אם אתם עובדים עם USB, אנדרואיד, IoT, או כל סוג של חומרה מחוברת, במוקדם או במאוחר תצטרכו להתמודד עם כשלים בתקשורת, ספירות לא שלמות, או גורמים שאינם מספקים רמזיםבנקודה הזו, להיכנס בעיוורון זה גיהנום: אתה צריך לראות מה באמת קורה "על הכבל" ובמערכת ההפעלה.
החדשות הטובות הן שכיום יש לנו מערכת אקולוגית בוגרת מאוד של כלי עזר לניפוי שגיאות ב-USB, לכידת תעבורה ואבחון שגיאותמכלי זיהוי חומרה בקוד פתוח ועד Wireshark, ETW ב-Windows, ADB באנדרואיד וכלים ספציפיים עבור USB 3.x, נאחד את כולם ונעצב אותם למדריך קוהרנטי כדי שתוכלו לבחור את הכלי המתאים לבעיה שאתם מתמודדים איתה.
מרחפי חומרה של USB: ראיית האפיק כפי שהוא
כאשר הבעיה נמצאת בשכבה התחתונה, מה שצריך זה צוות ש ליירט תעבורת USB מבלי להסתמך על מערכת הפעלה, מנהלי התקנים או ממשקי APIכאן נכנסים לתמונה מגלילי חומרה ייעודיים.
אחד הפרויקטים המעניינים ביותר של השנים האחרונות הוא מכשיר USB 2.0 בגודל כיס שעוצב על ידי אלכס טרדוב, מכשיר ש... חומרה פתוחה לחלוטין מה שמאפשר ללכוד תעבורה במהירות גבוהה (480 מגה-ביט לשנייה) ולשלוח אותה ישירות לפורמט PcapNG לצורך ניתוח באמצעות Wireshark.
ליבת העיצוב מבוססת על א מיקרו-בקר Cypress CY7C68013A, פופולרי מאוד כממשק USB גנרי, הפועל בתדר 48 מגהרץ, אליו נוסף סריג FPGA MachXO2-2000HC אחראי על שחזור אות NRZI וניהול הסנכרון, בנוסף ל- משדר-מקלט USB3343 אשר מתחבר פיזית לקווי D+ ו-D- של אפיק ה-USB. יחד הם יוצרים צינור שבו ה-PHY לוכד את האות, ה-FPGA מרכיב מחדש את החבילות, והמיקרו-בקר אורז אותן לבלוקים של PcapNG עם חותמות זמן מדויקות.
הודות לארכיטקטורה זו ללא מערכת הפעלה ביניים, המכשיר מסוגל לשמור קצב מתמשך בטווח של 40-50 מגה-בייט/שנייההוא מתקרב לגבולות המעשיים של USB 2.0 High Speed, עם דיוק לכידה שקשה להשיג באמצעות תוכנה בלבד. הפרויקט כולו, כולל קושחה, קוד Verilog וסכמות, זמין במאגר של המחבר, מה שמקל על לימוד, שינוי או אפילו ייצור הלוח.
נקודה חזקה נוספת היא גודלו: הלוח קטן מספיק כדי להיכנס לכיס ואינו דורש SBC או מחשב ייעודי שני. בניגוד לפרויקטים קודמים המבוססים על מיני PC (כמו tinySniffer עם NanoPi NEO Air), כאן ה-FPGA עושה את עבודת העיבוד, המיקרו-בקר מוגבל להזמנת ושליחת נתונים, והמחשב האישי רק מקבל ומציג אותם.זה מפחית מאוד את הסיכון להפסדים עקב עומס על המעבד, השהייה או ריצוד בחותמות זמן.
Wireshark כבן לוויה טבעי לאיתור ניפוי שגיאות ב-USB וברשת
רוב תוכנות גישוש החומרה המודרניות, כולל אלו של טראדוב, מעבירות תעבורה אל קבצי PcapNG כך שתוכלו לפתוח אותם ישירות עם Wiresharkזה הגיוני לחלוטין: Wireshark הוא הסטנדרט דה פקטו לניתוח פרוטוקולים, הן רשת והן USB.
