Průvodce po rozhraní příkazového řádku Wireshark „tshark“

Můžete si všimnout seznamu všech dostupných možností. V tomto článku se budeme podrobně věnovat většině argumentů a pochopíte sílu této verze Wireshark orientované na terminál.

Výběr síťového rozhraní:

Abychom mohli v tomto nástroji provádět živé zachycení a analýzu, musíme nejprve zjistit naše pracovní rozhraní. Typ tshark -D a tshark vypíše všechna dostupná rozhraní.

Upozorňujeme, že ne všechna uvedená rozhraní budou fungovat. Typ ifconfig najít pracovní rozhraní ve vašem systému. V mém případě ano enp0s3.

Zachycení provozu:

K zahájení procesu živého zachycení použijeme žralok příkaz s „-i”Možnost zahájit proces snímání z pracovního rozhraní.

Použití Ctrl + C zastavit živé zachycení. Ve výše uvedeném příkazu jsem přenesl zachycený provoz na příkaz Linux hlava pro zobrazení prvních několika zachycených paketů. Nebo můžete také použít „-c „Syntaxe pro zachycení“n ” počet paketů.

Pokud pouze zadáte žralok, ve výchozím nastavení nezačne zaznamenávat provoz na všech dostupných rozhraních ani nebude poslouchat vaše pracovní rozhraní. Místo toho zachytí pakety na prvním uvedeném rozhraní.

Následující příkaz můžete také použít ke kontrole více rozhraní:

Do té doby je dalším způsobem, jak provozovat živé zachycení, použít číslo vedle uvedených rozhraní.

V přítomnosti více rozhraní je však těžké sledovat jejich uvedená čísla.

Zachytit filtr:

Filtry pro zachycení výrazně zmenší velikost zachyceného souboru. Tshark používá syntaxi Berkeley Packet Filter -F "”, Který také používá tcpdump. Možnost „-f“ použijeme pouze k zachycení paketů z portů 80 nebo 53 a použití „-c“ k zobrazení pouze prvních 10 paketů.

Uložení zachyceného provozu do souboru:

Klíčovou věcí na výše uvedeném snímku obrazovky je, že zobrazené informace nejsou uloženy, a proto jsou méně užitečné. Používáme argument „-w„Uložit zachycený síťový provoz do test_capture.pcap v / tmp složku.

Zatímco, .pcap je přípona typu souboru Wireshark. Uložením souboru můžete později zkontrolovat a analyzovat provoz ve stroji pomocí grafického uživatelského rozhraní Wireshark.

Je dobrým zvykem ukládat soubor do /tmp protože tato složka nevyžaduje žádná oprávnění ke spuštění. Pokud jej uložíte do jiné složky, i když používáte tshark s oprávněním root, program z bezpečnostních důvodů odepře povolení.

Pojďme se zabývat všemi možnými způsoby, kterými můžete:

• aplikovat limity na pořizování dat, jako je opuštění žralok nebo automatické zastavení procesu snímání a
• výstup vašich souborů.

Parametr automatického zastavení:

Můžete použít-A”Parametr pro začlenění dostupných příznaků, jako je velikost souboru trvání a soubory. V následujícím příkazu použijeme parametr autostop s doba trvání příznak zastavit proces do 120 sekund.

Podobně, pokud nepotřebujete, aby vaše soubory byly mimořádně velké, velikost souboru je dokonalým příznakem k zastavení procesu po určitých limitech KB.

A co je nejdůležitější, soubory příznak umožňuje zastavit proces snímání po několika souborech. Ale to je možné pouze po vytvoření více souborů, což vyžaduje provedení dalšího užitečného parametru, výstup zachycení.

Zachycení výstupního parametru:

Zachyťte výstup, alias argument Ringbuffer „-b“, Přichází se stejnými příznaky jako autostop. Využití / výstup je však trochu jiný, tj.E., vlajky doba trvání a velikost souboru, protože umožňuje přepínat nebo ukládat pakety do jiného souboru po dosažení stanoveného časového limitu v sekundách nebo velikosti souboru.

Níže uvedený příkaz ukazuje, že zachycujeme provoz prostřednictvím našeho síťového rozhraní enp0s3, a zachytit provoz pomocí filtru pro zachycení “-F„Pro tcp a dns. Používáme možnost ringbuffer „-b“ s a velikost souboru příznak pro uložení každého souboru o velikosti 15 Kb, a také použijte argument autostop k určení počtu použitých souborů soubory možnost taková, že zastaví proces snímání po vygenerování tří souborů.

Rozdělil jsem terminál na dvě obrazovky, abych aktivně sledoval vytvoření tří .soubory pcap.

