "YYYY-MM-DD HH:MM:SS" && frame.time <= "YYYY-MM-DD HH:MM:SS Das obige Beispiel zeigt nur Pakete innerhalb eines ausgewählten Zeitbereichs Inhaltsbasierte Filter: Sie können Pakete basierend auf dem Inhalt der Pakete filtern frame contains google Das obige Beispiel zeigt Pakete, deren Inhalt das Schlüsselwort „google“ enthält. Was ist Paketdissektion? Während der Prozess der Paketanalyse verwendet wird, um einen allgemeinen Überblick über Netzwerkverkehrsmuster zu erhalten, beinhaltet die Paketzerlegung einen viel engeren Ansatz. Unter Paketzerlegung versteht man den Prozess der Zerlegung einzelner Pakete in ihre einzelnen Komponenten (z. B. Header, Nutzlastinhalte usw.), um wertvolle Erkenntnisse über Netzwerkprozesse oder das überwachte Gerät zu gewinnen. Zu den Anwendungen, für die Paketzerlegungen verwendet werden können, gehören Protokollanalyse und Forensik. Paketzerlegung mit Wireshark Glücklicherweise enthält Wireshark ein integriertes Toolset zur Durchführung einer gründlichen Paketzerlegung für jedes Paket, das über ein Netzwerk transportiert wird. Zu den Techniken zur Paketdissektion gehören… Sie können die Protokolldetails für jedes Paket anzeigen, indem Sie die Layer-Details im Bereich „Paketdetails“ erweitern. Dies ist nützlich für die Dekodierung verschiedener Protokolle wie TCP, UDP, DNS usw Wireshark enthält außerdem eine Funktion, die den TCP-Stream aller Pakete anzeigt, die über eine TCP-Verbindung fließen. Um diese Funktion zu verwenden, wählen Sie ein Paket aus, das zu einer TCP-Verbindung gehört, klicken Sie mit der rechten Maustaste auf das Paket und wählen Sie „Folgen > TCP-Stream“. Sie können Pakete auch anhand bestimmter Kriterien wie Paketlänge oder Protokolltyp visualisieren. Um diese Funktion anzuzeigen, gehen Sie zu „Ansicht“ und klicken Sie auf „Farbregeln“. Wireshark verfügt über eine Funktion, die ein Flussdiagramm anzeigt, das die Zeit- und Sequenzdetails eines Pakets zwischen zwei Maschinen zeigt. Um ein Flussdiagramm zu konfigurieren, gehen Sie zu „Conservation Filter“ und wählen Sie die Option „TCP“. Dadurch wird ein Filter erstellt, der alle Pakete anzeigt, die zwischen zwei Maschinen übertragen werden. Wählen Sie dann „Statistik“ und „TCP-Stream-Diagramme“, um das Flussdiagramm zu erstellen Protokolldekodierung: TCP-Streams: Farbcodierung: Flussdiagramme: Paketzerlegung zur Protokollanalyse Die Paketzerlegung kann angewendet werden, um zu analysieren, welche Arten von Netzwerkprotokollen verwendet werden und wie sie verwendet werden. Um die Protokollanalyse mit Wireshark auszuprobieren, erfassen Sie zunächst Pakete mit der von Ihnen ausgewählten Netzwerkschnittstelle. Wenn Pakete dann erfasst werden, sollten sie verschiedene Protokolle wie (Port 80), HTTPS (Port 443), SSH (Port 22) und SNTMP usw. übertragen. Lassen Sie uns HTTP für unser Paketzerlegungsbeispiel verwenden. Beginnen Sie mit der Auswahl eines Pakets, dem das HTTP-Protokoll zugewiesen ist, wie unten beschrieben, indem Sie es mit dem Schlüsselwort http filtern ... HTTP Sobald das Paket ausgewählt ist, erweitern Sie das Menü Transmission Control Protocol (TCP), um die relevanten Informationen für das Paket anzuzeigen. Sobald die Paketdetails erweitert sind, können Sie verschiedene Felder des Protokolls analysieren, wie z. B. die Quell- und Ziel-IP-Adressen, Quell- und Zielports, die verwendete HTTP-Methode (GET, POST, DELETE usw.) und den HTTP-Antwortcode. Paketzerlegung für die Forensik Die Paketzerlegung kann auch für die digitale Forensik verwendet werden, um Informationen hinter bestimmten Netzwerkvorfällen zu extrahieren. Stellen Sie sich beispielsweise eine Situation