Wireshark הוא א מנתח פרוטוקולים המאפשר לך לראות, חבילה אחר חבילה, מה מועבר בין התקניםהוא תומך ב-Ethernet, Wi-Fi, Bluetooth, ATM, USB, Token Ring, Frame Relay ו-FDDI, ומבין מאות פרוטוקולים פיזיים, קישורי נתונים, רשת, תעבורה ושכבת יישומים. ניתן ללכוד בזמן אמת או לשמור לכידות ולנתח אותן במצב לא מקוון בכל עת שתרצו.
בנוסף לממשק הגרפי, Wireshark כולל TShark, גרסת שורת הפקודה שלהזה מאוד שימושי לאוטומציה של ניתוח, עבודה דרך SSH, או שילוב שלו בסקריפטים. שניהם חולקים את אותם מסננים רבי עוצמה, וזה המקום שבו טמון חלק ניכר מהקסם: אתה יכול לשמור רק את מה שמעניין אותך (נקודת קצה, PID, IP ספציפי, זרימת TLS וכו') ולשכוח משאר הרעש.
בהקשר של USB, כאשר הלכידה מגיעה ממכשיר פיזי, Wireshark אינו מוגבל על ידי מנהלי התקנים של המערכת: הוא רואה עסקאות בקרה, כמות גדולה, פסיקה ואיזוכרוניות בדיוק כשהן נעות לאורך האפיק. התוסף הספציפי מפרש... שדות כגון PID, כתובת התקן, נקודת קצה, אורכי נתונים, דגלים וחותמות זמן של חומרהזהו המפתח לאיתור שגיאות מדוע התקן אינו מונה, מדוע מתאר שגוי, או מדוע נקודת קצה אינה מגיבה כשהיא אמורה להגיב.
Wireshark יכול לקרוא ולכתוב פורמטי לכידה מרובים, כגון libpcap/tcpdump, pcapng ואחריםואפילו לדחוס תוך כדי תנועה עם GZIP. הוא תומך בטכנולוגיות שונות (Ethernet, 802.11, PPP/HDLC, Bluetooth, USB וכו') וכאשר המפתחות המתאימים זמינים, הוא מסוגל לפענח IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP, WPA/WPA2 ועוד, מה שמרחיב מאוד את טווח ההגעה שלו בסביבות מוצפנות ו-Zero Trust.
Wireshark בסביבות אבטחת סייבר ו-Zero Trust
למרות שיותר ויותר תעבורה מוצפנת, Wireshark נשאר חלק מרכזי בארגז הכלים של כל צוות כחולהצפנה מסתירה את התוכן, אך לא את המטא-דאטה: כתובות IP, פורטים, דפוסי חיבור, גדלי חבילות, תזמונים, שינויים פתאומיים בהתנהגות וכו'.
בארכיטקטורות Zero Trust, שבהן הכל מוצפן אפילו בתוך הרשת הפנימית, Wireshark משולב לעתים קרובות עם כלים כמו כנר או mitmproxy Wireshark יכול לבדוק באופן סמכותי תעבורת HTTPS באמצעות אישורים משלו או סיום TLS מבוקר. בנוסף, Wireshark יכול להשתמש בקבצי מפתח TLS (SSLKEYLOGFILE) שנוצרו על ידי דפדפנים מודרניים כדי... לפענח באופן סלקטיבי TLS 1.3, HTTP/2, או אפילו חלקים מתעבורת QUIC/HTTP/3 כאשר מפתחות הסשן זמינים.
בפועל, בסופו של דבר נעשה שימוש במודל היברידי: פלטפורמות SIEM/SOAR (Sentinel, Elastic, Splunk וכו') וחיישנים כמו Zeek או Suricata מייצרים התראות ולוגים ברמה גבוההWireshark, לעומת זאת, משמש להתעמקות בפרטים של אירוע ספציפי, צפייה בחבילות בפועל, שחזור זרימות ותיקוף השערות. שילוב זה מפחית תוצאות חיוביות שגויות ומאיץ מאוד את התגובה לאירוע.
