Шалом! Телега скрывает ІР-адреса пользователей, но давайте попробуем вычислить ІР-адрес другого пользователя.
Никакой софт нам особо не нужен, только сам Telegram и wireshark (https://www.wireshark.org/) для анализа трафика. Далее приводим только действия, которые необходимо выполнить:
1. Запускаем Wireshark и в фильтре обязательно указываем нужный нам протокол — STUN.
2. Затем нажми на лупу (Найти пакет) и ты увидишь, как у тебя появится новая строка с параметрами и поисковой строкой. Там выбираем параметр Строка.
3. В строке пишем XDR-MAPPED-ADDRESS.
4. Включаем wireshark и звоним через Telegram. Как только пользователь ответит на звонок, тут же у нас начнут отображаться данные и среди них будет ІР адрес юзера, которому звонили.
5. Чтобы понять, какой именно IP нам нужен, жмем уже в настроенном поисковике Найти, ищем в строке XDR-MAPPED-ADDRESS а то, что идет после него и есть нужный нам ІР.
КАК НАЙТИ ЧЕЛОВЕКА В 2021| УЗНАТЬ IP| ТЕЛЕГРАМ БОТ
Как этого избежать?
— Просто выключи peer-to-peer подключение и ничего не бойся.
Источник: 0bna1.cc
Как отследить IP-адреса с помощью Wireshark
Мануал
Автор cryptoparty На чтение 5 мин Опубликовано 19.01.2022
Введение в отслеживание IP-адреса с помощью Wireshark
Бывают случаи, когда нам необходимо отследить IP-адрес до его происхождения (страна, город, номер AS и т.д.).
Особенно, когда мы проводим сетевой анализ форензики, целью которого является обнаружение шаблонов атак и идентификация злоумышленников.
С помощью IP-геолокации мы можем определить географическое местоположение IP-адреса.
В Интернете существует множество бесплатных, а также коммерческих сервисов, которые предоставляют своим клиентам API (Application Programing Interface).
Когда вы задаете в googlе вопрос “Какой у меня IP-адрес?”, он, скорее всего, приведет вас на сайт, использующий такой API.
Я полагаю, вы спросите: “Откуда API получает геолокацию IP-адреса?”.
Ответ прост – из одного или нескольких RIR (Regional Internet Registry).
RIR – это некоммерческая организация, которая распределяет IPv4, IPv6 и ASN (номера автономных систем).
В мире существует 5 RIR, которые управляют IP-адресами для различных регионов.
Организация под названием IANA (Internet Assigned Numbers Authority) фактически контролирует распределение IP-адресов и номеров автономных систем и делегирует обязанности по управлению IP-адресами 5 RIR.
Ниже показано, какой RIR отвечает за тот или иной регион.
- AFRINIC (Latin America and Caribbean Network Information Centre) обслуживает Африку.
- ARIN (American Registry for Internet Numbers) обслуживает Антарктику, Канаду, часть Карибского бассейна и США.
- APNIC (Asia-Pacific Network Information Centre) обслуживает Восточную Азию, Океанию, Южную Азию и Юго-Восточную Азию.
- LACNIC (Latin America and Caribbean Network Information Centre) обслуживает большую часть Карибского бассейна и всю Латинскую Америку.
- RIPE (NCCThe Réseaux IP Européens Network Coordination Centre) обслуживает Европу, Центральную Азию, Россию и Западную Азию.
Как пользоваться Wireshark? Анализ трафика и расшифровка пакетов
MaxMind – одна из платформ, предоставляющих как коммерческие, так и бесплатные услуги, которые поддерживает Wireshark.
Шаг-1: Создайте учетную запись
Поскольку MaxMind требует регистрации для загрузки баз данных, нам необходимо создать учетную запись.
Перейдите по ссылке ниже для регистрации.
После создания учетной записи перейдите по ссылке ниже для загрузки баз данных.
После открытия ссылки (они часто обновляют ссылку), у нас будет возможность загрузить геолокационные данные в различных формах (.csv, mmdb и т.д.).
Шаг-2: Скачайте ZIP-файлы MaxMind в формате mmdb
Поскольку Wireshark поддерживает только формат mmdb, мы будем скачивать ZIP-файлы, содержащие файлы mmdb.
Эти базы данных можно использовать с Python, C#, Node, PHP и Ruby.
MaxMind рекомендует использовать официальные клиентские библиотеки для запросов к своим базам данных.
С помощью нескольких строк кода вы можете получить геолокацию и в своем приложении.
Создайте каталог и загрузите туда сжатые (расширение tar) файлы.
Wireshark не может использовать сжатые файлы.
Таким образом, нам нужно разархивировать их в тот же каталог.
В итоге в директории они должны выглядеть как показано ниже.