vor, in der ein Hacker vertrauliche Informationen über Ihr Netzwerk an einen Remote-Server sendet. Wir können Anzeigefilter in Wireshark verwenden, um den für den Computer des Hackers kommenden Datenverkehr mithilfe der IP-Adresse des Geräts des Hackers und der IP-Adresse des Remote-Servers zu isolieren. Anschließend können wir von Wireshark angebotene Paketzerlegungstools wie die Funktion „Follow TCP Stream“ verwenden, um den TCP-Datenstrom zwischen dem Hacker und dem Remote-Server zu rekonstruieren. Mithilfe dieser Informationen können Sie versteckte Informationen aufdecken, die der Hacker an den Remote-Server gesendet hat, beispielsweise die Übertragung schädlicher Dateien oder Bilder. Diese Anwendung der Paketzerlegung kann auch zur Analyse des Netzwerkverkehrs und zur Erkennung krimineller Aktivitäten eingesetzt werden. Reverse Engineering von DJI-Drohnen Reverse Engineering ist der Prozess der Dekonstruktion und Analyse eines Systems, um zu verstehen, wie es „unter der Haube“ funktioniert, und relevante Informationen daraus zu extrahieren. Dieser Prozess erfolgt oft durch einen iterativen Prozess, der bestimmte Aspekte eines Systems dekonstruiert, seine technischen Spezifikationen und seinen Code analysiert und spezifische Tests durchführt, um seine Ergebnisse zu untersuchen. Im Fall von UAV-Hacking können wir Reverse-Engineering-Prinzipien anwenden, um die Software und Firmware einer Drohne zu analysieren, Telemetrieinformationen zu extrahieren und auszunutzende Schwachstellen zu identifizieren. Für dieses Forschungsexperiment habe ich beschlossen, die DJI Mini 2 zurückzuentwickeln – eine kleine, kompakte Drohne für den Freizeitgebrauch, die von einem beliebten Drohnenunternehmen namens DJI entwickelt wurde. Man-In-the-Middle-Konfiguration Da passives Abhören kein rückentwickelbares Ergebnis liefert, habe ich stattdessen eine künstliche und abhörfreundliche Netzwerkkonfiguration verwendet, um die drahtlose Kommunikation zwischen der Drohne und dem Bediener inspizierbar und abhörbar zu machen, indem ich der folgenden Konfiguration gefolgt bin: a) Der Done initialisiert den Prozess, indem er einen Zugangspunkt startet, der für die direkte Kommunikation mit seinen Netzwerkkollegen verwendet wird Drohne: b) Wir richten ein zweites virtuelles Netzwerk ein, wobei sich unsere Maschine als AP für den mobilen Client ausgibt MITM AP: c) Der MITM-Client stellt eine direkte Verbindung mit der Drohne her und leitet die Netzwerke des MITM-AP an die Drohne weiter und umgekehrt d) Die MITM-Maschine ist das Gerät, das zum Abhören verwendet wird, indem die virtuellen MITM-APs über NAT (Network Address Translation) mit der internen Netzwerkkarte des MITM-Clients verbunden werden MITM-Client: MITM-Maschine: e) Der Betreiber ist das mobile Gerät, auf dem die DJI-Anwendung ausgeführt wird und das über WLAN mit dem Drohnenvertreter (MITM-AP) verbunden ist. Betreiber: Access Point-Konfiguration Um den MITM AP zu konfigurieren, habe ich verwendet Befehl zum Erstellen eines virtuellen AP über die Befehlszeile auf meinem Computer. create_ap sudo create_ap wlan0 wlan0 Operator 12345678 -w 2 -c 2 -m nat --freq-band 2.4 --country US Dieser Befehl wurde entwickelt, um die Anzahl der Störungen zwischen den Verbindungen zu beseitigen, indem er sich auf die 2,4-GHz-Frequenz konzentriert und die folgenden Parameter festlegt: WPA2-PSK im CCMP-Verschlüsselungsmodus Nutzung eines beliebigen und statischen unbelegten Kanals NAT zur Verbindung zwischen virtuellem AP und physischer Netzwerkkarte Wählen Sie nur das 2,4-GHz-Band aus Setzen Sie den richtigen Ländercode ein, um den örtlichen Vorschriften