Wireshark מוערכת מאוד גם בעולם ה- תגובה לאירועים הקשורים ל-SSH, RDP או VPNאפילו אם התוכן מוצפן, ניתן להבחין בין סשנים מוצלחים לניסיונות כושלים לפי משך הזרימה, גודל החבילות, הזמן בין הודעות או מספר ניסיונות האימות. זוהי דרך מתוחכמת למדי לזהות התקפות של גניבת אישורים או סריקות גישה מרחוק מסיביות.
בצד ההתקפי, קבוצות אדומות ו-penetesters משתמשים הרבה ב-TShark וב-tcpdump כדי... ריגול אחר תנועה, זיהוי שירותים ופרוטוקולים בשימוש, תצפית על התנהגות ההגנות, או האם ישנה בדיקה היקפית מעמיקהבשילוב עם Scapy, ניתן ליצור ולהזריק חבילות מותאמות אישית ולראות את תגובת הרשת בזמן אמת.
ניפוי באגים ואבחון ב-USB ב-Windows עם ETW וכלים ספציפיים
במערכת האקולוגית של Windows, בנוסף למנתח החבילות הקלאסי, יש לך תשתית חזקה מאוד המבוססת על מעקב אחר אירועים עבור Windows (ETW) מה שמאפשר רישום בפירוט רב של מה שקורה במחסנית ה-USB: ספירה, שינויי סטטוס פורטים, הפסקות חשמל, בעיות אתחול המכשיר וכו'.
בקר רכזת ה-USB פולט אירועי ETW עם משימות שונות שניתן ללכוד ולהציג באמצעות כלים כמו Netmon או תחליפו המודרני, הודעה Microsoft Analyzer (כיום הופסק ייצורו, אך עדיין בשימוש בסביבות רבות) או עם מציגי ETW עדכניים יותר. על ידי סינון עבור משימת "ספירת רכזת USB" (משימה 2), ניתן להתמקד רק באירועים הרלוונטיים לחיבור מכשיר, תוך התייעצות מדריכי אבחון של יציאות USB ב-Windows.
לדוגמה, בעת חיפוש אירועים כמו "התחל ספירת פורטים" או "ספירת פורטים הושלמה"ניתן למדוד כמה זמן לוקח למערכת לספור התקן, באיזה שלב הוא נתקע, או אם ישנן קפיצות חשמליות במהלך הגילוי (debounce). הרעיון הוא למדוד את המרווחים בין אירועים כגון:
- התחל ספירת פורטים → ספירת פורטים הושלמהזמן ספירה כולל.
- IoInvalidateDeviceRelations → IRP_MN_QUERY_DEVICE_RELATIONS: הזמן שלוקח ל-PnP להתחיל את שאילתת ההתקן.
- IRP_MN_QUERY_DEVICE_RELATIONS הושלם → IRP_MN_START_DEVICE נשלחעיכוב בין זיהוי ה-PDO החדש לבין ההפעלה האפקטיבית של המכשיר.
ישנן גם משימות ETW ספציפיות עבור מחזור ההפעלה, כגון הפעלה מחדש של המכשיר ממצב שינה (D0), השעיה סלקטיבית של רכזות ועיבוד IRP של הפעלת המכשיר. מדידה בין אירועים "הגדרת התקן USB D0 הגדרת צריכת חשמל של התקן IRP נשלחה" ו-"...הושלם" ניתן לדעת אם צוואר הבקבוק נמצא במכשיר עצמו, בדרייבר, או ב... בעיות חשמל ב-USB.
ב-Windows 8 ואילך, מיקרוסופט הוסיפה גם הרחבות ניפוי באגים ספציפיות ל-USB 3.0 וכלי ניפוי שגיאות חדשים ב-Visual Studio/WinDbg המיועדים למערכת האקולוגית של xHCI. הרחבות אלו מציגות את מצב הבקר, תורי ההעברה, נקודות הקצה, מצב היציאה ופרטים ברמה נמוכה, אשר בשילוב עם ETW ולכידת תעבורה, מקלים מאוד על איתור תקלות עדינות במנהלי התקנים ובקושחה. מדריכים זמינים גם עבור זהה את גרסת יציאות ה-USB כאשר יש ספקות לגבי התאמה.
