Vodič za sučelje naredbenog retka Wireshark tshark

Možete primijetiti popis svih dostupnih opcija. U ovom ćemo članku detaljno pokriti većinu argumenata i shvatit ćete snagu ove verzije Wireshark orijentirane na terminal.

Odabir mrežnog sučelja:

Da bismo izvršili hvatanje i analizu uživo u ovom uslužnom programu, prvo moramo otkriti naše radno sučelje. Tip tshark -D a tshark će navesti sva dostupna sučelja.

Imajte na umu da sva navedena sučelja neće raditi. Tip ifconfig pronaći radna sučelja na vašem sustavu. U mom slučaju jest enp0s3.

Snimite promet:

Za pokretanje postupka snimanja uživo koristit ćemo tshark naredba s “-jaOpcija za započinjanje postupka hvatanja s radnog sučelja.

Koristiti Ctrl + C zaustaviti hvatanje uživo. U gornjoj naredbi preusmjerio sam zarobljeni promet na Linux naredbu glava za prikaz prvih nekoliko zarobljenih paketa. Ili također možete upotrijebiti "-c ”Sintaksa za hvatanje“n ” broj paketa.

Ako samo uđete tshark, prema zadanim postavkama neće započeti hvatanje prometa na svim dostupnim sučeljima niti će preslušavati vaše radno sučelje. Umjesto toga, hvataće pakete na prvom navedenom sučelju.

Sljedeću naredbu možete koristiti i za provjeru više sučelja:

U međuvremenu, drugi način za prijenos prometa uživo je upotreba broja uz navedena sučelja.

Međutim, u prisutnosti više sučelja teško je pratiti njihove navedene brojeve.

Filtar za hvatanje:

Filtri za hvatanje značajno smanjuju veličinu snimljene datoteke. Tshark koristi sintaksu Berkeley Packet Filter -f “”, Koji također koristi tcpdump. Upotrijebit ćemo opciju "-f" da hvatamo samo pakete s priključaka 80 ili 53, a "-c" da prikazujemo samo prvih 10 paketa.

Spremanje zarobljenog prometa u datoteku:

Ključna stvar koju treba primijetiti na gornjoj snimci zaslona jest da se prikazani podaci ne spremaju, pa su stoga manje korisni. Koristimo argument „-w”Za spremanje zarobljenog mrežnog prometa na test_capture.pcap u / tmp mapu.

Dok, .pcap je nastavak tipa datoteke Wireshark. Spremanjem datoteke možete kasnije pregledati i analizirati promet na stroju s Wireshark GUI.

Dobra je praksa spremati datoteku u /tmp jer ova mapa ne zahtijeva nikakve povlastice izvršavanja. Ako ga spremite u drugu mapu, čak i ako koristite tshark s root privilegijama, program će uskratiti dozvolu iz sigurnosnih razloga.

Istražimo sve moguće načine na koje možete:

• primijeniti ograničenja na hvatanje podataka, poput onih koji izlaze tshark ili automatsko zaustavljanje postupka snimanja i
• izbacite svoje datoteke.

Parametar automatskog zaustavljanja:

Možete koristiti "-aParametar koji uključuje dostupne zastavice kao što su veličina datoteke s trajanjem i datoteke. U sljedećoj naredbi koristimo parametar autostop s parametrom trajanje zastavicu za zaustavljanje postupka u roku od 120 sekundi.

Slično tome, ako vam datoteke ne trebaju biti prevelike, veličina datoteke je savršena zastava za zaustavljanje procesa nakon nekih KB-ovih ograničenja.

Najvažnije, datoteke flag vam omogućuje zaustavljanje postupka snimanja nakon niza datoteka. Ali to je moguće samo nakon stvaranja više datoteka, što zahtijeva izvršenje drugog korisnog parametra, izlaznog hvatanja.

Izlazni parametar snimanja:

Snimanje izlaza, aka argument melodije zvona “-b“, Dolazi s istim zastavicama kao i autostop. Međutim, upotreba / izlaz je nešto drugačiji, tj.e., zastave trajanje i veličina datoteke, jer vam omogućuje prebacivanje ili spremanje paketa u drugu datoteku nakon dostizanja određenog vremenskog ograničenja u sekundama ili veličine datoteke.

Naredba u nastavku pokazuje da bilježimo promet putem našeg mrežnog sučelja enp0s3, i hvatanje prometa pomoću filtra za hvatanje “-f”Za tcp i dns. Koristimo opciju prstena za punjenje "-b" s a veličina datoteke zastava za spremanje svake datoteke veličine 15 Kb, a također pomoću argumenta autostop odredite broj datoteka koje koriste datoteke opcija takva da zaustavlja postupak snimanja nakon generiranja tri datoteke.

Podijelio sam svoj terminal na dva zaslona kako bih aktivno pratio stvaranje tri .pcap datoteke.