Добавление пути к базам данных MaxMind в Wireshark
Шаг-1: Доступ к настройкам Wireshark
Откройте Wireshark и перейдите в меню Edit → Preferences.
Шаг-2: Загрузите базу данных MaxMind в Wiresark
Появляется окно настроек.
В левой части окна мы нажимаем на “name resolution”
. Затем справа, в нижней части окна, есть кнопка редактирования, которая позволяет нам добавить базы данных MaxMind.
Нажмите на нее, появится небольшое окно. Выберите каталог, в котором хранятся ваши файлы.
Не забудьте, что расширение файлов должно быть “.mmdb”.
Wireshark будет автоматически загружать все файлы, заканчивающиеся этим расширением.
Поиск геолокации IP-адреса
После установки пути Wireshark не будет сразу показывать информацию о геолокации.
Поэтому необходимо перезапустить Wireshark, после чего он повторно просканирует pcap-файл и покажет информацию о геолокации в IP-заголовках.
Для лучшего понимания:
- Откройте Wireshark и посетите сайт example.com.
- Как только вы увидите пакеты сайта, остановите захват.
- Выберите любой пакет и разверните его IP-заголовок. Вы должны увидеть некоторую информацию о геолокации в IP-адресе источника или назначения.
- Если IP-адресом источника или назначения пакета является ваш локальный IP-адрес, вы не увидите никакой информации о геолокации в IP-заголовке, поскольку ваш IP-адрес находится в частной области видимости.
Wireshark фильтр по IP, по порту, по протоколу, по MAC
Любой анализатор протоколов должен иметь возможность не только захватить трафик, но и помочь эффективно его проанализировать. Основное отличие коммерческого анализатора протоколов от бесплатного – наличие встроенной экспертной системы, которая позволит быстро разобрать буфер по сервисам или типам ошибок. Что позволит существенно ускорить время локализации проблемы и работать с уже отсортированной и предварительно оцененной для вас информацией. Тут можно обратить внимание на решения от VIAVI Solutions под названием Observer или на ClearSight Analyzer от компании Netscout.
В случае если не выделяют бюджет, а проблемы есть, то остается запастись терпением и кофе и установить себе Wireshark. В сетях передачи данный на скоростях 1 Гбит/сек и выше буфер захвата трафика заполняется мгновенно и на выходе получается достаточно большой массив данных. Этот массив данных, понимая взаимодействие между различными устройствами в сети можно отфильтровать по разным параметрам. Для этого Wireshark имеет несколько возможностей:
- Цветовая кодировка ошибочных пакетов — можно настроить под себя. Пакеты, которые несут в себе ошибку, будут выделены в буфере специальным цветом.
- Фильтр через строку фильтрации. Вы имеете большой опыт в работе с Wireshark и протоколами и можете ввести фильтр самостоятельно. Большой выбор фильтров можно найти здесь.
- Выделение любой области в пакете, правый клик мыши и «Применить как фильтр». Метод для начинающих: очень удобно, так как не надо ломать голову.
Какие основные фильтры существуют для отображения трафика?
Wireshark фильтр по протоколу
Достаточно в строке фильтра ввести название протокола и нажать ввод. На экране останутся пакеты, которые относятся к искомому протоколу. Таким образом, фильтр выглядит:
Если буфер захвата необходимо отфильтровать по нескольким протоколам, то необходимо перечислить все желаемые протоколы и разделить их знаком ||. Например:
arp || http || icmp
Wireshark фильтр по IP адресу и фильтр по MAC
В зависимости от направления трафика фильтр будет немного отличаться. Например, мы хотим отфильтровать по IP адресу отправителя 50.116.24.50:
По получателю фильтр будет выглядеть ip.dst == x.x.x.x, а если хотим увидеть пакеты в независимости от направления трафика, то достаточно ввести:
В случае если нам необходимо исключить какой то адрес из поля отбора, то необходимо добавить != . Пример:
Если мы анализируем трафик внутри локальной сети и знаем MAC адрес пользователя, то можно указать в качестве фильтра Wireshark его MAC адрес, например:
Wireshark фильтр по номеру порта
При анализе трафика мы можем настроить фильтр по номеру порта, по которому осуществляет передачу трафика тот или иной протокол. Номера всех зарегистрированных портов можно узнать здесь. Пример:
Так же как и с адресами IP и MAС мы можем отдельно фильтровать по портам получения или отправления tcp.srcport и tcp.dstport. Кроме указания номеров портов Wireshark дает отличную возможность отфильтровать буфер по флагам в TCP протоколе. Например, если мы хотим увидеть TCP пакеты с флагом SYN (установление соединения между устройствами), то вводим в строке поиска:
Популярные фильтры
В таблице ниже приведены наиболее популярные фильтры для отображения содержимого буфера захвата:
Источник: networkguru.ru