אנדרואיד ניפוי שגיאות גשר (ADB): ניפוי שגיאות ותעבורת USB/רשת באנדרואיד
אם אתם חובבי טלפונים ניידים וטאבלטים, המקבילה של "אולר שוויצרי" לאבחון היא... גשר ניפוי שגיאות אנדרואיד (adb)זהו כלי לקוח-שרת המאפשר למכונת הפיתוח שלך לתקשר עם מכשירי אנדרואיד באמצעות USB ו-Wi-Fi.
ארכיטקטורת ה-adb מורכבת משלושה חלקים: לקוח (adb) שאתה מפעיל במחשב שלך, דמון (adbd) שפועל על המכשיר, ו שרת אשר נמצא במחשב שלך ומשמש כמתווך ביניכם. השרת פותח את פורט TCP 5037, ואם ישנם אמולטורים, מחפש אותם בטווח הפורטים 5555-5585 כדי להתחבר לכל מופע.
כדי לאפשר ניפוי שגיאות USB, עליך להפעיל את אפשרויות למפתחים וניפוי שגיאות USB במכשיר; אם יש לך בעיות בחיבור, התייעץ מה לעשות אם הטלפון שלך לא מזהה את ה-USBהחל מ-Android 4.2.2, כל מחשב מחובר חייב להיות מורשה במפורש באמצעות תיבת דו-שיח המציגה מפתח RSA, כדי למנוע מכל מכשיר לא ידוע לשלוט במכשיר הנייד פשוט על ידי חיבורו.
באנדרואיד 11 ואילך, גוגל הוסיפה את ניפוי שגיאות אלחוטיזה מאפשר לך לזווג את המכשיר ותחנת העבודה שלך דרך Wi-Fi באמצעות קוד QR או קוד צימוד, ללא צורך בכבל. מ-Android Studio, תוכל להשתמש באפשרות "Pair Devices Using Wi-Fi" או לעשות זאת משורת הפקודה עם adb pair ip:puerto y adb connect ip:puerto.
לאחר חיבור המכשיר, adb מציע לך קטלוג עצום של אפשרויות עבור אבחון בעיות באפליקציות, במערכות וברשת:
- התקנה והסרה של קבצי APK (
adb install,adb uninstall), גם חבילות APK מרובות לפי פיצול. - העברת פורטים (
adb forward tcp:host tcp:deviceoa sockets מקומיים), שימושי מאוד לאיתור שגיאות בשירותים פנימיים. - העתק קבצים בתוך ומחוץ למכשיר (
adb pull,adb push). - פתיחת מעטפת אינטראקטיבית (
adb shellולהפעיל פקודות וכלים של יוניקס כגוןtoyboxologcat.
בנוסף, adb משלב גישה מהירה לתת-מערכות מפתח באמצעות כלי עזר כגון am (מנהל פעילות), pm (מנהל חבילות) או dpm (מנהל מדיניות התקנים)בעזרתם ניתן להפעיל פעילויות, להפעיל מחדש שירותים, להפסיק תהליכים בעייתיים, לכפות פעולות ערימה (heap dumps), לשלוט בפרופילים, לתפעל הרשאות, ליצור או למחוק משתמשים, להגדיר בעלי מכשירים/פרופילים בסביבות ארגוניות וכו'.
עבור ניפוי שגיאות ויזואלי, יש לך פקודות כמו screencap y screenrecordהמאפשרים לך לצלם צילומי מסך או להקליט וידאו של מה שקורה במכשיר ולאחר מכן לחלץ אותו באמצעות adb pullאידיאלי לתיעוד באגים או זרימות בממשק המשתמש שבהן לכידת התעבורה צריכה להיות ממוקמת בהקשר של מה שהמשתמש רואה.
רחרוח טורית ואפיקים תעשייתיים: כאשר לא הכל USB או Ethernet
בסביבות אוטומציה תעשייתית, במערכות CNC, בקרים מבוקרים או אלקטרוניקה משובצת, נפוץ מאוד למצוא תקשורת המבוססת על UART/TTL, RS-232 או RS-485 עם פרוטוקולים כגון Modbus RTU או ASCII, תקשורת קניינית של ציוד תעשייתי וכו'. כדי לאתר באגים, טכניקה קלאסית ויעילה מאוד היא הרחה פיזית במצב פסיבי.