zu entsprechen -w 2 -c 2 -m nat --freq-band 2.4 --country US Abhören der Interkommunikation Zum Abhören habe ich das Befehlszeilentool verwendet, um die Leistung des MITM-Netzwerks zu optimieren. Mit werden erfasste Netzwerkpakete in einer entsprechenden PCAP-Datei gespeichert, die später von einer Reihe von Netzwerkanalyseprogrammen analysiert werden kann. Außerdem habe ich zusätzliche Filter implementiert, um den Bereich der erfassten Ausgabe so zu reduzieren, dass sie nur noch aus relevanten Netzwerkpaketen zwischen der Drohne und der Maschine besteht. tcpdump -w /tmp/dumps/capture.pcap sudo tcpdump --interface=ap0 -n udp host 192.168.2.1 vermeidet DNS-Auflösungen ignoriert alle TCP-Pakete Stellt sicher, dass die angezeigten Pakete mit Drohnen zu tun haben -n udp host 192.168.2.1 Forschungsspezifikationen Für die Durchführung digitaler forensischer Untersuchungen zum DJI Mini 2 habe ich versucht, das DJI Wi-Fi-Protokoll zurückzuentwickeln, indem ich die von der Drohne gesendeten Netzwerkpakete mithilfe von Wireshark analysiert habe. Um die genaue Protokollstruktur der von der Drohne übertragenen Pakete zu bestimmen, habe ich jedes einzelne Bit mithilfe einer bitgenauen Argumentation klassifiziert. Während des gesamten Prozesses habe ich festgestellt, dass die folgenden Filterprädikate in Wireshark am nützlichsten sind: Da für diesen Prozess nur Netzwerkpakete auf Anwendungsebene relevant sind, können wir die Protokolle DNS, Internet Control Message Protocol (ICMP) und Multicast DNS (MDNS) von unserer Suche ausschließen !dns && !mdns && !icmp Die IP-Adresse 192.168.2.1 stellt die IP-Adresse der Drohne dar. Hier geben wir die Quelle und das Ziel an, die nach dieser IP gefiltert werden sollen. ip.src == 192.168.2.1 In diesem Beispiel sind nur Pakete mit einer Länge von 1472 Bytes in der Ergebnisansicht enthalten, in der Drohnenpakete mit genau dieser Nutzlastgröße angezeigt werden data.len == 1472 Dadurch wird der statische Hexadezimalwert mit dem Nutzlastinhalt des ursprünglichen Index verglichen. Dies ist nützlich, da sich die Paketinspektion während des Fluges auf die damit verbundenen Änderungen zwischen dem Protokoll und den Drohnensteuerungsanweisungen des Bedieners konzentriert data.data[0] == 0x00 Paketinformationen Bei den mit Wireshark erhaltenen Paketen habe ich mich auf die Nutzlast vom Index 0x2A bis zur Ethernet-Frame-Länge konzentriert. Obwohl das gesamte Paket Informationen enthält, reichen die Datenbytes von 0x2A bis zum Ende für Reverse Engineering-Zwecke aus. Als Referenz habe ich die Tabelle mit den Ethernet-OSI-Modellschichten unten beigefügt: Nutzlastverschlüsselung Obwohl der gesamte Kommunikationsstrom verschlüsselt ist, kann der entschlüsselte Datenstrom dennoch die Integrität der Verschlüsselung gefährden. Eine Methode zum Entschlüsseln von Informationen mit UAV-Systemen besteht darin, mehrere Nutzlasten nebeneinander zu vergleichen, um Muster zu identifizieren. Der Electronic Codebook Mode (ECB) erzeugt eine Folge deterministischer Daten, indem er auf jeden Klartextblock dieselbe pseudozufällige Permutation anwendet, um Repeater-Chiffretextblöcke zu erstellen. Wir können dies in unserem Reverse-Engineering-Prozess anwenden, um möglicherweise auf eine pseudozufällige Nutzlast oder zwei identische Nutzlasten innerhalb der UDP-Pakete zu stoßen. Obwohl ich keine identischen Nutzlasten finden konnte, gab es viele, die einander sehr ähnlich waren. Die Bilder unten zeigen beispielsweise zwei Pakete, bei denen sich nur 5 Bytes unterscheiden. Die beiden Nutzlasten sind sehr ähnlich und weisen sogar eine Erhöhung um eins auf, was auf einen unverschlüsselten