Útmutató a „tshark” Wireshark parancssori felülethez

Észreveheti az összes rendelkezésre álló lehetőség listáját. Ebben a cikkben a legtöbb érvet részletesen bemutatjuk, és meg fogja érteni a terminálorientált Wireshark verzió erejét.

A hálózati interfész kiválasztása:

Az élő rögzítés és elemzés elvégzéséhez ebben a segédprogramban először ki kell derítenünk a munkafelületünket. típus tshark -D és a tshark felsorolja az összes elérhető interfészt.

Vegye figyelembe, hogy nem minden felsorolt ​​interfész fog működni. típus ifconfig hogy működő interfészeket találjon a rendszerén. Az én esetemben az enp0s3.

Forgalom rögzítése:

Az élő rögzítési folyamat elindításához a tshark parancsot a-én”Opciót a rögzítési folyamat elindításához a munkafelületről.

Használat Ctrl + C hogy megállítsa az élő rögzítést. A fenti parancsban a rögzített forgalmat a Linux parancshoz csatoltam fej az első néhány elfogott csomag megjelenítéséhez. Vagy használhatja a „-c ”Szintaxis a„n ” csomagok száma.

Ha csak belépsz tshark, alapértelmezés szerint nem kezdi meg az összes elérhető interfész forgalmának rögzítését, és nem hallgatja meg a működő felületét sem. Ehelyett csomagokat fog rögzíteni az első felsorolt ​​felületen.

A következő paranccsal ellenőrizheti több felületet is:

Addig az élő rögzítési forgalom másik módja a szám használata a felsorolt ​​interfészek mellett.

Több interfész jelenlétében azonban nehéz nyomon követni a felsorolt ​​számukat.

Capture Filter:

A rögzítési szűrők jelentősen csökkentik a rögzített fájl méretét. A Tshark a Berkeley csomagszűrő szintaxist használja -f „”, Amelyet a tcpdump is használ. A „-f” opciót csak a 80-as vagy 53-as portok csomagjainak rögzítésére használjuk, a „-c” használatával pedig csak az első 10 csomagot.

A rögzített forgalom mentése fájlba:

A legfontosabb, amit a fenti képernyőképen meg kell jegyezni, hogy a megjelenített információkat nem menti el, ezért kevésbé hasznosak. A „-w”A rögzített hálózati forgalom mentéséhez teszt_fogás.pcap ban ben / tmp mappába.

Mivel, .pcap a Wireshark fájltípus kiterjesztés. A fájl mentésével később a Wireshark GUI segítségével áttekintheti és elemezheti a gép forgalmát.

Jó gyakorlat a fájlt a / fájlba mentenitmp mivel ez a mappa nem igényel végrehajtási jogosultságokat. Ha egy másik mappába menti, akkor is, ha a tsharkot root jogosultságokkal futtatja, a program biztonsági okokból megtagadja az engedélyt.

Vizsgáljuk meg az összes lehetséges módot, amelyen keresztül:

• korlátokat alkalmazzon az adatok rögzítésére, például a kilépésre tshark vagy a rögzítési folyamat automatikus leállítása, és
• kimeneti fájljait.

Autostop paraméter:

Használhatja a-a”Paraméter az elérhető jelölők, például az időtartam fájlméret és a fájlok beépítéséhez. A következő parancsban az autostop paramétert a időtartamát jelző a folyamat 120 másodpercen belüli leállításához.

Hasonlóképpen, ha nem szükséges, hogy a fájljai extra nagyméretűek legyenek, fájl méret tökéletes jelző a folyamat leállításához néhány KB korlátozás után.

A legfontosabb, fájlokat A flag lehetővé teszi a rögzítési folyamat leállítását számos fájl után. De ez csak több fájl létrehozása után lehetséges, amelyhez egy másik hasznos paraméter, a kimeneti rögzítés végrehajtása szükséges.

Kimeneti paraméter rögzítése:

Kimenet rögzítése, más néven ringbuffer argumentum-b“, Ugyanazokkal a zászlókkal érkezik, mint az autostop. A felhasználás / kimenet azonban egy kicsit más, azaz.e., a zászlók időtartamát és fájl méret, mivel lehetővé teszi a csomagok átkapcsolását vagy mentését egy másik fájlba, miután másodpercekben vagy fájlméretben elérte a megadott határidőt.

Az alábbi parancs azt mutatja, hogy a forgalmat a hálózati felületünkön keresztül rögzítjük enp0s3, és elfog a forgalom a rögzítési szűrővel-f”A tcp és a dns számára. A „-b” ringbuffer opciót használjuk a-val fájl méret jelző az egyes méretű fájlok mentéséhez 15 Kb, és az autostop argumentummal is megadhatja a fájlok számát fájlokat opció oly módon, hogy három fájl létrehozása után leállítja a rögzítési folyamatot.

Két terminálra osztottam a terminálomat, hogy aktívan figyelemmel kísérjem a három létrehozását .pcap fájlokat.

Menj a / tmp mappát, és a második paranccsal a következő paranccsal ellenőrizheti a frissítéseket másodpercenként.

