Well the end bytes we are looking f

Well the end bytes we are looking for “ 0x0D 0x0A “ are right at the end of the string “User-Agent” and to get the first byte of the actual string I added two to the length of the search string to the two normal end bytes for the string “User-Agent”. So when I subtracted that full length from the end position of the actual User-Agent end bytes I ended up with “-2” so that tells me the User-Agent string is missing here. In order to overcome this and to find what was there if it returned “–2”, instead of returning “-2” for a length I would instead return 2 for the length of bytes to get and to be able to have the index where it is, thus only having 2 Characters.

The next one shows a User-Agent string but with the web address tacked onto it, so the end bytes I was looking for was missing where it should have been. I also had to truncate the last few characters “: */*” from those strings returned because it messed up the string builder that I used in the program and would not display anything after the first one.

So what else can we do with this information ? To be honest I’m not totally sure yet.

But, the next question is, once you find one of these how could you find the packet that this belongs to in Wireshark?

The answer, after pouring over the file format spec was to use the timestamp.

Each packet/frame has a timestamp in it.

What is the timestamp? It is a Epoch time stamp in GMT but the normal date time is displayed in the users local time. More on this in a bit.

Lets start from the beginning. First we find a interesting UA string we want to investigate so we use the UA tool to find the offset and jump to it in a hex editor.

For this example we will use the first unique U-A string found.

UA = Index Location: 0x1F48
Microsoft NCSI UA End

It is usually the first one seen when the computer tries to connect to the internet.

So we jump to that location and search “Up” for the 2 bytes “0x54 0x56 that will help us find the timestamp, “BF8C545617920A00”. When the year changes we will have to see what the bytes are.

Update: as December rolled around the bytes to search for changed to 0x60 0x54.

So if we just open the pcap of interest in Wireshark , pull a epoch timestamp and convert it to hex as done below then get the last 2 bytes of the first half (bytes 3,4 from left) of the time stamp that will give us the 2 bytes to search up for in the current pcap.

ผลลัพธ์ (ไทย) 1:

ดีไบต์สุดท้ายที่เรากำลังมองหา "0x0D 0x0A" อยู่ในตอนท้ายของสายอักขระ "ตัวแทนผู้ใช้" และรับไบต์แรกของสตริงที่แท้จริง ฉันเพิ่มสองความยาวของสตริงการค้นหาสองปลายปกติไบต์สำหรับสายอักขระ "ตัวแทนผู้ใช้" ดังนั้น เมื่อผมหักออกยาวจากตำแหน่งสิ้นสุดของไบต์สิ้นสุดแทนผู้ใช้จริงที่จบ ด้วย "-2" ดังนั้นที่บอกสายอักขระตัวแทนผู้ใช้ที่ขาดหายไปที่นี่ เพื่อที่ จะเอาชนะนี้ และ เพื่อค้นหาอะไรนั่นถ้ากลับ "ตั้งแต่-" แทนการส่งกลับ "-2" สำหรับความยาวที่จะแทนกลับไป 2 สำหรับความยาวของไบต์ที่ จะได้รับ และจะต้องมีดัชนี จึงมีเพียงตัวอักษร 2 ตัวถัดไปแสดงสายอักขระตัวแทนผู้ใช้ แต่ มีเว็บ อยู่ผนวกบนมัน ดังนั้นไบต์สุดท้ายที่กำลังสำหรับขาดที่ควรได้รับ นอกจากนี้ผมจะตัดทอนอักขระสองสามตัวสุดท้าย ": * / * " สตริงการเหล่านั้นถูกส่งกลับเนื่องจาก messed up ตัวสร้างสายอักขระว่า ใช้ในโปรแกรม และจะไม่แสดงข้อมูลใด ๆ หลังจากครั้งแรกหนึ่งดังนั้น อะไรที่เราทำนี้ จะซื่อสัตย์ ไม่แน่ใจทั้งหมดยังแต่ มีคำถามต่อไป เมื่อคุณพบหนึ่งเหล่านี้ ว่าคุณพบแพคเก็ตที่นี้อยู่ใน Wiresharkตอบ หลังจากการเทผ่านข้อมูลจำเพาะรูปแบบแฟ้มคือการ ใช้การประทับเวลาแพคเก็ตแต่ละเฟรมมีการประทับเวลาในการประทับเวลาคืออะไร การประทับเวลาของยุคใน GMT แต่วันปกติเวลาจะแสดงในเวลาท้องถิ่นของผู้ใช้ได้ เพิ่มเติมนี้ในบิตให้เริ่มจากจุดเริ่มต้น แรก เราค้นหาสายอักขระ UA น่าสนใจที่เราต้องการตรวจสอบเพื่อให้เราใช้เครื่องมือ UA เพื่อค้นหาบัญชีตรงข้าม และกระโดดไปในตัวแก้ไขหกสำหรับตัวอย่างนี้ เราจะใช้เฉพาะ U A สายอักขระแรกพบUA =ตำแหน่งดัชนี: 0x1F48Microsoft NCSI UA สิ้นสุดมันมักจะเป็นคนแรกที่เห็นเมื่อคอมพิวเตอร์พยายามที่จะเชื่อมต่อกับอินเทอร์เน็ตดังนั้นเราข้ามไปยังตำแหน่งที่ตั้ง และค้นหา "ข้อมูล" สำหรับไบต์ 2 "0x54 0x56 ที่จะช่วยให้เราค้นหาการประทับเวลา "BF8C545617920A00" เมื่อเปลี่ยนปี เราจะต้องดูคือไบต์ปรับปรุง: เป็นธันวาคมรีดรอบไบต์ต้องการค้นหา เปลี่ยนเป็น 0x60 0x54ดังนั้นหากเราเพียงแค่เปิด pcap น่าสนใจใน Wireshark ดึงการประทับเวลาของยุค และแปลงให้น๊อตด้านล่างเสร็จ แล้วรับ 2 ไบต์สุดท้ายแรกครึ่ง (ไบต์ 3, 4 จากซ้าย) ของการประทับเวลาที่จะให้เรา 2 ไบต์เพื่อหาค่าใน pcap ปัจจุบัน