Datenstrom hinweist. Deduktives Denken Der Hauptansatz, den ich beim Reverse Engineering des DJI Mini 2 verwendet habe, bestand darin, deduktive Überlegungen anzuwenden, um Nutzlasten auf der Grundlage korrelierender Bedienereingaben zu vergleichen. Mithilfe der direkten Drohnensteuerungsanweisungen (z. B. Landung, Bewegung, Start usw.) zwang ich den Bediener, das repräsentative Netzwerkpaket zu signalisieren. Die Steuerbefehle waren in der Lage, den Befehlstyp und den Nutzlastinhalt zu signalisieren. Anschließend wurden die Pakete unter Verwendung der oben genannten binären Vergleichstechnik miteinander verglichen, um die Befehlsstruktur und Parameterwerte offenzulegen. Die Paketanalyse ergab ein Protokoll mit hohem Datenverkehr, das hauptsächlich aus Drohnen-zu-Betreiber-Paketen bestand, die auf der Maximum Transmission Unit (MTU) beruhten. Bitgenaues Denken Um mehr Informationen über die in den übertragenen Paketen gespeicherten Daten zu erhalten, wurde für die Analyse der Bits innerhalb der 56-Byte-Nutzlasten eine Technik namens „Bit-präzises Denken“ verwendet, um spezifische Urteile über die Eigenschaften jedes Pakets zu fällen. Um den Prozess zu vereinfachen, wurden Cluster verwendet, um Nutzlasten so zu aggregieren, dass sie jeweils genau die gleiche Länge haben. Ich empfehle dringend, zu lesen, das sich eingehend mit der Bit-Präzisionsmethode für Reverse Engineering von Drohnen befasst, um mehr über diese Technik zu erfahren. Die folgende Tabelle zeigt einen allgemeinen Überblick über die Informationen, die mithilfe bitgenauer Argumentation extrahiert werden konnten. dieses Forschungspapier DJI- Paketzerlegung mit Wireshark Während dieses Forschungsprozesses habe ich gelernt, dass die Paketzerlegung zur Aufklärung und zur digitalen Forensik/Reverse Engineering völlig unterschiedliche Ansätze erfordert. Glücklicherweise erwies sich die Paketzerlegung mithilfe passiver Aufklärung und eines Netzwerkkommunikationszergliederers als sehr praktisch für die Analyse der Kommunikationsschnittstellen des DJI Mini 2. Um mit der Paketzerlegung zu beginnen, habe ich die PCAP-Dateien heruntergeladen, die in von DJI-Kommunikationspaket-Dumps aufgeführt sind, das ein umfangreiches Protokoll der Kommunikationsdaten für alle Arten von DJI-Drohnen enthält, die Wireshark verwenden. Nachdem die PCAP-Dateien heruntergeladen waren, habe ich sie mit Wireshark und verschiedenen Dissektoren analysiert. diesem Repository Informationsformate analysieren Bevor wir uns eingehender mit dem spezifischen Paketzerlegungsprozess von DJI-Paketdumps befassen, ist es erwähnenswert, alles zu erwähnen UART steht für Universal Asynchronous Receiver-Transmitter und ist ein häufig verwendetes serielles Protokoll zur Übertragung von Informationen zwischen elektronischen Geräten, die den asynchronen Fluss von Datenbits nacheinander über eine einzige Kommunikationsleitung nutzen DUML steht für DJI Universal Markup Language und beschreibt das Close-Source-Protokoll für die DJI-Kommunikation. Es dient dazu, die internen Einstellungen des Geräts zu steuern oder Firmware-Updates zu initiieren Auch bekannt als Keyhole Markup Language. Hierbei handelt es sich um XML-Dateien, die speziell für die Anzeige geografischer Daten in Kartensoftware verwendet werden. KML-Dateien enthalten Daten zu bestimmten Orten, Formen, Pfaden und anderen geografischen Merkmalen DAT steht für Digitales Audioband. Sie beziehen sich auf die aufgezeichneten Flugdaten, die auf digitalen Audiobändern gespeichert sind. DAT-Dateien enthalten relevante Fluginformationen zur Analyse UART-Kommunikation: DUML-Streams: KML-Dateien: DAT Flight