Sprievodca rozhraním príkazového riadku Wireshark „tshark“

Môžete si všimnúť zoznam všetkých dostupných možností. V tomto článku sa podrobne zaoberáme väčšinou argumentov a pochopíte silu tejto terminálovo orientovanej verzie Wireshark.

Výber sieťového rozhrania:

Na uskutočnenie živého zachytenia a analýzy v tomto nástroji musíme najskôr zistiť naše pracovné rozhranie. Typ tshark -D a tshark vypíše všetky dostupné rozhrania.

Upozorňujeme, že nie všetky uvedené rozhrania budú fungovať. Typ ifconfig aby ste našli pracovné rozhrania vo vašom systéme. V mojom prípade to tak je enp0s3.

Zachytiť prenos:

Na začatie procesu živého snímania použijeme tshark príkaz s „-i”Možnosť zahájenia procesu snímania z pracovného rozhrania.

Použite Ctrl + C zastaviť živé zachytávanie. Vo vyššie uvedenom príkaze som zachytený prenos poslal potrubím do príkazu Linux hlava na zobrazenie niekoľkých prvých zachytených paketov. Alebo môžete tiež použiť znak „-c ”Syntax na zachytenie“n ” počet balíkov.

Ak iba zadáte tshark, v predvolenom nastavení nezačne zachytávať prenos na všetkých dostupných rozhraniach ani nebude počúvať vaše pracovné rozhranie. Namiesto toho bude zachytávať pakety na prvom uvedenom rozhraní.

Na kontrolu viacerých rozhraní môžete použiť aj nasledujúci príkaz:

Medzitým je ďalším spôsobom, ako prevádzkovať živé zachytenie, použitie čísla vedľa uvedených rozhraní.

Za prítomnosti viacerých rozhraní je však ťažké sledovať ich uvedený počet.

Zachytávací filter:

Filtre snímania výrazne znižujú veľkosť zaznamenaného súboru. Tshark používa syntax Berkeley Packet Filter -f „”, Ktorý používa aj tcpdump. Použijeme možnosť „-f“ na zachytenie iba paketov z portov 80 alebo 53 a použitie „-c“ na zobrazenie iba prvých 10 paketov.

Uloženie zaznamenaného prenosu do súboru:

Najdôležitejšie je poznamenať, že zobrazené informácie sa neukladajú, a preto sú menej užitočné. Používame argument „-w”Na uloženie zachytenej sieťovej premávky do test_capture.pcap v / tmp priečinok.

Keďže, .pcap je prípona typu súboru Wireshark. Uložením súboru môžete neskôr skontrolovať a analyzovať prenos v stroji pomocou grafického používateľského rozhrania Wireshark.

Je dobrým zvykom ukladať súbor do /tmp pretože tento priečinok nevyžaduje žiadne oprávnenie na vykonávanie. Ak ho uložíte do iného priečinka, aj keď máte spustený program tshark s oprávneniami root, program z bezpečnostných dôvodov zamietne povolenie.

Poďme sa zaoberať všetkými možnými spôsobmi, prostredníctvom ktorých môžete:

• uplatňovať limity na zhromažďovanie údajov, napríklad také, ktoré končia tshark alebo automatické zastavenie procesu snímania a
• výstup vaše súbory.

Parameter automatického zastavenia:

Môžete použiť-a”Parameter na začlenenie dostupných príznakov, ako je veľkosť súboru a trvanie súboru. V nasledujúcom príkaze použijeme parameter autostop s trvanie príznakom, aby sa proces zastavil do 120 sekúnd.

Podobne, ak nepotrebujete, aby boli vaše súbory mimoriadne veľké, veľkosť súboru je dokonalým príznakom na zastavenie procesu po určitých limitoch KB.

Čo je najdôležitejšie, súbory príznak umožňuje zastaviť proces zachytávania po niekoľkých súboroch. Ale to je možné len po vytvorení viacerých súborov, čo si vyžaduje vykonanie iného užitočného parametra, výstup záznamu.

Parameter výstupného snímania:

Zachyťte výstup, alias argument Ringbuffer „-b“, Prichádza s rovnakými vlajkami ako autostop. Využitie / výstup je však trochu iný, t.j.e., vlajky trvanie a veľkosť súboru, pretože umožňuje prepínať alebo ukladať pakety do iného súboru po dosiahnutí stanoveného časového limitu v sekundách alebo veľkosti súboru.

Nasledujúci príkaz ukazuje, že zachytávame prenos cez naše sieťové rozhranie enp0s3, a zachytiť premávku pomocou filtra zachytenia “-f”Pre tcp a dns. Používame voľbu ringbuffer „-b“ s a veľkosť súboru príznak na uloženie každého súboru s veľkosťou 15 Kb, a tiež použite argument autostop na určenie počtu použitých súborov súbory možnosť taká, že zastaví proces snímania po vygenerovaní troch súborov.

Terminál som rozdelil na dve obrazovky, aby som aktívne sledoval vytváranie troch .súbory pcap.