ผลลัพธ์ (ไทย) 2:

ดีไบต์ท้ายที่สุดเรากำลังมองหา "0x0D 0x0A" มีสิทธิที่สิ้นสุดของสตริง "User-Agent" และเพื่อให้ได้ไบต์แรกของสตริงที่เกิดขึ้นจริงผมเพิ่มสองถึงความยาวของสตริงค้นหาเพื่อทั้งสองปลายปกติ ไบต์สำหรับสตริง "User-Agent" ดังนั้นเมื่อผมหักที่ยาวเต็มรูปแบบจากตำแหน่งในตอนท้ายของไบต์ End User-Agent จริงฉันสิ้นสุดขึ้นด้วย "-2" ดังนั้นที่บอกฉันสตริง User-Agent จะหายไปที่นี่ เพื่อที่จะเอาชนะนี้และเพื่อค้นหาสิ่งที่อยู่ที่นั่นถ้ามันกลับมา "-2" แทนที่จะกลับ "-2" สำหรับความยาวผมจะกลับมาแทน 2 สำหรับความยาวของไบต์ที่จะได้รับและเพื่อให้สามารถที่จะมีดัชนีที่ มันเป็นจึงมีเพียง 2 ตัวอักษร.

หนึ่งต่อไปแสดงให้เห็นสตริง User-Agent แต่มีที่อยู่เว็บติดอยู่บนมันดังนั้นไบต์ท้ายที่สุดผมกำลังมองหาที่ขาดหายไปที่ที่มันควรจะได้รับ ฉันยังมีการตัดตัวอักษรไม่กี่สุดท้าย ": * / *". จากสตริงเหล่านั้นกลับมาเพราะมัน messed up สร้างสตริงที่ผมใช้ในโปรแกรมและจะไม่แสดงอะไรหลังจากครั้งแรกหนึ่ง

ดังนั้นอะไรที่เราสามารถทำอะไรกับเรื่องนี้ ข้อมูล ? จะซื่อสัตย์ฉันไม่แน่ใจว่าทั้งหมดยัง.

แต่คำถามต่อไปคือเมื่อคุณพบว่าหนึ่งในจำนวนนี้วิธีการที่คุณสามารถพบกับแพ็คเก็ตที่ว่านี้เป็นใน Wireshark?

คำตอบหลังจากที่ไหลผ่านข้อมูลจำเพาะรูปแบบไฟล์คือการใช้ การประทับเวลา.

แต่ละแพ็คเก็ต / กรอบมีการประทับเวลาในนั้น.

ประทับเวลาคืออะไร? มันเป็นยุคการประทับเวลาใน GMT แต่วันเวลาปกติจะแสดงในเวลาท้องถิ่นของผู้ใช้ เพิ่มเติมเกี่ยวกับเรื่องนี้ในบิต.

ให้เริ่มต้นจากจุดเริ่มต้น ครั้งแรกที่เราพบสตริง UA ที่น่าสนใจที่เราต้องการที่จะตรวจสอบเพื่อให้เราใช้เครื่องมือ UA เพื่อหาสิ่งที่ชดเชยและข้ามไปยังมันในตัวแก้ไขฐานสิบหก.

สำหรับตัวอย่างนี้เราจะใช้งานครั้งแรกสตริง UA ที่ไม่ซ้ำกันพบ.

UA = ดัชนีสถานที่ตั้ง: 0x1F48
ไมโครซอฟท์ NCSI UA End

มันมักจะเป็นคนแรกที่เห็นเมื่อคอมพิวเตอร์พยายามที่จะเชื่อมต่อกับอินเทอร์เน็ต.