Logs: Die PCAP-Datei im DJI-Paket-Dump-Repository enthält einen riesigen Dump von Kommunikationsprotokollen verschiedener DJI-Hardware. Diese Speicherung von Kommunikationsprotokollen ermöglicht es uns, die interne Kommunikation von Protokollen zu entschlüsseln und bietet gleichzeitig einen guten Anhaltspunkt für die Suche nach Hardwareproblemen innerhalb der Hardware. Beispielsweise enthält die erste Protokolldatei einen Kommunikations-Dump vom UART-Dump der DJI P3X-Empfängerplatine. Der Datendump umfasst eine bilaterale Kommunikation zwischen einer OFDM (Orthogonal Frequency Division Multiplexing) MCU (Microcontroller Unit) und einem FC (Flight Controller) auf der Drohne über ein Flachbandkabel und das Programm p3x_ofdm_to_center_run1 comm_serial2pcap.py . Wireshark einrichten Um eine grundlegende DJI-Kommunikationsanalyse einzurichten, habe ich die in den DJI-Firmware-Tools aufgeführten verwendet. Die Tools zur Kommunikationsanalyse bieten die folgenden Funktionen: Kommunikationsanalysedateien - Anzeigefelder in erfassten DUML-Paketen von einer Drohnenquelle - Felder in Paketen anzeigen, die im Binärflug gespeichert sind - DAT-Dateien aufzeichnen - Visualisieren Sie Flüge über die KML-Exportfunktion Mit den Tools können Sie außerdem Protokollbefehle mithilfe der folgenden Optionen analysieren: - DUML-Stream-basierte PCAP-Dateien – PCAP-Dateien, die Dumps der USB/Ethernet-Kommunikation innerhalb eingebetteter DUML-Nutzlasten enthalten - DAT Flight Log-basierte PCAP-Dateien Um mit der Einrichtung Ihrer Umgebung zu beginnen, laden Sie alle unter diesem aufgeführten .lua-Dateien herunter. Öffnen Sie dann in Wireshark das Menü und gehen Sie zur . Link „Über Wireshark“ Registerkarte „Ordner“ Klicken Sie dann auf den Dateipfadverweis für und fügen Sie den gesamten Dateiinhalt ein Personal Lua Plugins . Sobald dies eingerichtet ist, aktualisieren Sie Wireshark mit dem Befehl , um alle Tools zur Kommunikationsanalyse zu laden. Sobald es geladen ist, öffnen Sie es und nehmen Sie die Aufgaben gemäß dem Bild unten vor: Strg+Umschalt+L Preferences -> Protocols -> DLT_USER -> Edit Nachdem die DLT-Tabelle initialisiert wurde, gehen Sie zu und passen Sie die Einstellungen an, um die gewünschten Protokollinformationen anzuzeigen. Das Folgende ist ein Beispiel für eine Möglichkeit, es zu konfigurieren: Preferences -> Appearance -> Columns Kommunikationssektion Mit den Tools zur Kommunikationsanalyse können wir die folgenden Informationen aus den DJI-Kommunikationsprotokollen extrahieren: Der Dissektor kann Informationen über die Struktur von Firmware-Dateien wie Header, Abschnitte und Datenabschnitte abgrenzen Die Tools können auch einzelne Firmware-Komponenten wie den Bootloader, die Flugsteuerungs-Firmware, die Kamera-Firmware, die Gimbal-Firmware usw. extrahieren Es können auch Konfigurationsparameter eingesehen werden, die Einstellungsinformationen für Komponenten wie Kamera, Flugsteuerung und Sensoren liefern Codefragmente und ausführbare Binärdateien können ebenfalls in der Firmware-Datei aufgedeckt werden Je nach Situation kann der Dissektor auch Teile von Firmware-Dateien entschlüsseln und verschlüsseln und so Informationen über den Firmware-Verschlüsselungsprozess preisgeben Wenn eine Firmware-Datei ein Dateisystem enthält, können die Tools auch Inhalte innerhalb dieses Dateisystems extrahieren und analysieren Firmware-Dateistruktur: Firmware-Komponenten: Konfigurationsparameter: Skripte: Verschlüsselung: Dateisysteminhalte: Tauchen Sie tiefer in die Wireshark-Dissektoren ein In Wireshark ist ein für die Interpretation und Dekodierung von Netzwerkprotokollen