Idi na svoj / tmp mapu i upotrijebite sljedeću naredbu u drugom terminalu za praćenje ažuriranja nakon svake sekunde.

Sad, ne trebate pamtiti sve ove zastave. Umjesto toga upišite naredbu tshark -i enp0s3 -f “port 53 ili port 21” -b veličina datoteke: 15 -a u svom terminalu i pritisnite Tab. Popis svih dostupnih zastavica bit će dostupan na vašem zaslonu.

Čitanje .pcap datoteke:

Što je najvažnije, možete koristiti "-rParametar za čitanje test_capture.pcap datoteke i premjestite ih na glava naredba.

Podaci prikazani u izlaznoj datoteci mogu biti malo porazni. Da bismo izbjegli nepotrebne detalje i bolje razumjeli bilo koju određenu IP adresu, koristimo -r mogućnost čitanja datoteke koja je zarobljena paketom i upotrebe datoteke ip.adr filtar za preusmjeravanje rezultata u novu datoteku s "-wOpcija. To će nam omogućiti pregled datoteke i pročišćavanje naše analize primjenom daljnjih filtara.

Odabir polja za izlaz:

Gornje naredbe daju sažetak svakog paketa koji uključuje različita polja zaglavlja. Tshark vam također omogućuje prikaz navedenih polja. Da bismo odredili polje, koristimo “-T polje”I izvadite polja prema našem izboru.

Nakon što "-T poljePrekidač ”, koristimo opciju“ -e ”za ispis određenih polja / filtara. Ovdje možemo koristiti filtre za prikaz Wireshark.

Snimite šifrirane podatke o rukovanju:

Do sada smo naučili spremati i čitati izlazne datoteke pomoću različitih parametara i filtara. Sada ćemo naučiti kako HTTPS inicijalizira tshark sesije. Web stranice kojima se pristupa putem HTTPS-a umjesto HTTP-a osiguravaju siguran ili šifrirani prijenos podataka putem žice. Za siguran prijenos šifriranje Transport Layer Security započinje postupak rukovanja kako bi se započela komunikacija između klijenta i poslužitelja.

Snimimo i shvatimo TLS rukovanje pomoću tsharka. Podijelite terminal na dva zaslona i upotrijebite a wget naredba za preuzimanje html datoteke iz https: // www.žičana oštrica.org.

Na drugom ekranu koristit ćemo tshark za hvatanje prvih 11 paketa pomoću "-cParametar ”. Tijekom izvođenja analize vremenske su oznake važne za rekonstrukciju događaja, stoga koristimo „-t oglas”, Na način da tshark dodaje vremensku oznaku uz svaki snimljeni paket. I na kraju, koristimo naredbu host za hvatanje paketa s dijeljenog hosta IP adresa.

Ovo rukovanje prilično je slično TCP rukovanju. Čim se TCP trosmjerno rukovanje završi u prva tri paketa, četvrti do deveti paket slijede donekle sličan ritual rukovanja i uključuju TLS žice kako bi se osigurala šifrirana komunikacija između obje strane.

Pregled cijelog paketa:

Jedini nedostatak uslužnog programa naredbenog retka je taj što nema GUI, jer postaje vrlo koristan kada trebate pretraživati ​​puno internetskog prometa, a nudi i Packet Panel koji prikazuje sve detalje o paketu unutar trenutak. Ipak, još uvijek je moguće pregledati paket i izbaciti cijele informacije o paketu prikazane na GUI Packet Panel.

Da bismo pregledali cijeli paket, koristimo naredbu ping s opcijom "-c" za hvatanje jednog paketa.

U drugom prozoru upotrijebite naredbu tshark s dodatnom zastavicom za prikaz cijelih detalja o paketu. Možete primijetiti razne odjeljke koji prikazuju okvire, detalje Etherneta II, IPV-a i ICMP-a.

Zaključak:

Najizazovniji aspekt analize paketa je pronalaženje najrelevantnijih informacija i ignoriranje beskorisnih bitova. Iako su grafička sučelja jednostavna, ne mogu pridonijeti automatiziranoj analizi mrežnih paketa. U ovom ste članku naučili najkorisnije parametre tshark za hvatanje, prikazivanje, spremanje i čitanje datoteka mrežnog prometa.

Tshark vrlo je prikladan uslužni program koji čita i zapisuje datoteke za snimanje koje podržava Wireshark. Kombinacija filtara za prikaz i hvatanje puno doprinosi dok radite na slučajevima upotrebe napredne razine. Možemo iskoristiti tshark sposobnost ispisa polja i manipulacije podacima prema našim zahtjevima za dubinskom analizom. Drugim riječima, sposoban je raditi gotovo sve što Wireshark radi. Što je najvažnije, savršen je za daljinsko njuškanje paketa pomoću ssh-a, što je tema za neki drugi dan.