LABORATRIO WIRESHARK

HTTP
Traduo: Marjorie R. S. Rosa

2014

WIRESHARK - HTTP

WIRESHARK - HTTP
Esse manual de laboratrio baseado em Wireshark Lab: HTTP,
verso 2.0 (setembro de 2009), de J.F. Kurose, K.W. Ross, disponvel
aqui. Isso foi preparado por Farrokh Ghani Zadegan e Niklas Carlsson,
e sua ltima modificao foi em Janeiro de 2013.
Para esse laboratrio, voc precisa ter lido primeiro Wireshark Lab:
Getting Started. Esse documento e os exerccios vo ter te preparado
para esse laboratrio. Contudo, note que voc no precisa apresentar os
resultados (mencionados no pdf Wireshark getting started), como esses
no so os resultados para essa tarefa (e aqueles exerccios devem apenas ser usados como prtica).
Em segundo lugar, voc vai ser questionado a responder e/ou discutir um nmero de perguntas. Para poupar tempo, importante que voc
cuidadosamente leia as instrues de forma que voc possa fornecer respostas em formato adequado.
Alm disso, por favor sinta-se livre para instalar o Wireshark no seu
prprio computador e fazer suas prprias capturas de trfego para analisar. Importante:
Traces adicionais de HTTP: Se voc quer traos adicionais de HTTP
que voc quer tentar investigar (e usar engenharia reversa) para saber o
que se passa, voc tambm pode olhar em alguns outros traces de HTTP
no arquivo zip acima.
Tendo estudado o laboratrio introdutrio de captura de pacotes acima,
agora ns estamos prontos para usar o Wireshark para investigar protocolos em operao. Nesse laboratrio, ns vamos explorar vrios aspectos
do protocolo HTTP: A interao bsica de GET/Response, formatos de
mensagem HTTP, recuperao de arquivos HTML, recuperao de arquivos HTML com objetos indexados e autentificao HTTP e segurana.
Antes de comear esses laboratrios, voc pode querer rever a seo 2.2
do texto.
Antes de comear, por favor considere o seguinte: A informao que
aparece entre colchetes [ ] no Wireshark do prprio Wireshark e no
parte dos protocolos.

INTERAO BSICA DE HTTP GET/ RESPONSE

Baseado nas configuraes de rede da plataforma onde voc est rodando o Wireshark, voc pode observar que todos os pacotes de sada
esto marcados pelo Wireshark como sendo erros de checksum (soma
de verificao). (Veja a figura 1). Isso, como o sugerido pelo Wireshark
(veja o painel de detalhes do pacote na figura 1), pode ser devido ao offloading do checksum, uma configurao que alivia a CPU de gerar valores
de checksum para pacotes de sada e deixa esse trabalho ser feito pelo
adaptador de rede. Como o Wireshark captura os pacotes antes que eles
alcancem o adaptador de rede, a soma de verificao (checksum) para
todos os pacotes capturados zero. Se voc encontrar esse cdigo de
cores distrativo ou incmodo, voc pode simplesmente desabilitar os erros
de checksum colorindo a regra do menu de itens. View > Coloring Rules...

Erros de verificao do Wireshak

INTERAO BSICA DE HTTP GET/ RESPONSE

Vamos comear nossa explorao do HTTP baixando um simples arquivo HTTP Ele muito pequeno e contm objetos indexados. Faa o

INTERAO BSICA DE HTTP GET/ RESPONSE

seguinte:

1. Inicie seu navegador.

2. Inicie o Wireshark, como descrito no laboratrio introdutrio (mas
ainda no comece a captura de pacotes). Digite http (apenas as letras,
sem aspas) na janela do filtro de especificaes, assim apenas as
mensagens HTTP capturadas vo ser mostradas na lista de pacotes.
3. Espere pouco mais de um minuto (veremos porque to pouco tempo),
e ento comece a captura de pacotes do Wireshark.
4. Entre no seguinte link pelo seu navegador: link. Seu navegador deve
mostrar um arquivo HTML simples, de uma linha.
5. Pare a captura de pacotes do Wireshark.
Sua janela do Wireshark vai ser similar a da janela mostrada na figura
2. Se voc no pode executar o Wireshark em uma conexo de rede em
tempo real, voc pode baixar um pacote de rotas que foi criado quando
os passos acima foram seguidos. Para fazer isso, baixe o arquivo zip
link e extraia o arquivo http-ethereal-trace-1. As rotas desse arquivo zip
foram coletadas pelo Wireshark quando foi executado em um dos computadores do autor, enquanto realizava os passos indicados no laboratrio
do Wireshark. Uma vez que voc tenha baixado o arquivo, voc pode
carreg-lo dentro do Wireshark e ver as rotas usando o menu File pull
down, escolhendo abrir (Open) e selecionando o arquivo http-etherealtrace-1. A tela resultante deve se parecer como a figura 2 aps aplicar o
filtro http.