Most nem kell megjegyeznie ezeket a zászlókat. Ehelyett írja be a parancsot tshark -i enp0s3 -f “53-as vagy 21-es port” -b fájlméret: 15 -a és nyomja meg a gombot Tab. Az összes elérhető zászló listája elérhető lesz a képernyőn.

Olvasás .pcap fájlok:

A legfontosabb, hogy használhat egy „-r”Paraméter a test_capture beolvasásához.pcap fájlokat és csöveket a fej parancs.

A kimeneti fájlban megjelenített információk kissé elsöprőek lehetnek. A felesleges részletek elkerülése és a cél IP-címek jobb megértése érdekében a -r opció a rögzített csomag fájl elolvasására és egy ip.addr szűrő a kimenet új fájlba történő átirányításához a “-w" választási lehetőség. Ez lehetővé teszi számunkra a fájl áttekintését és elemzésünk finomítását további szűrők alkalmazásával.

Kimeneti mezők kiválasztása:

A fenti parancsok összefoglalót adnak ki minden egyes csomagról, amely különféle fejlécmezőket tartalmaz. A Tshark lehetővé teszi a megadott mezők megtekintését is. Egy mező megadásához a „-T mező”És kivonatoljuk a mezőket a választásunk szerint.

Azután "-T mező”Kapcsolót, a„ -e ”opcióval nyomtatjuk a megadott mezőket / szűrőket. Itt használhatjuk a Wireshark kijelzőszűrőket.

Titkosított kézfogási adatok rögzítése:

Eddig megtanultuk kimeneti fájlok mentését és olvasását különféle paraméterek és szűrők segítségével. Most megtudhatjuk, hogyan inicializálja a HTTPS a munkamenet tsharkot. A HTTP helyett HTTPS protokollon keresztül elérhető webhelyek biztonságos vagy titkosított adatátvitelt biztosítanak a vezetéken keresztül. A biztonságos továbbítás érdekében a Transport Layer Security titkosítás kézfogási folyamatot indít a kliens és a szerver közötti kommunikáció megindításához.

Foglaljuk le és értsük meg a TLS kézfogást a tshark használatával. Bontsa két terminálra a terminálját, és használja a wget parancs html fájl letöltéséhez https: // www.drótcápa.org.

Egy másik képernyőn a tshark segítségével fogjuk rögzíteni az első 11 csomagot a “-c”Paraméter. Az elemzés során az időbélyegek fontosak az események rekonstruálásához, ezért-t hirdetés”, Oly módon, hogy a tshark időbélyeget ad hozzá minden rögzített csomag mellé. Végül a host paranccsal csomagokat rögzítünk a megosztott gazdagépről IP-cím.

Ez a kézfogás meglehetősen hasonlít a TCP kézfogásra. Amint a TCP háromirányú kézfogás befejeződik az első három csomagban, a negyedik – kilencedik csomag kissé hasonló kézfogási rituálét követ és TLS-karakterláncokat tartalmaz a titkosított kommunikáció biztosítása érdekében mindkét fél között.

Teljes csomag megtekintése:

A parancssori segédprogram egyetlen hátránya, hogy nincs GUI-ja, mivel nagyon hasznos lesz, ha nagy mennyiségű internetes forgalomban kell keresgélnie, és egy csomagpanelt is kínál, amely az összes csomag részleteit megjeleníti egy azonnali. Ennek ellenére továbbra is lehetséges a csomag ellenőrzése és a GUI csomagpanelen megjelenített teljes csomaginformáció kiürítése.

Egy teljes csomag ellenőrzéséhez ping-parancsot használunk a „-c” opcióval egyetlen csomag rögzítéséhez.

Egy másik ablakban használja a tshark parancsot egy további zászlóval a teljes csomag részleteinek megjelenítéséhez. Különböző szakaszokat vehet észre, amelyek a Keretek, az Ethernet II, az IPV és az ICMP részleteit jelenítik meg.

Következtetés:

A csomagelemzés legnagyobb kihívása a legrelevánsabb információk megtalálása és a haszontalan bitek figyelmen kívül hagyása. Annak ellenére, hogy a grafikus interfészek egyszerűek, nem járulhatnak hozzá az automatikus hálózati csomagelemzéshez. Ebben a cikkben megtanulta a leghasznosabb tshark paramétereket a hálózati forgalmi fájlok rögzítéséhez, megjelenítéséhez, mentéséhez és olvasásához.

A Tshark egy nagyon hasznos segédprogram, amely olvassa és írja a Wireshark által támogatott rögzítési fájlokat. A megjelenítő és a rögzítő szűrők kombinációja sokat segít, miközben fejlett szintű használati eseteken dolgozik. Kihasználhatjuk a tshark képességét a mezők nyomtatására és az adatok manipulálására, a mélyreható elemzésre vonatkozó követelményeinknek megfelelően. Más szóval, képes gyakorlatilag mindent megtenni, amit a Wireshark. Ami a legfontosabb, hogy tökéletesen alkalmas csomagok szippantására az ssh használatával, amely egy másik nap témája.