הרעיון הוא להקים "מחשב מרחרח" עם שני מתאמים מ-USB ל-serial שכניסות ה-RX שלהם מחוברות במקביל לכניסות ה-TX של המחשב הראשי ושל התקן היעד, תוך שיתוף הארקה אך מבלי לחבר את כניסות ה-TX של המתאמים כדי למנוע הפרעות. ניתן לעשות זאת באמצעות תוכנה כגון כלי סריאלי או כל מסוף מתקדם, פתח שני פורטים (לדוגמה, COM5 ו-COM6) והתאם את המהירות והפורמט (בדרך כלל 115200-8N1, אך ניתן לנסות הגדרות שונות או למדוד באמצעות אוסצילוסקופ).
הפרוטוקול הטורי האסינכרוני (ביט התחלה, 7/8 ביט נתונים של LSB תחילה, זוגיות אופציונלית וביטות עצירה) זהה בין אם אתה עובד ברמות TTL, RS-232 או RS-485; אילו שינויים הם רמות חשמליות וטופולוגיה פיזיקלית (קצה אחד לעומת קצה דיפרנציאלי)זו הסיבה שאתם צריכים את המתאם הנכון: USB-TTL, USB-RS-232 או USB-RS-485.
כלים כמו SerialTool לא רק מציגים את הזרימה ב-HEX ו-ASCII, אלא גם משלבים לקוחות Modbus לקריאה/כתיבה של אוגרים, צגים עם חותמות זמן ופונקציות אוגר נתונים ששומרים את כל הסשן לניתוח מאוחר יותר, אפילו ייצוא לפורמטים שתוכלו לפתוח לאחר מכן עם Wireshark או סקריפטים משלכם.
גישה זו חזקה מאוד עבור הנדסה הפוכה של פרוטוקוליםאם יש לכם רק תוכנה קניינית שמדברת עם מכונה, תוכלו "להריח" את השיחה, לתעד מסגרות, כתובות, CRCs, תזמונים ולאחר מכן לשכפל את ההתנהגות עם אפליקציית IoT או שער משלכם.
IoT ורדיו: Bluetooth, ZigBee, UART, JTAG ועוד
בעולם ה-IoT, הדברים מסתבכים קצת יותר, מכיוון שגורמים נוספים נכנסים לתמונה. פרוטוקולים אלחוטיים ואפיקי ניפוי פנימייםניתוח ערוצים אלה מאפשר לזהות פגמי אבטחה, פגיעויות חמורות, או פשוט באגים ביישום.
עבור Bluetooth ו-BLE, אחת ההפניות היא הפרויקט אוברטות'Ubertooth ONE היא חבילת חומרה ותוכנה בקוד פתוח המאפשרת לך ללכוד ולהזריק תעבורת Bluetooth Classic (קצב בסיסי) וגם תעבורת BLE. היא כוללת אנטנת Ubertooth ONE (אותה ניתן לרכוש או לבנות בעצמך) וכלים של Linux/macOS שמתקשרים איתה ומאפשרים... לרחרח, לפענח ולייצא תעבורה, כולל תמיכה בניתוחו עם Wireshark באמצעות תוסף BLE משולב מגרסאות ישנות יחסית.
ניתוח תעבורת בלוטות' אינו דבר של מה בכך, שכן הפרוטוקול מורכב ומסתמך על דילוג תדרים ופרוצדורות צימוד. עם זאת, Ubertooth מגיע עם... תיעוד מקיף, ויקי ופורומים המכסה הכל, החל מיסודות הפרוטוקול ועד לדוגמאות מעשיות של לכידה וניתוח.
כאשר יש לך גישה פיזית למכשיר ה-IoT, כלי חיוני נוסף הוא תג Attifyלוח קטן ורב-תכליתי לממשק עם UART, SPI, I2C, JTAG, GPIO וממשקי חומרה משובצים אופייניים אחרים. בעזרתו ניתן לרחרח תעבורת UART. השגת גישת root דרך קונסולה טורית, ביצוע dumps של זיכרון באמצעות JTAG, מניפולציה של פיני GPIO ובכלל, שתהיה לו דלת אחורית לגיטימית לאלקטרוניקה של הציוד.
