Vodič za početnike TCPDUMP

Tcpdump je besplatni analizator paketa bežičnih podatkovnih mreža s otvorenim izvorom koji radi na sučelju naredbenog retka. To je najčešće korišteni CLI alat za analizu mrežnog prometa. Tcpdump omogućuje korisnicima da vide, čitaju ili uhvate mrežni promet koji se prenosi mrežom spojenom na računalo. Korisno je u administraciji sustava, praćenju mrežnog prometa (za probleme ili na neki drugi način).

Izvorno su ga 1988. godine napisala četvorica radnika Mrežne istraživačke grupe u laboratoriju Lawrence Berkeley u Kaliforniji. Jedanaest godina kasnije organizirali su je Micheal Richardson i Bill Fenner 1999. godine, koji su stvorili tcpdump stranicu. Tcpdump radi na svim operativnim sustavima sličnim Unixu. Windows verzija Tcpdumpa naziva se WinDump i koristi WinPcap, Windows alternativu za libpcap.

Upotrijebite snap za instaliranje tcpdump:

$ sudo snap instaliraj tcpdump

Upotrijebite svoj upravitelj paketa za instaliranje tcpdump:

$ sudo apt-get install tcpdump (Debian / Ubuntu)
$ sudo dnf instaliraj tcpdump (CentOS / RHEL 6 i 7)
$ sudo yum install tcpdump (Fedora / CentOS / RHEL 8)

Pogledajmo različite upotrebe i rezultate dok istražujemo tcpdump!

UDP

Tcpdump može izbaciti i UDP pakete. Upotrijebit ćemo alat netcat (nc) za slanje UDP paketa, a zatim ga izbacivanje.

$ echo -n "tcpdumper" | nc -w 1 -u localhost 1337

U gore datoj naredbi šaljemo UDP paket koji se sastoji od niza "Tcpdumper" na UDP priključak 1337 preko lokalnihost. Tcpdump bilježi paket koji se šalje preko UDP porta 1337 i prikazat će ga.

Sada ćemo izbaciti ovaj paket pomoću tcpdumpa.

$ sudo tcpdump -i lo udp port 1337 -vvv -X

Ova naredba će snimiti i prikazati zarobljene podatke iz paketa u ASCII, kao i hex obliku.

tcpdump: slušanje na lo, veza tipa EN10MB (Ethernet), duljina snimke 262144 bajta
04:39:39.072802 IP (tos 0x0, ttl 64, id 32650, pomak 0, zastavice [DF], proto UDP (17), duljina 37)
lokalnihost.54574> lokalnihost.1337: [loš udp cksum 0xfe24 -> 0xeac6!] UDP, duljina 9
0x0000: 4500 0025 7f8a 4000 4011 bd3b 7f00 0001 E…%… @.@…;…
0x0010: 7f00 0001 d52e 0539 0011 fe24 7463 7064… 9… $ tcpd
0x0020: 756d 7065 72 umper

Kao što vidimo, paket je poslan na port 1337, a duljina je bila 9 kao niz tcpdumper je 9 bajtova. Također možemo vidjeti da je paket prikazan u hex formatu.

DHCP

Tcpdump također može provoditi istrage DHCP paketa putem mreže. DHCP koristi UDP port br. 67 ili 68, pa ćemo definirati i ograničiti tcpdump samo za DHCP pakete. Pretpostavimo da koristimo wifi mrežno sučelje.
Ovdje će se koristiti naredba:

$ sudo tcpdump -i wlan0 port 67 ili port 68 -e -n -vvv
tcpdump: preslušavanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
03:52:04.004356 00: 11: 22: 33: 44: 55: 00: 11: 22: 33: 44: 66, ethertype IPv4 (0x0800), length 342: (tos 0x0, ttl 64, id 39781, offset 0, flags [DF ], proto UDP (17), duljina 328)
192.168.10.21.68> 192.168.10.1.67: [udp sum ok] BOOTP / DHCP, zahtjev od 00: 11: 22: 33: 44: 55, duljina 300, xid 0xfeab2d67, zastave [nema] (0x0000)
Klijent-IP 192.168.10.16
Adresa klijenta-Ethernet 00: 11: 22: 33: 44: 55
Proširenja dobavljača-rfc1048
Čarobni kolačić 0x63825363
DHCP-poruka (53), duljina 1: Izdanje
ID poslužitelja (54), duljina 4: 192.168.10.1
Ime hosta (12), duljina 6: "papiga"
END (255), duljina 0
PAD (0), duljina 0, javlja se 42

DNS

DNS, također poznat kao Sustav imena domena, potvrđuje da će vam pružiti ono što tražite uspoređivanjem imena domene s adresom domene. Da biste provjerili komunikaciju na razini DNS-a uređaja putem interneta, možete koristiti tcpdump na sljedeći način. DNS koristi UDP port 53 za komunikaciju.

