搜索

[9822] 2016-02-17_如何用Wireshark捕获USB数据？

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-02-17_如何用Wireshark捕获USB数据？ 如 何 用 W i r e s h a r k 捕 获 U S B 数 据 ？ 老 王 隔 壁 的 白 帽 子   F r e e B u f   2 0 1 6 - 0 2 - 1 7 现 在 越 来 越 多 的 电 子 设 备 采 用 现 在 越 来 越 多 的 电 子 设 备 采 用 U S B 接 口 进 行 通 讯 ， 通 讯 标 准 也 在 逐 步 提 高 。 那 么 ， 我 们 就 会 好 奇 这 些 设 备 是 如 何 工 接 口 进 行 通 讯 ， 通 讯 标 准 也 在 逐 步 提 高 。 那 么 ， 我 们 就 会 好 奇 这 些 设 备 是 如 何 工 作 的 ？ 而 无 论 你 是 一 个 硬 件 黑 客 ， 业 余 爱 好 者 或 者 只 是 对 它 有 一 点 兴 趣 的 ， 作 的 ？ 而 无 论 你 是 一 个 硬 件 黑 客 ， 业 余 爱 好 者 或 者 只 是 对 它 有 一 点 兴 趣 的 ， U S B 对 我 们 都 是 具 有 挑 战 性 的 。 对 我 们 都 是 具 有 挑 战 性 的 。 事 实 上 通 过 w i r e s h a r k ， 我 们 可 以 捕 获 到 u s b 设 备 发 送 给 我 们 主 机 的 数 据 ， 这 样 就 可 以 进 一 步 研 究 了 。 本 文 中 ， 我 们 将 向 大 家 介 绍 怎 样 通 过 w i r e s h a r k 捕 获 u s b 数 据 ， 使 用 的 环 境 如 下 ： l   W i r e s h a r k   2 . 0 . 1 （ S V N ） l   L i n u x   k e r n e l   4 . 1 . 6
你 也 可 以 用 其 他 版 本 的 w i r e s h a r k ， 只 要 是 1 . 2 . 0 以 上 的 都 行 。 这 里 并 没 有 测 试 w i n d o w 上 能 不 能 行 。 简 介 简 介 在 开 始 前 ， 我 们 先 介 绍 一 些 U S B 的 基 础 知 识 。 U S B 有 不 同 的 规 格 ， 以 下 是 使 用 U S B 的 三 种 方 式 ： l   U S B   U A R T l   U S B   H I D l   U S B   M e m o r y U A R T 或 者 U n i v e r s a l   A s y n c h r o n o u s   R e c e i v e r / T r a n s m i t t e r 。 这 种 方 式 下 ， 设 备 只 是 简 单 的 将 U S B 用 于 接 受 和 发 射 数 据 ， 除 此 之 外 就 再 没 有 其 他 通 讯 功 能 了 。 H I D 是 人 性 化 的 接 口 。 这 一 类 通 讯 适 用 于 交 互 式 ， 有 这 种 功 能 的 设 备 有 ： 键 盘 ， 鼠 标 ， 游 戏 手 柄 和 数 字 显 示 设 备 。 最 后 是 U S B   M e m o r y ， 或 者 说 是 数 据 存 储 。 E x t e r n a l   H D D ,   t h u m b   d r i v e   /   f l a s h   d r i v e , 等 都 是 这 一 类 的 。 其 中 使 用 的 最 广 的 不 是 U S B   H I D   就 是 U S B   M e m o r y 了 。 每 一 个 U S B 设 备 （ 尤 其 是 H I D 或 者 M e m o r y ） 都 有 一 个 供 应 商 I D （ V e n d o r   I d ） 和 产 品 识 别 码 （ P r o d u c t   I d ） 。 V e n d o r   I d 是 用 来 标 记 哪 个 厂 商 生 产 了 这 个 U S B 设 备 。 P r o d u c t   I d 用 来 标 记 不 同 的 产 品 ， 他 并 不 是 一 个 特 殊 的 数 字 ， 当 然 最 好 不 同 。 