Wireshark in Kali Linux: che cosa è, a cosa serve e come usarlo nell'Ethical Hacking

Wireshark è uno degli strumenti più importanti per analizzare il traffico di rete. In Kali Linux, distribuzione pensata per il penetration test e l'ethical hacking, è spesso già presente e rappresenta un alleato fondamentale per analizzare pacchetti, individuare vulnerabilità e riconoscere attacchi come ARP spoofing e man in the middle.

In questo articolo vediamo che cosa è Wireshark, come si usa in Kali Linux, i principali utilizzi nell'ambito dell'ethical hacking, quando si usa durante un penetration test e come sfruttarlo per verificare possibili attacchi di ARP spoofing.

💻 Che cosa è Wireshark

Wireshark è un network protocol analyzer, ovvero un software che permette di catturare e analizzare in dettaglio i pacchetti che transitano su una rete. Supporta centinaia di protocolli diversi e consente di ispezionare ogni singolo pacchetto, dal livello fisico fino alle applicazioni.

Con Wireshark è possibile:

• catturare il traffico di rete in tempo reale
• analizzare protocolli come TCP, UDP, HTTP, DNS, ARP, TLS e molti altri
• riconoscere anomalie nelle comunicazioni
• ispezionare dati sensibili trasmessi in chiaro
• effettuare analisi forense su file di cattura salvati in precedenza

🖥 Wireshark in Kali Linux

Kali Linux include Wireshark tra gli strumenti di analisi di rete, perché è ampiamente utilizzato da penetration tester e professionisti della sicurezza informatica.

Per avviare Wireshark in Kali Linux puoi:

• cercarlo nel menu: Applications → Sniffing and Spoofing → Wireshark
• oppure eseguirlo dal terminale con il comando:

  wireshark

In molti casi è necessario avviarlo con permessi elevati per poter catturare il traffico su tutte le interfacce di rete.

🕵 Utilizzo di Wireshark nell'ambito dell'Ethical Hacking

Nell'ethical hacking Wireshark viene utilizzato per osservare il comportamento della rete e delle applicazioni, individuare traffico sospetto e confermare la presenza di vulnerabilità o attacchi in corso.

I principali utilizzi includono:

• sniffing del traffico in rete locale
• analisi di protocolli non cifrati per recuperare informazioni sensibili
• monitoraggio di attacchi man in the middle
• riconoscimento di tentativi di ARP spoofing e DNS spoofing
• analisi forense delle comunicazioni dopo un incidente di sicurezza

⚠ Quando si usa Wireshark durante un penetration test

Durante un penetration test, Wireshark può essere utilizzato in diverse fasi del processo di valutazione della sicurezza della rete.

Fase di raccolta informazioni

Nella fase di information gathering, Wireshark permette di:

• identificare host e dispositivi attivi sulla rete
• osservare quali protocolli vengono utilizzati
• individuare servizi potenzialmente vulnerabili o non cifrati

Fase di analisi delle vulnerabilità

Wireshark aiuta a verificare se:

• le comunicazioni passano in chiaro invece che in HTTPS o altri protocolli cifrati
• dati sensibili vengono trasmessi senza protezioni adeguate
• vi sono anomalie nei flussi di traffico che possano indicare configurazioni errate

Fase di exploitation e post exploitation

Quando un penetration tester esegue attacchi come man in the middle, ARP spoofing o DNS spoofing, Wireshark è lo strumento ideale per:

• confermare che il traffico passa attraverso la macchina di test
• analizzare in dettaglio i pacchetti modificati o intercettati
• studiare il comportamento di eventuali malware o payload durante il post exploitation

🔧 Come si usa Wireshark: passi fondamentali

Selezionare l'interfaccia di rete

Una volta avviato Wireshark, la prima operazione consiste nel selezionare l'interfaccia di rete sulla quale catturare il traffico, ad esempio:

• eth0 per connessioni cablate
• wlan0 per connessioni WiFi
• interfacce in modalità monitor per analisi wireless avanzate

Dopo la selezione, clicca su Start per avviare la cattura dei pacchetti.

Applicare filtri di cattura e di visualizzazione

Senza filtri, il traffico visualizzato può essere enorme. È utile restringere la vista con filtri mirati:

• per mostrare solo il traffico HTTP:

  http

• per mostrare solo il traffico DNS:

  dns

• per filtrare i pacchetti ARP:

  arp

• per vedere solo il traffico verso una certa destinazione:

  ip.dst == 192.168.1.10

Analizzare le conversazioni

Una funzione molto utile in ambito ethical hacking è "Follow TCP Stream", che consente di ricostruire le conversazioni tra client e server, come richieste HTTP, login non cifrati e scambio di dati sensibili.

🐍 Verifica di ARP spoofing con Wireshark

Uno degli usi più importanti di Wireshark per chi si occupa di sicurezza è la rilevazione di possibili attacchi di ARP spoofing, tecnica largamente usata per realizzare un attacco man in the middle.

Monitorare il traffico ARP

Per controllare se vi sono anomalie nelle risposte ARP, è possibile applicare filtri dedicati:

• visualizzare solo pacchetti ARP:

  arp

• mostrare solo risposte ARP:

  arp.opcode == 2

Se noti più risposte ARP per lo stesso IP ma con MAC address differenti, potrebbe essere in corso un attacco di ARP spoofing.

Approfondimento sulla verifica di ARP Spoofing

Per una guida più approfondita dedicata all'ARP Spoofing e alla sua rilevazione, puoi consultare l'articolo completo disponibile sul sito:

Vai all'articolo sull'ARP Spoofing

🚀 Perché Wireshark è fondamentale per il penetration test

Wireshark è uno strumento indispensabile nel penetration testing perché consente di vedere esattamente cosa accade nella rete: protocolli, porte, indirizzi, tempi, contenuti e anomalie.

Grazie alle sue capacità di analisi, un penetration tester può:

• identificare vulnerabilità legate a protocolli non cifrati
• verificare la presenza di attacchi MITM o ARP spoofing
• confermare la trasmissione di dati sensibili in chiaro
• produrre evidenze tecniche da inserire nei report finali

🔍 Conclusioni

Wireshark è uno strumento avanzato, completo e fondamentale in Kali Linux per chi si occupa di sicurezza informatica. Permette di analizzare il traffico di rete, individuare vulnerabilità, verificare attacchi in corso e svolgere analisi forense.

Combinato con strumenti e tecniche di verifica dell'ARP spoofing, Wireshark permette di avere un controllo completo sulla sicurezza della rete, sia in ambienti domestici che aziendali.