Přejděte do svého / tmp složku a pomocí následujícího příkazu ve druhém terminálu sledujte aktualizace po každé sekundě.

Nyní si nemusíte všechny tyto příznaky pamatovat. Místo toho zadejte příkaz tshark -i enp0s3 -f „port 53 nebo port 21“ -b velikost souboru: 15 -a v terminálu a stiskněte Tab. Seznam všech dostupných příznaků bude k dispozici na vaší obrazovce.

Čtení .Soubory pcap:

A co je nejdůležitější, můžete použít „-r”Parametr pro čtení test_capture.soubory pcap a poslat je do hlava příkaz.

Informace zobrazené ve výstupním souboru mohou být trochu ohromující. Abychom se vyhnuli zbytečným podrobnostem a lépe porozuměli jakékoli konkrétní cílové IP adrese, používáme -r možnost číst soubor zachycený paketem a použít soubor ip.adresa filtr pro přesměrování výstupu do nového souboru s “-w“Možnost. To nám umožní zkontrolovat soubor a vylepšit naši analýzu použitím dalších filtrů.

Výběr polí k výstupu:

Výše uvedené příkazy vydávají souhrn každého paketu, který obsahuje různá pole záhlaví. Tshark také umožňuje zobrazit zadaná pole. K určení pole používáme „-T pole„A extrahujte pole podle našeho výběru.

Po "-T pole”, Použijeme volbu“ -e ”k tisku určených polí / filtrů. Zde můžeme použít filtry displeje Wireshark.

Zachyťte šifrovaná data handshake:

Zatím jsme se naučili ukládat a číst výstupní soubory pomocí různých parametrů a filtrů. Nyní se naučíme, jak HTTPS inicializuje relační tshark. Webové stránky přístupné přes HTTPS namísto HTTP zajišťují bezpečný nebo šifrovaný přenos dat po drátu. Pro bezpečný přenos zahajuje šifrování Transport Layer Security proces handshake, který nastartuje komunikaci mezi klientem a serverem.

Pojďme zachytit a pochopit handshake TLS pomocí tshark. Rozdělte terminál na dvě obrazovky a použijte a wget příkaz k načtení html souboru z https: // www.Wireshark.org.

Na jiné obrazovce použijeme tshark k zachycení prvních 11 paketů pomocí „-C" parametr. Při provádění analýzy jsou časová razítka důležitá pro rekonstrukci událostí, proto používáme „-t reklama”, Způsobem, který tshark přidává ke každému zachycenému paketu časové razítko. Nakonec použijeme příkaz hostitele k zachycení paketů ze sdíleného hostitele IP adresa.

Tento handshake je docela podobný handshake TCP. Jakmile se třícestné handshake TCP uzavře v prvních třech paketech, čtvrtý až devátý paket následuje poněkud podobný handshake rituál a obsahuje řetězce TLS, které zajišťují šifrovanou komunikaci mezi oběma stranami.

Prohlížení celého paketu:

Jedinou nevýhodou nástroje příkazového řádku je, že nemá grafické uživatelské rozhraní, protože je velmi užitečné, když potřebujete prohledat velký internetový provoz, a také nabízí panel paketů, který zobrazuje všechny podrobnosti paketu v rámci okamžitý. Stále je však možné zkontrolovat paket a vypsat všechny informace o paketu zobrazené v panelu paketů grafického uživatelského rozhraní.

Abychom zkontrolovali celý paket, použijeme k zachycení jednoho paketu příkaz ping s volbou „-c“.

V jiném okně použijte příkaz tshark s dalším příznakem k zobrazení podrobností celého paketu. Můžete si všimnout různých sekcí, které zobrazují podrobnosti o rámcích, Ethernetu II, IPV a ICMP.

Závěr:

Nejnáročnějším aspektem analýzy paketů je nalezení nejrelevantnějších informací a ignorování zbytečných bitů. I když jsou grafická rozhraní snadná, nemohou přispět k automatizované analýze síťových paketů. V tomto článku jste se naučili nejužitečnější parametry tshark pro zachycení, zobrazení, ukládání a čtení souborů síťového provozu.

Tshark je velmi užitečný nástroj, který čte a zapisuje zachytávací soubory podporované Wiresharkem. Kombinace filtrů zobrazení a snímání hodně přispívá při práci na případech použití pokročilé úrovně. Můžeme využít schopnost tsharku tisknout pole a manipulovat s daty podle našich požadavků na hloubkovou analýzu. Jinými slovy, je schopen dělat prakticky vše, co dělá Wireshark. A co je nejdůležitější, je ideální pro vzdálené čichání paketů pomocí ssh, což je téma pro další den.