verantwortlich. Dissektoren sind nützlich, weil sie die erfassten Netzwerkpakete analysieren und daraus nützliche Informationen wie die Struktur, Felder und Codierungsregeln des Protokolls extrahieren und sie in einem für Menschen lesbaren Format anzeigen. Dissektor Mit Wireshark können Sie auch Ihre eigenen benutzerdefinierten Dissektoren mithilfe einer Programmiersprache namens entwickeln. Obwohl Wireshark in C geschrieben wurde und Dissektoren für das Programm normalerweise in C geschrieben werden, ermöglicht Wireshark auch das Schreiben von Dissektoren in der Programmiersprache Lua, um die Lernkurve für Leute, die neu in der Entwicklung sind, weniger steil zu gestalten. Lua ist eine multiparadigmatische, prozedurale und funktionale Programmiersprache mit integrierten objektorientierten Funktionen. Obwohl die Wahl von Lua als Sprache für die Dissektorentwicklung Kompromisse bei der Geschwindigkeit mit sich bringt, ist sie aufgrund ihres geringen Gewichts und der einfachen Erlernbarkeit in den meisten Fällen günstiger. Lua Grundlegende Einführung in Lua Wie ich bereits erwähnt habe, verfügt Lua über eine intuitive und einfache Code-Syntax, wobei Geschwindigkeit, Portabilität und Integration mit anderen Programmen im Auge behalten werden, sodass es leicht zu erlernen ist, ohne viel Funktionalität und Leistung zu opfern. Hier sind einige grundlegende Codeausschnitte, die die grundlegenden Funktionen der Sprache skizzieren: Variablen und Operationen local a = 25 local b = 5 local result = a + b print (result) -- Output: 30 Bedingte Anweisungen local temperature = 15 local heatSetting = 0 if temperature < 0 then heatSetting = 3 elseif temperature <= 20 then heatSetting = 2 else heatSetting = 1 end print (heatSetting) -- Output: 2 Schleifen -- While Loops local i = 0 while i < 10 do i = i + 1 end print (i) -- Output: 10 -- For Loops local i = 0 -- i = first, last, delta for i = 0 , 10 , 1 do print (i) end print (i) -- Output: 10 Tische local new_table = {} -- Table value assignment new_table[ 20 ] = 10 new_table[ "x" ] = "test" ax = 10 Funktionen function add (arg1, arg2) return arg1 + arg2 end local added_number = add( 2 , 3 ) print (added_number) -- Output: 5 Zusammenfassende Anmerkungen zu Lua Lua ist dynamisch typisiert Der Geltungsbereich wird entweder als lokal oder global angegeben. Global ist die Standardeinstellung Semikolons sind nicht erforderlich, wodurch Leerzeichen wertvoller werden – bezeichnet einen Kommentar i = i + 1 wird für die Variableninkrementierung verwendet ~= wird anstelle von != verwendet Zu den Typen gehören: Zeichenfolge, Zahl, Boolescher Wert, Null, Funktion, Benutzerdaten, Thread und Tabelle Null wird für einen Nichtwert verwendet In Bedingungen: Null und Falsch sind falsch, der Rest ist wahr. Luas einzige Datenstruktur ist Tabellen implementieren assoziative Arrays. Assoziative Arrays können sowohl durch Zahlen als auch durch andere Typen wie Zeichenfolgen indiziert werden. Sie sind dynamisch und werden oft als Objekte bezeichnet. eine Tabelle. Dissektor mit Wireshark einrichten Klicken Sie auf, um die Dissektorentwicklung mit Lua-Skripten in Wireshark einzurichten . Klicken Sie dort entweder auf die Ordnerreferenz „Personal Lua Plugins“ oder „Global Lua Plugins“. Der Pfad sollte etwa wie unter Windows aussehen Um einen Dissektor zu erstellen, initialisieren Sie eine Datei in diesem Verzeichnis wie folgt . Das Skript wird automatisch angewendet, sobald Wireshark neu geladen wird. Sie können Wireshark neu laden, indem Sie entweder die Anwendung neu starten oder alle Lua-Skripte mit neu laden Help -> About Wireshark -> Folders C:\Program Files\Wireshark\plugins\2.4.2 . example.lua Strg+Umschalt+L . Einrichten eines Protokolls Nachdem Sie nun alles eingerichtet haben, werde ich Sie durch ein rudimentäres Dissektorskript führen, das Informationen zu einem benutzerdefinierten Protokoll extrahiert und anzeigt. custom_protocol.fields = { field1, field2 } -- Create a new protocol for our custom protocol local custom_protocol = Proto( "CustomProtocol" , "Custom Protocol" ) -- Define the fields of our custom protocol local field1 = ProtoField.uint8( "custom_protocol.field1" , "Field 1" , base.DEC) local field2 = ProtoField. string ( "custom_protocol.field2" , "Field 2" ) -- Register the fields to the custom protocol -- Create a function to dissect the packets of our custom protocol function custom_protocol.dissector (buffer, pinfo, tree) -- Create a subtree for our custom protocol in the Wireshark GUI local subtree = tree:add(custom_protocol, buffer(), "Custom Protocol Data" ) -- Extract and display the values of Field 1 and Field 2 local field1_value = buffer( 0 , 1 ):uint() subtree:add(field1, buffer( 0 , 1 )):append_text( " (Value: " .. field1_value .. ")" ) local field2_value = buffer( 1 , 5 ): string () subtree:add(field2, buffer( 1 , 5 )):append_text( " (Value: " .. field2_value .. ")" ) end -- Register our custom protocol as a dissector in Wireshark local udp_port = DissectorTable.get( "udp.port" ) udp_port:add( 12345 , custom_protocol) – Der Code beginnt mit der Initialisierung eines benutzerdefinierten Protokolls mithilfe des aufgerufenen Proto-Objekts Eine Feldtabelle für das Protokoll wird initialisiert und enthält zwei benutzerdefinierte Felder: Und Die Dissektorfunktion für das Protokoll wird initialisiert, die einmal für jedes Paket aufgerufen wird, das den Typ des benutzerdefinierten Protokolls hat. Die Funktion übernimmt die Parameter , , Und . buffer enthält den Puffer und das des Pakets, enthält Spalten der Paketliste und ist die Baumwurzel CustomProtocol field1 field2 buffer pinfo tree Tvb-Objekt pinfo tree – Innerhalb der Dissektorfunktion erstellen wir einen Unterbaum im Abschnitt „Wireshark-Paketdetails“, der unser benutzerdefiniertes Protokoll als Feld zeigt - Im Abschnitt „Baumansicht“ zeigen wir die Paketinformationen für jedes der entsprechenden Felder innerhalb des benutzerdefinierten Protokolls an - Zuletzt weisen wir einem Port ein Protokoll zu. In diesem Fall lautet der verwendete Port für UDP 12345 Abschluss Insgesamt konnten wir durch den Einsatz von Wireshark in Verbindung mit einigen DJI-basierten Kommunikations-Dissektoren sensible Informationen offenlegen, die von DJI-Drohnen über ihre Kommunikationsprotokolle übertragen wurden. Ich hoffe, dass dieser skizzierte umfassende Rechercheprozess einige Reverse-Engineering-Techniken aufgezeigt hat, die Sie während Ihres Cybersicherheitsprozesses anwenden können, um möglicherweise Schwachstellen in bestehenden Systemen zu finden. Darüber hinaus hoffe ich, dass dieser Bericht bewiesen hat, dass Drohnen-Hacking zwar etwas mühsam, aber nicht unmöglich ist. Es ist wichtig, die Grenzen dessen, was derzeit über ein System bekannt ist, immer wieder zu erweitern, um bestehende Mängel hervorzuheben, bevor sie von böswilligen Akteuren bemerkt werden. In diesem Fall haben wir herausgefunden, dass Drohnenprotokolle selbst für große, vertrauenswürdige Markenhersteller wie DJI immer noch anfällig für das Abfangen von Daten und Reverse Engineering sind. Wenn man dies berücksichtigt, können konstruktive Maßnahmen ergriffen werden, um diese bestehenden Schwachstellen zu mindern und die Sicherheit der Drohnen-Kommunikationskanäle zu festigen. Auch hier veröffentlicht.