INTERAO BSICA DE HTTP GET/ RESPONSE

Tela do Wireshak aps o arquivo 1 ter sido recuperado do seu navegador

O exemplo mostrado na figura 2 mostra a janela de lista de pacotes
onde duas mensagens HTTP foram capturadas: A mensagem GET (de
seu navegador para o servidor gaia.cs.umass.edu) e a mensagem de resposta do servidor para o seu navegador. A janela de contedo dos pacotes mostra detalhes das mensagens selecionadas (nesse caso mensagens HTTP GET, que destacado na janela de listagem de pacotes).
Lembre que a mensagem HTTP est dentro de um segmento TCP, que
foi carregada dentro de um datagrama IP, que foi carregado dentro de um
quadro Ethernet, o Wireshark mostrar informaes do quadro, Ethernet,
IP e TCP. Ns queremos minimizar a quantidade de dados no HTTP
mostrados (ns estamos interessados em HTTP, e investigaremos outros
protocolos em captulos seguintes), ento tenha certeza de que as caixas
no canto esquerdo que sinalizam informaes de quadro, Ethernet, IP e
TCP tem um sinal de mais (+), que significa que a informao est oculta,
e a linha de HTTP tem um sinal de menos (-) que significa que toda a

INTERAO BSICA DE HTTP GET/ RESPONSE

informao HTTP est sendo mostrada.

Tarefa A: Olhando a informao das mensagens de HTTP GET/ response, responda as questes a seguir. Quando estiver respondendo as
questes, voc deve imprimir as mensagens GET/ response (para incluir
as informaes de pacote no seu relatrio, voc deve exportar os pacotes de dados selecionados como um arquivo de texto. Para isso, use a
janela File -> Export -> File ..., selecione o tipo como Plain Text e escolha Selected Packet, indicando onde as mensagens que respondam
as questes foram encontradas (Perceba que o procedimento de exportao deve diferir de acordo com a plataforma onde voc est executando
o Wireshark, como Linux, Windows etc). Para todas as questes importante que voc indique claramente qual sua resposta, como voc obteve
a resposta e (se aplicvel) discuta as implicaes/ideias que enriqueam
suas respostas. Por exemplo, na questo a seguinte, voc pode elaborar
o motivo de voc ter observado o que observou?
1. O seu navegador utiliza a verso de HTTP 1.0 ou 1.1? Que verso o
servidor usa?
2. Que linguagens (se existe alguma) seu navegador diz que pode ser
aceita pelo servidor? Na sesso de captura, que outra informao (se
existe alguma) o navegador prov para o servidor a respeito do utilizador/
navegador?
3. Qual o endereo de IP do seu computador? E o do servidor
gaia.cs.umass.edu?
4. Qual o cdigo de status retornado do servidor para seu navegador?
5. Quando foi a ltima vez que o arquivo HTML que voc est usando foi
modificado no servidor?
6. Quantos bytes de contedo foram enviados ao seu navegador?
7. Inspecionando os dados brutos no painel packet bytes, voc v
algum cabealho HTTP com dados que no foram mostrados no painel
packet details? Se sim, cite um.
Nas suas cinco respostas acima, voc deve estar surpreso por notar que
o documento que voc recuperou foi modificado menos de um minuto antes de voc baix-lo. Isso porque (para esse arquivo em particular), o
servidor gaia.cs.umass.edu est configurado para que a ltima modificao do arquivo seja a atual, e atualiza isso uma vez por minuto. Assim,
se voc quiser esperar um minuto entre os acessos, o arquivo vai ter sido
recentemente modificado e consequentemente seu navegador vai baixar
uma nova cpia do arquivo.

