Aufgabe 3 – HTTP-Traffic

Ziel

Du untersuchst den HTTP-Traffic auf verdächtige URLs, Payloads und Kommunikationsmuster.

Dauer: 20 Minuten

---

Vorbereitung

Setze in Wireshark den Filter:

http

Oder für nur Requests:

http.request

---

Aufgaben

3.1 URLs identifizieren

Frage: Welche URLs werden aufgerufen?

1. Filtere nach HTTP-Requests (http.request)
2. Schau in die “Info”-Spalte – dort siehst du GET/POST und den Pfad
3. Notiere alle URLs/Pfade

Tipp

Du kannst auch http.request.uri als Spalte hinzufügen: Edit → Preferences → Columns → Add → Field: http.request.uri

---

3.2 POST-Requests analysieren

Frage: Gibt es POST-Requests mit ungewöhnlichem Inhalt?

Filter für POST-Requests:

http.request.method == "POST"

1. Klicke auf ein POST-Paket
2. Im Detail-Bereich: Expandiere Hypertext Transfer Protocol
3. Schau dir den Body/Payload an

Achte auf:

• Kodierte Daten (Base64 endet oft mit = oder ==)
• Ungewöhnliche Parameter
• Grosse Datenmengen

Hinweis

Base64: Eine Kodierung, die Daten in Buchstaben und Zahlen umwandelt. Beispiel: SGVsbG8gV29ybGQ= = “Hello World”

---

3.3 User-Agent analysieren

Frage: Welche User-Agents werden verwendet?

1. Klicke auf ein HTTP-Request-Paket
2. Expandiere Hypertext Transfer Protocol
3. Suche das Feld User-Agent

Normale User-Agents sehen so aus:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120.0.0.0

Verdächtige User-Agents:

• Sehr kurze oder unbekannte Namen
• Keine Browser-Bezeichnung
• Offensichtlich selbst erstellt

---

3.4 Beaconing-Muster

Frage: Gibt es periodische Kommunikationsmuster?

Tipp

Beaconing: Malware meldet sich regelmässig bei einem Server. Typisch sind Intervalle von 30, 60 oder 300 Sekunden.

Prüfe:

• Werden die gleichen URLs wiederholt aufgerufen?
• In welchen Abständen?
• Sieht das nach einem Timer aus?

---

3.5 HTTP-Stream anzeigen (optional)

Um den kompletten HTTP-Dialog zu sehen:

1. Rechtsklick auf ein HTTP-Paket
2. Follow → HTTP Stream
3. Du siehst Request und Response zusammen

---

Für deinen Bericht

• Welche URLs werden aufgerufen?
• Gibt es POST-Requests mit ungewöhnlichem Inhalt?
• Welche User-Agents werden verwendet?
• Gibt es periodische “Beaconing”-Muster?

---