$ sudo tcpdump -i wlan0 udp port 53
tcpdump: slušanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
04:23:48.516616 IP (tos 0x0, ttl 64, id 31445, pomak 0, zastavice [DF], proto UDP (17), duljina 72)
192.168.10.16.45899> jedan.jedan.jedan.jedan.domena: [udp sum ok] 20852+ A? mozilla.cloudflare-dns.com. (44)
04:23:48.551556 IP (tos 0x0, ttl 60, id 56385, pomak 0, zastavice [DF], proto UDP (17), duljina 104)
jedan.jedan.jedan.jedan.domena> 192.168.10.16.45899: [udp sum ok] 20852 q: A? mozilla.cloudflare-dns.com. 2/0/0 mozilla.cloudflare-dns.com. [24s] A 104.16.249.249, mozilla.cloudflare-dns.com. [24s] A 104.16.248.249 (76)
04:23:48.648477 IP (tos 0x0, ttl 64, id 31446, pomak 0, zastavice [DF], proto UDP (17), duljina 66)
192.168.10.16.34043> jedan.jedan.jedan.jedan.domena: [udp sum ok] 40757+ PTR? 1.1.1.1.u addr.arpa. (38)
04:23:48.688731 IP (tos 0x0, ttl 60, id 56387, pomak 0, zastavice [DF], proto UDP (17), duljina 95)
jedan.jedan.jedan.jedan.domena> 192.168.10.16.34043: [udp sum ok] 40757 q: PTR? 1.1.1.1.u addr.arpa. 1/0/0 1.1.1.1.u addr.arpa. [26m53s] PTR jedan.jedan.jedan.jedan. (67)

ARP

Address Resolution Protocol koristi se za otkrivanje adrese sloja veze, poput MAC adrese. Povezana je s danom adresom internetskog sloja, obično s IPv4 adresom.

Koristimo tcpdump za hvatanje i čitanje podataka koji se prenose u arp paketima. Naredba je jednostavna kao:

$ sudo tcpdump -i wlan0 arp -vvv
tcpdump: slušanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
03:44:12.023668 ARP, Ethernet (len 6), IPv4 (len 4), zahtjev tko-ima 192.168.10.1 reci 192.168.10.2, duljina 28
03:44:17.140259 ARP, Ethernet (len 6), IPv4 (len 4), zahtjev tko-ima 192.168.10.21 reci 192.168.10.1, duljina 28
03:44:17.140276 ARP, Ethernet (len 6), IPv4 (len 4), Odgovor 192.168.10.21 je-u 00: 11: 22: 33: 44: 55 (oui nepoznato), duljina 28
03:44:42.026393 ARP, Ethernet (len 6), IPv4 (len 4), zahtjev tko-ima 192.168.10.1 reci 192.168.10.2, duljina 28

ICMP

ICMP, također poznat kao Internet Control Message Protocol, podržavajući je protokol u paketu internetskih protokola. ICMP se koristi kao informativni protokol.

Da bismo vidjeli sve ICMP pakete na sučelju, možemo koristiti ovu naredbu:

$ sudo tcpdump icmp -vvv
tcpdump: preslušavanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
04:26:42.123902 IP (tos 0x0, ttl 64, id 14831, pomak 0, zastavice [DF], proto ICMP (1), duljina 84)
192.168.10.16> 192.168.10.1: ICMP zahtjev za odjekom, id 47363, slijed 1, duljina 64
04:26:42.128429 IP (tos 0x0, ttl 64, id 32915, pomak 0, zastavice [nema], proto ICMP (1), duljina 84)
192.168.10.1> 192.168.10.16: ICMP echo reply, id 47363, seq 1, length 64
04:26:43.125599 IP (tos 0x0, ttl 64, id 14888, pomak 0, zastavice [DF], proto ICMP (1), duljina 84)
192.168.10.16> 192.168.10.1: ICMP zahtjev za odjekom, id 47363, slijed 2, duljina 64
04:26:43.128055 IP (tos 0x0, ttl 64, id 32916, pomak 0, zastavice [nema], proto ICMP (1), duljina 84)
192.168.10.1> 192.168.10.16: ICMP odgovor na odjek, id 47363, slijed 2, duljina 64