如 下 图 ： 上 图 是 连 接 在 我 电 脑 上 的 U S B 设 备 列 表 ， 通 过 l s u s b 查 看 命 令 。 例 如 说 ， 我 有 一 个 无 线 鼠 标 L o g i t e c h 。 它 是 属 于 H I D 设 备 。 这 个 设 备 正 常 的 运 行 ， 并 且 通 过 这 个 命 令 查 看 所 有 ｕ ｓ ｂ 设 备 ， 现 在 大 家 能 找 出 哪 一 条 是 这 个 鼠 标 吗 ？ ？ 没 有 错 ， 就 是 第 四 个 ， 就 是 下 面 这 条 ： B u s   0 0 3   D e v i c e   0 1 0 :   I D   0 4 6 d : c 5 2 f   L o g i t e c h ,   I n c .   U n i f y i n g   R e c e i v e r 其 中 ， 就 是 V e n d o r - P r o d u c t   I d 对 ， V e n d o r   I d 的 值 是 0 4 6 d ， 并 且 P r o d u c t   I d 的 值 是 c 5 2 f 。 代 表 u s b 设 备 正 常 连 接 ， 这 点 需 要 记 下 来 。 准 备 准 备 我 们 用 r o o t 权 限 运 行 W i r e s h a r k 捕 获 U S B 数 据 流 。 但 是 通 常 来 说 我 们 不 建 议 这 么 做 。 我 们 需 要 给 用 户 足 够 的 权 限 来 获 取 l i n u x 中 l s u s b I D   0 4 6 d : c 5 2 f B u s   0 0 3   D e v i c e   0 1 0
的 u s b 数 据 流 。 我 们 可 以 用 u d e v 来 达 到 我 们 的 目 的 。 我 们 需 要 创 建 一 个 用 户 组 u s b m o n ， 然 后 把 我 们 的 账 户 添 加 到 这 个 组 中 。 a d d g r o u p   u s b m o n g p a s s w d   - a   $ U S E R   u s b m o n e c h o   ' S U B S Y S T E M = = " u s b m o n " ,   G R O U P = " u s b m o n " ,   M O D E = " 6 4 0 " '   >   / e t c / u d e v / r u l e s . d / 9 9 - u s b m o n . r u l e s 接 下 来 ， 我 们 需 要 u s b m o n 内 核 模 块 。 如 果 该 模 块 没 有 被 加 载 ， 我 们 可 以 通 过 以 下 命 令 家 在 该 模 块 ： m o d p r o b e   u s b m o n 捕 获 捕 获 打 开 w i r e s h a r k ， 你 会 看 到 u s b m o n X 其 中 X 代 表 数 字 。 下 图 是 我 们 本 次 的 结 果 （ 我 使 用 的 是 r o o t ） ： 如 果 接 口 处 于 活 跃 状 态 或 者 有 数 据 流 经 过 的 时 候 ， w i r e s h a r k 的 界 面 就 会 把 它 以 波 形 图 的 方 式 显 示 出 来 。 那 么 ， 我 们 该 选 那 个 呢 ？ 没 有 错 ， 就 是 我 刚 刚 让 大 家 记 下 来 的 ， 这 个 X 的 数 字 就 是 对 应 这 U S B   B u s 。 在 本 文 中 是 u s b m o n 3 。 打 开 他 就 可 以 观 察 数 据 包 了 。 最 后 最 后 那 么 我 们 获 取 到 了 这 些 有 什 么 用 呢 ？ 通 过 这 些 ， 我 们 可 以 了 解 到 u s b 设 备 与 主 机 之 间 的 通 信 过 程 和 工 作 原 理 ， 也 许 我 们 就 可 以 把 这 些 知 识 用 到 逆 向 工 程 中 ， 得 到 一 些 东 西 。 好 了 ， 就 到 这 里 ！ ！ ！ ​ ​ * 参 考 来 源 ： X a t h r y a . i d ， F B 小 编 老 王 隔 壁 的 白 帽 子 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理