Choď do svojho / tmp priečinok a pomocou nasledujúceho príkazu v druhom termináli sledujte aktualizácie po každej jednej sekunde.

Teraz si nemusíte pamätať všetky tieto príznaky. Namiesto toho zadajte príkaz tshark -i enp0s3 -f „port 53 alebo port 21“ -b veľkosť súboru: 15 -a vo svojom termináli a stlačte Tab. Zoznam všetkých dostupných príznakov bude k dispozícii na vašej obrazovke.

Čítanie .Súbory pcap:

Najdôležitejšie je, že môžete použiť-r”Parameter na načítanie test_capture.súbory pcap a preniesť ich do hlava príkaz.

Informácie zobrazené vo výstupnom súbore môžu byť trochu ohromujúce. Aby sme sa vyhli zbytočným detailom a lepšie porozumeli akejkoľvek konkrétnej cieľovej IP adrese, používame -r možnosť prečítať paket zachytený súbor a použiť ip.addr filter, ktorý presmeruje výstup na nový súbor pomocou „-w”Možnosť. To nám umožní skontrolovať súbor a vylepšiť našu analýzu použitím ďalších filtrov.

Výber polí na výstup:

Vyššie uvedené príkazy generujú súhrn každého paketu, ktorý obsahuje rôzne polia hlavičky. Tshark tiež umožňuje zobraziť určené polia. Na zadanie poľa používame „-T pole”A extrahujte polia podľa nášho výberu.

Po "-T pole”, Na vytlačenie zadaných polí / filtrov použijeme voľbu“ -e ”. Tu môžeme použiť filtre displeja Wireshark.

Zachyťte šifrované údaje o podaní ruky:

Doteraz sme sa naučili ukladať a čítať výstupné súbory pomocou rôznych parametrov a filtrov. Teraz sa dozvieme, ako HTTPS inicializuje reláciu tshark. Webové stránky prístupné cez HTTPS namiesto HTTP zaisťujú bezpečný alebo šifrovaný prenos dát po drôte. Pre bezpečný prenos začína šifrovanie Transport Layer Security proces nadviazania spojenia, ktorý naštartuje komunikáciu medzi klientom a serverom.

Poďme zachytiť a porozumieť handshake TLS pomocou tshark. Rozdeľte svoj terminál na dve obrazovky a použite a wget príkaz na načítanie html súboru z https: // www.wirehark.org.

Na inej obrazovke použijeme tshark na zachytenie prvých 11 paketov pomocou „-c”Parameter. Pri vykonávaní analýzy sú časové značky dôležité na rekonštrukciu udalostí, preto používame „-t inzerát”, Spôsobom, ktorý tshark pridáva ku každému zachytenému paketu časovú pečiatku. Nakoniec použijeme príkaz hostiteľa na zachytenie paketov zo zdieľaného hostiteľa IP adresa.

Toto podanie ruky je dosť podobné ako podanie protokolu TCP. Hneď ako sa trojcestné nadviazanie spojenia TCP uzavrie v prvých troch paketoch, štvrtý až deviaty paket nasleduje podobný rituál handshake a obsahuje reťazce TLS na zabezpečenie šifrovanej komunikácie medzi oboma stranami.

Prezeranie celého paketu:

Jedinou nevýhodou nástroja príkazového riadku je, že nemá grafické používateľské rozhranie, pretože je veľmi užitočné, keď potrebujete prehľadať veľa internetového prenosu, a tiež ponúka panel paketov, ktorý zobrazuje všetky podrobnosti paketu v rámci okamžite. Stále je však možné skontrolovať paket a vypísať všetky informácie o pakete zobrazené na paneli paketov grafického používateľského rozhrania.

Na kontrolu celého paketu používame príkaz ping s možnosťou „-c“ na zachytenie jedného paketu.

V inom okne použite príkaz tshark s ďalším príznakom na zobrazenie všetkých podrobností paketu. Môžete si všimnúť rôzne sekcie, ktoré zobrazujú podrobnosti o rámcoch, ethernetoch II, IPV a ICMP.

Záver:

Najnáročnejším aspektom analýzy paketov je nájdenie najrelevantnejších informácií a ignorovanie zbytočných bitov. Aj keď sú grafické rozhrania ľahké, nemôžu prispieť k automatizovanej analýze sieťových paketov. V tomto článku ste sa naučili najužitočnejšie parametre tshark na zachytávanie, zobrazovanie, ukladanie a čítanie súborov sieťového prenosu.

Tshark je veľmi užitočný nástroj, ktorý číta a zapisuje súbory na zaznamenávanie podporované programom Wireshark. Kombinácia filtrov displeja a snímania veľmi prispieva pri práci na prípadoch použitia na pokročilej úrovni. Môžeme využiť schopnosť tsharku tlačiť polia a manipulovať s údajmi podľa našich požiadaviek na hĺbkovú analýzu. Inými slovami, je schopný robiť prakticky všetko, čo robí Wireshark. Najdôležitejšie je, že je perfektné na diaľkové čuchanie paketov pomocou ssh, čo je téma na ďalší deň.