עבור רשתות ZigBee ו-802.15.4, הפרויקט דבורה קטלנית זה המקבילה של Ubertooth: מסגרת תוכנה (בעיקר בפייתון) בתוספת חומרה תואמת (כמו מקל ה-USB Atmel RZ RAVEN) המאפשרת... לכידת, הזנה וניתוח של תעבורת ZigBeeשיגור התקפות מניעת שירות, הגנה מפני רשתות אוטומציה ביתיות וכו', עם תמיכה ביצירת מנות באמצעות Scapy.
כדי להימנע מלהשתגע בהתקנת כלים ותלויות, יש גם מערכת הפעלה Attifyזוהי הפצה מבוססת אובונטו שתצורתה מוגדרת מראש עם כל מה שדרוש לאוידוט IoT: תמיכה ב-Ubertooth, Attify Badge, KillerBee, GNU Radio, HackRF, JADx, IDA (אם יש לכם רישיון), ערכת כלי ניתוח קושחה (Firmware Analysis Toolkit) לחיקוי קושחה ועוד. החיסרון הוא שהיא מופצת כתמונה וירטואלית (עבור VMware, VirtualBox וכו'), מה שלפעמים מסבך את העניינים מעט עם מעבר USB, אבל עבור מעבדות רבות זהו פתרון פריסה נוח ומהיר מאוד.
חוקיות, שיטות עבודה מומלצות וחלופות משלימות
לכידת תעבורת רשת או USB היא פשוטה מבחינה טכנית בימינו, אך חשוב להבין זאת לא כל מה שניתן לעשות הוא חוקי או מקובל מבחינה אתית.בספרד, לדוגמה, שימוש בכלים כמו Wireshark או כלי זיהוי פיזיים אינו פשע כשלעצמו, אך גישה, יירוט או הפצת מידע של צד שלישי ללא הסכמה נופלים תחת עבירות של גילוי וגילוי סודות.
כדי להגן על עצמך, תמיד הגבל את עצמך ל רשתות ומכשירים שבבעלותך או בבעלות לקוחות שנתנו לך אישור מפורש בכתבאל תנצלו רשתות Wi-Fi פתוחות בבתי קפה, שדות תעופה או שכנים קרובים כדי "לראות מה קורה". גם אם אתם חושבים שאתם "סתם מציצנים", אם צילומי המסך שלכם של סיסמאות, הודעות או נתונים אישיים נתפסים, להסביר זאת לשופט מאוחר יותר זה הרבה יותר מסובך ממה שזה נראה.
נקודה מרכזית נוספת היא זאת צילומי המסך עשויים להכיל מידע רגיש ביותראישורים, תעבורה פנימית, מטא-דאטה, מפתחות וכו'. אם אתם מתכוונים לשתף קובץ pcap עם צד שלישי כדי שיעזור לכם באיתור באגים, עשו זאת רק עם מישהו שאתם סומכים עליו, הפכו את מה שאתם יכולים לאנונימיזציה, ואם יש תעבורה מוצפנת, אל תתנו מפתחות פרטיים בקלות ראש.
באשר לחלופות וכלים משלימים, בנוסף לאלה שכבר הוזכרו (tcpdump, TShark, Zeek, Suricata, Fiddler, mitmproxy), יש לכם פתרונות כגון CloudShark (מתמקד בניתוח ושיתוף של לכידות דרך האינטרנט), SmartSniff עבור Windows, או מציגים חזותיים כגון EtherApeרבים מהם עובדים מצוין עם Wireshark מכיוון שהם חולקים את פורמט ה-pcap, כך שניתן לשלב את הכוח האכזרי של חלקם עם הניתוח העדין של אחרים.
כל המערכת האקולוגית הזו - כלי גישוש USB לחומרה פתוחה, Wireshark ו-TShark, ניפוי שגיאות ETW ו-USB 3.x ב-Windows, ADB באנדרואיד, כלים טוריים לאוטובוסים תעשייתיים, מסגרות IoT כמו Ubertooth או KillerBee, ופלטפורמות ניתוח מודרניות - מאפשרת לך... מ"אין לי מושג מה קורה" ל"אני רואה כל פיסה שזזה ואני יודע איפה היא נכשלת"וגם להבין למה העברת קבצים מ-USB איטית כאשר מתאים.
