Quartz 4

Packet Sniffing

3 min read

tags: Packet_Sniffing_Privilage_Escalation privilage_escalation Internal_Packet_Sniffig

TCPDump

Il comando da utilizzare per sniffare tutto il traffico è il seguente:

tcpdump -i any -nn -A 'not port 22'

Ma siccome questo comando ti inchioderà il terminale sul quale sei è meglio salvare il tutto in un file con il seguente comando:

tcpdump -i any -s 0 'not port 22' -w /tmp/cattura_larga.pcap

Lacialo girare per 2-3 minuti poi bloccalo con CTLR + C poi trasferiscilo sulla tua macchina attaccante e usa Wireshark ricostruisci le conversazioni TCP con un clic (tasto destro → Follow TCP Stream). Lì dentro i dati in chiaro, le richieste HTTP e le password si vedono in un istante, colorate e ordinate.

Se trovi un porta specifica sulla quale vuoi sniffare più nel dettaglio puoi inserire la porta con il seguente comando:

tcpdump -i any -nn -A tcp port <PORT>

PSPY

Scarica la versione giusta

pspy è un singolo file binario precompilato, ma esiste in due versioni principali a seconda dell’architettura del server bersaglio: 32-bit (pspy32) o 64-bit (pspy64).

  • Quasi tutti i server moderni sono a 64-bit. Se non sei sicuro, lancia il comando uname -m sulla macchina bersaglio. Se risponde x86_64, ti serve la versione a 64-bit.

  • Scaricalo sulla tua macchina Kali dalla pagina GitHub ufficiale delle release di DominicBreuker/pspy.

Dopo averlo scaricato trasferiscilo sulla macchina vittima e dagli i permessi di esecuzione:

chmod +x pspy64

Ora puoi semplicemente avviarlo. Spesso si aggiunge il parametro -pf per far stampare a schermo sia i comandi eseguiti (-p) sia gli eventi del file system (-f), ma per iniziare basta lanciarlo nudo e crudo:

./pspy

Una volta avviato, pspy inizierà a stampare a schermo un sacco di roba. Le prime righe saranno semplicemente una scansione di tutti i processi già in esecuzione in quel momento. Ignorale.

La vera magia inizia dopo la scansione iniziale, quando il programma si mette in “ascolto”. Vedrai comparire righe formattate in questo modo:

2026/05/20 16:30:01 CMD: UID=0    PID=1452   | /bin/bash /opt/script_di_backup.sh
2026/05/20 16:30:01 CMD: UID=0    PID=1453   | tar -czvf /backup/site.tar.gz /var/www/html
2026/05/20 16:30:01 CMD: UID=0    PID=1454   | curl -u admin:supersegreto http://127.0.0.1:8765/api/status

I dettagli a cui prestare attenzione:

  • UID (User ID): Questo è il dato più importante. Se vedi UID=0, significa che quel comando è stato eseguito da root. Se vedi UID=33, è l’utente www-data (il server web), e così via.

  • PID (Process ID): Il numero identificativo del processo.

  • Il Comando: La parte finale della riga ti mostra esattamente cosa è stato digitato nel terminale invisibile, inclusi eventuali argomenti, percorsi o password passate in chiaro (come nel terzo esempio qui sopra).

Graph View