INTERAO CONDICIONAL DE HTTP GET RESPONSE

INTERAO CONDICIONAL DE HTTP GET/ RESPONSE

Recordando a seo 2.2.6 do texto, que mostra que a maioria dos navegadores guardam objetos em cache e assim fazem a condicional GET
quando recuperam um objeto HTTP. Antes de realizar os passos a seguir,
tenha certeza que o cache do seu navegador est vazio. (Para fazer isso
no Firefox, selecione Tools -> Clear Private Data. Essas aes vo remover os arquivos de cache do seu navegador. Agora faa o seguinte:
1. Inicie seu navegador e certifique-se de que o cache est limpo, como
discutido acima.
2. Comece o Wireshark packet sniffer
3. Entre na seguinte URL pelo seu navegador: link. Seu navegador deve
mostrar uma mensagem HTTP simples de uma linha
4. Rapidamente entre na mesma URL pelo seu navegador novamente
(ou simplesmente atualize a pgina de seu navegador)
5. Pare a captura de pacotes do Wireshark e digite http no filtro de
especificaes, assim apenas pacotes HTTP vo ser mostradas depois
na lista de pacotes
(Nota: Se voc no pode executar o Wireshark em uma conexo de tempo
real, voc pode usar o pacote http-ethereal-trace-2 para responder as
questes abaixo, veja aqui link. Esse arquivo foi montado seguindo os
passos acima).
Questes prticas:
8. Inspecione o contedo da primeira requisio de HTTP GET do seu
navegador ao servidor. Voc v a linha IF-MODIFIED-SINCE no HTTP
GET?
9. Inspecione o contedo de resposta do servidor. O servidor retornou
explicitamente o contedo do arquivo? Como voc pode afirmar?
10. Agora observe o contedo da segunda requisio HTTP GET do
seu navegador ao servidor. Voc v a linha IF-MODIFIED-SINCE no
HTTP GET? Se sim, qual informao segue o cabealho IF-MODIFIEDSINCE?

RECUPERAO DE DOCUMENTOS LONGOS

11. Qual o status HTTP e a frase retornados pelo servidor em resposta ao segundo HTTP GET? O servidor explicitamente retornou os contedos do arquivo? Explique.
Tarefa B: Para as questes de 8 11, primeiro escreva uma resposta
breve porm precisa para cada questo acima, ento escreva um pargrafo explicando suas observaes das questes prticas. Note que sua
resposta pode se beneficiar da explicao e/ou referncias de algumas de
suas observaes explcitas.

RECUPERAO DE DOCUMENTOS LONGOS

Nos nossos exemplos, at agora, os documentos recuperados foram
arquivos HTML simples e curtos. Agora veremos o que acontece quando
voc baixa um arquivo HTML grande. Faa o seguinte:
1. Inicie seu navegador e tenha certeza de que o cache est limpo,
como discutido acima.
2. Comece o Wireshark packet sniffer.
3.Entre com a seguinte URL no seu navegador link. Seu navegador
deve mostrar a carta de direitos dos Estados Unidos.
4. Pare a captura de pacotes do Wireshark e digite http no filtro
de especificaes, assim apenas as mensagens HTTP capturadas sero
mostradas.
Nota: Se voc no pode executar o Wireshark em uma conexo de
tempo real, voc pode usar o pacote http-ethereal-trace-3 para responder
as questes abaixo, veja aqui link. Esse arquivo foi montado seguindo os
passos acima).
Na janela de listagem de pacotes, voc deve ver sua mensagem HTTP
GET, seguida de mltiplos pacotes de resposta para sua requisio HTTP
GET. Esses mltiplos pacotes merecem uma pequena explicao. Recordando a seo 2.2 (veja no texto), aquela mensagem de resposta HTTP
consistia em uma linha de status, seguida por linhas de cabealho, seguida por uma linha em branco, seguida pelo corpo da mensagem. No

RECUPERAO DE DOCUMENTOS LONGOS

caso de nossa HTTP GET, o corpo da mensagem o arquivo HTML de

requisio inteiro. No caso de agora, o arquivo de HTML muito grande e
os 4500 bytes so grandes demais para caber em um nico pacote TCP.
Uma nica mensagem de resposta HTTP ento quebrada em alguns
pedaos pelo TCP, e cada pedao contm separadamente um segmento
TCP (Veja no texto). Cada segmento TCP gravado pelo Wireshark como
um pedao separado, e o fato de que uma nica resposta HTTP foi fragmentada em mltiplos pacotes TCP indicado pela frase TCP segment
of a reassembled PDU, mostrada na tela do Wireshak. Ressaltamos aqui
que no existe uma mensagem de TCP segment of a reassembled PDU
em HTTP! Nesse sentido, a figura 3 mostra uma captura de tela do Wireshark mostrando a rota de um http-ethereal-trace-3. Na listagem de pacotes capturados, o pacote nmero 8 mostra uma requisio HTTP GET
e o pacote nmero 14 mostra a resposta HTTP correspondente. Pode
ser visto que os pacotes nmero 10, 11 e 13 so nomeados com TCP
segment of a ressaembled PDU. Clicando na resposta HTTP, como no
pacote 14, o painel de detalhes do pacote mostra [4 Reassembled TCP
Segments (4816 bytes): 10(1460), 11(1460), 13(1460), 14(436)] (veja a
figura 3). Adicionalmente, o painel de pacotes de bytes mostra uma noma
tabela entitulada Reassembled TCP que mostra a resposta HTTP inteira.