ดังนั้นเราจึงข้ามไปยังสถานที่ที่และค้นหา "ขึ้น" สำหรับ 2 ไบต์ "0x54 0x56 ที่จะช่วยให้เราหาประทับเวลา" BF8C545617920A00 " เมื่อมีการเปลี่ยนแปลงปีที่เราจะต้องดูว่าไบต์มี.

ปรับปรุง:. เดือนธันวาคมกลิ้งไปรอบไบต์เพื่อค้นหาเปลี่ยนไป 0x60 0x54

ดังนั้นหากเราเพียงแค่เปิด pcap ที่น่าสนใจใน Wireshark ดึงประทับยุคและแปลงเป็น ซวยทำตามด้านล่างแล้วได้รับช่วง 2 ไบต์ของช่วงครึ่งปีแรก (3,4 ไบต์จากซ้าย) ของการประทับเวลาที่จะให้เรา 2 ไบต์ในการค้นหาขึ้นอยู่ในปัจจุบัน pcap

ผลลัพธ์ (ไทย) 3:

ดีสุดท้ายไบต์เรากำลังมองหา " 0x0d 0x0a " อยู่ที่ปลายสาย " ตัวแทนผู้ใช้ " และที่จะได้รับครั้งแรกของสตริงไบต์จริงฉันเพิ่มสองความยาวของสตริงการค้นหาเพื่อสองปกติจบไบต์สำหรับอักขระ " ตัวแทนผู้ใช้ " ดังนั้นเมื่อผมหักออกที่ความยาวเต็มจากจุดสิ้นสุดของผู้ใช้ที่แท้จริงตัวแทนสิ้นสุดไบต์จบลงด้วย " - 2 " เพื่อบอกผู้ใช้ตัวแทนข้อความขาดหายไป เพื่อที่จะเอาชนะนี้และพบว่ามี ถ้ามันกลับ " - 2 " แทนที่จะคืน " - 2 " ความยาวผมจะแทนกลับ 2 สำหรับความยาวของไบต์ที่ได้รับ และสามารถมีดัชนีที่เป็น จึง มันมีแค่ 2 ตัวหน้าแสดงสตริงตัวแทนผู้ใช้แต่ด้วยที่อยู่เว็บ tacked บน ดังนั้นท้ายที่สุดไบต์ที่ฉันถูกมองหาหายไปที่ควรจะได้รับ ผมยังต้องตัดไม่กี่ตัวอักษร " : * / * " จากสายอักขระเหล่านั้นกลับมาเพราะมันพัง สายที่ผมใช้ในการสร้างโปรแกรมและจะไม่แสดงอะไรเลยหลังจากที่ครั้งแรกหนึ่งดังนั้นอะไรที่เราสามารถทำได้ ด้วยข้อมูลนี้ บอกตามตรงผมไม่มั่นใจเลยแต่ คำถามต่อไปก็คือ เมื่อคุณพบหนึ่งเหล่านี้คุณสามารถหาแพคเกจที่เป็นของใน Wireshark ?ตอบ หลังจากเทมากกว่ารูปแบบไฟล์ spec ต้องใช้เวลา .แต่ละแพ็กเก็ต / กรอบมีการประทับเวลาในอะไรคือเวลา ? มันเป็นยุคของแสตมป์ในเวลา GMT แต่เวลาวันปกติจะปรากฏในผู้ใช้ตามเวลาท้องถิ่น เพิ่มเติมเกี่ยวกับเรื่องนี้ในบิตให้เริ่มจากจุดเริ่มต้น ครั้งแรกที่เราพบที่น่าสนใจมากสายเราต้องการสอบสวนให้เราใช้เครื่องมือค้นหาของคุณหรือกระโดดในแก้ไขฐานสิบหกสำหรับตัวอย่างนี้ เราจะใช้เฉพาะจากคุณสายแรกที่พบสถานที่ของคุณ : 0x1f48 = ดัชนีMicrosoft ncsi มากจบมันมักจะเป็นคนแรกที่เห็นเมื่อคอมพิวเตอร์พยายามเชื่อมต่อกับอินเทอร์เน็ตดังนั้น เราก็กระโดดไปที่สถานที่และการค้นหา " ขึ้น " สำหรับ 2 ไบต์ " 0x54 0x56 ที่จะช่วยให้เราหาเวลา " bf8c545617920a00 " เมื่อปีที่แล้วการเปลี่ยนแปลงเราจะต้องเห็นสิ่งที่ไบต์ .อัพเดท : ธันวาคมกลิ้งไบต์เพื่อค้นหาเปลี่ยน 0x60 0x54 .ดังนั้น ถ้าเราไม่เปิด pcap ของความสนใจใน Wireshark ดึงให้เวลาและแปลงเป็น Hex เป็นทำด้านล่าง แล้วเอา 2 ไบต์สุดท้ายของครึ่งแรก ( ไบต์ 4 จากด้านซ้าย ) ของเวลาที่จะให้เรา 2 ไบต์เพื่อค้นหาสำหรับใน pcap ในปัจจุบัน