RECUPERAO DE DOCUMENTOS LONGOS

Tela do Wireshak com a rota do terceiro pacote

Uma maneira mais conveniente de ver todos os dados (todos as requisies HTTP e as respostas transportadas pelo TCP) usando uma
caracterstica extra do Wireshark chamada Following TCP Streams. Clicando com o boto direito do mouse em qualquer dos pacotes TCP associados com um determinado fluxo TCP e selecionado o Follow TCP
Stream no menu, uma nova janela abrir, contendo a troca de dados.
A figura 4 mostra a janela Follow TCP Stream para a requisio GET
/ethereal-labs/lab2-3.html HTTP/1.1 e sua resposta associada. Nessa janela, caracteres no demonstrveis so substitudos por pontos. De qualquer modo, a escolha de Raw ou ASCII feita nessa janela afeta completamente o modo como voc poder salvar seu fluxo de dados. Isso ,
se Raw selecionado, o fluxo de dados ser salvo como arquivo binrio, preservando os caracteres no demonstrveis. J no caso de ASCII,
o fluxo de dados salvo como um arquivo de texto onde os caracteres
no demonstrveis so substitudos por pontos. Note como o Wireshark

RECUPERAO DE DOCUMENTOS LONGOS

10

mudou (e aplicou) as mudanas no filtro que mostra apenas os pacotes

selecionados.

A janela do Wireshark durante o fluxo TCP

Questes prticas:
12. Quantas mensagens de requisio HTTP GET foram enviadas
pelo seu navegador?
13. Quantos segmentos TCP contendo dados so necessrios para
carregar essa nica resposta HTTP?
14. Qual o status e a frase associada com a requisio HTTP GET?
15. Existe alguma informao de cabealho HTTP nos dados associados com a segmentao TCP?
Tarefa C: Para as questes de 12 15, primeiro escreva uma resposta
breve porm precisa para cada questo acima, ento escreva um par-

DOCUMENTOS HTML COM OBJETOS EMBUTIDOS

11

grafo explicando suas observaes das questes prticas. Note que sua
resposta pode se beneficiar da explicao e/ou referncias de algumas de
suas observaes explcitas.

DOCUMENTOS HTML COM OBJETOS EMBUTIDOS

Agora que vimos como o Wireshark mostra o trfego de captura de
pacotes para arquivos HTML grandes, podemos olhar o que acontece
quando seu navegador baixa um arquivo com objetos embutidos, como
um arquivo que incluem outros objetos (no exemplo a seguir, imagens)
que esto armazenados em outro servidor. Faa o seguinte:
1.Inicie seu navegador e tenha certeza de que o cache est limpo,
como discutido acima.
2.Comece o Wireshark packet sniffer.
3.Entre com a seguinte URL no seu navegador link Seu navegador deve
mostrar um arquivo HTML curto com duas imagens. Essas duas imagens
so referenciadas na base do arquivo HTML. Isso , as imahens no esto contidas no HTML; no lugar disso URLs para o contedo das imagens
so baixadas no arquivo HTML. Como discutido no livro, seu navegador
vai recuperar esses logos de sites indicados. Nosso logo recuperado do
link www.aw-bc.com. A imagem da capa do nosso livro armazenada no
servidor manic.cs.umass.edu.
4.Pare a captura de pacotes do Wireshark e digite http no filtro de especificaes, assim apenas as mensagens HTTP capturadas sero mostradas. Nota: Se voc no pode executar o Wireshark em uma conexo de
tempo real, voc pode usar o pacote http-ethereal-trace-4 para responder
as questes abaixo, veja aqui link Esse arquivo foi montado seguindo os
passos acima).
Questes prticas:
16. Quantas requisies HTTP GET foram enviadas pelo seu navegador? Para quais endereos essas requisies GET foram enviadas?
17. Voc pode dizer se o seu navegador baixou as duas imagens em
srie ou se elas foram baixadas dos dois sites em paralelo? Explique.
Tarefa D: Para as questes de 16 17, primeiro escreva uma resposta

AUTENTICAO HTTP

12

breve porm precisa para cada questo acima, ento escreva um pargrafo explicando suas observaes das questes prticas. Note que sua
resposta pode se beneficiar da explicao e/ou referncias de algumas de
suas observaes explcitas.

AUTENTICAO HTTP
Finalmente, vamos visitar um site protegido por senha e examinar a
sequncia de mensagens HTTP trocadas com esse site. A URL link
protegida por senha. O username wireshark-students (sem as aspas)
e a senha network (novamente, sem as aspas). Ento vamos acessar
esse site protegido por senha seguro. Faa o seguinte:
1.Inicie seu navegador e tenha certeza de que o cache est limpo,
como discutido acima.
2.Comece o Wireshark packet sniffer.
3.Entre com a seguinte URL no seu navegador link Digite o username e o
password na janela pop up.
4.Pare a captura de pacotes do Wireshark e digite http no filtro de especificaes, assim apenas as mensagens HTTP capturadas sero mostradas.
Nota: Se voc no pode executar o Wireshark em uma conexo de tempo
real, voc pode usar o pacote http-ethereal-trace-5 para responder as
questes abaixo, veja aqui link Esse arquivo foi montado seguindo os passos acima).
Agora vamos examinar a sada de dados do Wireshark. Voc pode querer ler primeiro sobre autentificao HTTP revendo o material em HTTP
Acess Athentication Framework em http://frontier.userland.com/stories/storyReader
Questes prticas (no precisam ser respondidas explicitamente):
18. Qual a resposta do servidor (status e frase) em resposta a mensagem inicial de HTTP GET do seu navegador?
19. Quando seu navegador envia uma mensagem HTTP GET pela segunda vez, qual o novo campo includo na mensagem HTTP GET?
Voc no precisa relatar as questes 18 e 19; de qualquer modo, sintase livre para redigir um pargrafo explicando e discutindo suas observaes sobre as questes prticas acima. O username e a senha que voc
forneceu so codificadas na string de caracteres seguindo o cabealho
Authorization: Basic na mensagem HTTP do cliente. Enquanto pode
parecer que o seu username e senha esto e criptografados, eles esto
simplesmente codificados em um formato conhecido como Base64. O

QUESTES PREPARATRIAS PARA A SEGUNDA TAREFA

13

username e a senha no esto criptografados! Para ver isso, v para

http://gtools.org/tool/base64-encode-decode/ e enyte com a string de codificao base64 d2lyZXNoYXJrLXN0dWRlbnRz dentro da caixa Decode
from base64 e pressione Go. Voila! Voc traduziu de base64 para codificao ASCII, e ento pode ver seu username! Para ver a senha, entre
com a string Om5ldHdvcms= e pressione decode. J que qualquer um
pode baixar ferramentas como o Wireshark e rastrear pacotes (no s os
seus prprios) passando pelo adaptador de rede, qualquer um pode traduzir Base64 para ASCII (como voc acabou de fazer!). Deve estar claro
que senhas simples em sites WWW no so seguros, a no ser que medidas adicionais sejam tomadas.
No tema! Como veremos no captulo 7, existem maneiras de fazer que
acessos WWW sejam mais seguros. De qualquer modo, ns claramente
precisamos de algo que v alm da autentificao bsica de HTTP!

QUESTES PREPARATRIAS PARA A SEGUNDA

TAREFA
20. O que o cabealho Connection: close e Connection: Keep-alive
implicam no protocolo HTTP? Quando uma delas deve ser usada ao invs
da outra?
Tarefa E: Para a questo 20, primeiro escreva um breve porm preciso
pargrafo que responda a questo acima, ento escreva um pargrafo
explicando e discutindo como essas observaes podem ser teis para a
prxima tarefa.
Demonstrao e relatrios Para essa tarefa voc vai precisar escrever um relatrio que cuidadosamente responda as questes 1-17 e 20,
e escreva um pargrafo discutindo cada grupo de questes 1-7 (Tarefa
A), 8-11 (Tarefa B), 12-15 (Tarefa C), 16-17 (Tarefa D), e 20 (Tarefa E).
Note que cada grupo de questes tem um tema e voc deve convencer
o leitor que seu relatrio (incluindo voc se voc ler seus documentos
meses/semanas depois) que voc entende esses aspectos do HTTP. Por
favor estruture seu relatrio de modo que suas respostas estejam claramente indicadas para cada questo (e sesso). Questes e respostas
correspondentes devem estar claramente indicadas. Estruture seu relatrio; Alm disso, suas respostas devem ser explicadas e apoiadas usando
informaes adicionais, quando aplicvel. Durante a demonstrao podem ser feitas questes similares para obtermos a certeza de que voc

QUESTES PREPARATRIAS PARA A SEGUNDA TAREFA

14

compreendeu todo esse laboratrio. Voc deve explicar claramente suas

respostas. Como os relatrios so feitos em duplas, ambos os membros
respondero perguntas.
Instrues adicionais podem ser encontradas aqui:link