NTP

NTP je mrežni protokol dizajniran posebno za sinkronizaciju vremena na mreži strojeva. Da biste uhvatili promet na ntp-u:

$ sudo tcpdump dst port 123
04:31:05.547856 IP (tos 0x0, ttl 64, id 34474, pomak 0, zastavice [DF], proto UDP (17), duljina 76)
192.168.10.16.ntp> vrijeme-b-wwv.nist.gov.ntp: [udp sum ok] NTPv4, klijent, duljina 48
Indikator skoka: sat nesinkroniziran (192), sloj 0 (nespecificiran), anketa 3 (8s), preciznost -6
Root kašnjenje: 1.000000, Disperzija korijena: 1.000000, Referentni ID: (nespecificirano)
Vremenska oznaka reference: 0.000000000
Vremenska oznaka izvornika: 0.000000000
Primite vremensku oznaku: 0.000000000
Vremenska oznaka prijenosa: 3825358265.547764155 (2021-03-21T23: 31: 05Z)
Izvornik - Primite vremensku oznaku: 0.000000000
Izvornik - Vremenska oznaka prijenosa: 3825358265.547764155 (2021-03-21T23: 31: 05Z)
04:31:05.841696 IP (tos 0x0, ttl 56, id 234, pomak 0, zastavice [nema], proto UDP (17), duljina 76)
vrijeme-b-wwv.nist.gov.ntp> 192.168.10.16.ntp: [udp sum ok] NTPv3, poslužitelj, duljina 48
Indikator skoka: (0), Stratum 1 (primarna referenca), anketa 13 (8192s), preciznost -29
Root kašnjenje: 0.000244, Disperzija korijena: 0.000488, Referentni ID: NIST
Vremenska oznaka reference: 3825358208.000000000 (2021-03-21T23: 30: 08Z)
Vremenska oznaka izvornika: 3825358265.547764155 (2021-03-21T23: 31: 05Z)
Primite vremensku oznaku: 3825358275.028660181 (2021-03-21T23: 31: 15Z)
Vremenska oznaka prijenosa: 3825358275.028661296 (2021-03-21T23: 31: 15Z)
Izvornik - Primite vremensku oznaku: +9.480896026
Izvornik - Vremenska oznaka prijenosa: +9.480897141

SMTP

SMTP ili Simple Mail Transfer Protocol uglavnom se koristi za e-poštu. Tcpdump to može koristiti za izdvajanje korisnih podataka e-pošte. Na primjer, za izdvajanje primatelja / pošiljatelja e-pošte:

$ sudo tcpdump -n -l port 25 | grep -i 'POŠTA OD \ | RCPT DO'

IPv6

IPv6 je "sljedeća generacija" IP-a, pružajući širok raspon IP adresa. IPv6 pomaže postići dugoročno zdravlje Interneta.

Da biste uhvatili IPv6 promet, upotrijebite ip6 filtar koji specificira TCP i UDP protokole koristeći proto 6 i proto-17.

$ sudo tcpdump -n -i bilo koji ip6 -vvv
tcpdump: tip podatkovne veze LINUX_SLL2
tcpdump: preslušavanje bilo kojeg linka tipa LINUX_SLL2 (Linux kuhani v2), duljina snimke 262144 bajta
04:34:31.847359 lo U IP6 (oznaka protoka 0xc7cb6, hlim 64, UDP (17) sljedećeg zaglavlja dužina korisnog tereta: 40) :: 1.49395> :: 1.49395: [loš udp cksum 0x003b -> 0x3587!] UDP, duljina 32
04:34:31.859082 lo In IP6 (oznaka protoka 0xc7cb6, hlim 64, UDP (17) next-header dužina korisnog tereta: 32) :: 1.49395> :: 1.49395: [loš udp cksum 0x0033 -> 0xeaef!] UDP, duljina 24
04:34:31.860361 lo U IP6 (oznaka protoka 0xc7cb6, hlim 64, UDP (17) sljedećeg zaglavlja duljina korisnog tereta: 40) :: 1.49395> :: 1.49395: [loš udp cksum 0x003b -> 0x7267!] UDP, duljina 32
04:34:31.871100 lo U IP6 (oznaka protoka 0xc7cb6, hlim 64, UDP (17) sljedećeg zaglavlja dužina korisnog tereta: 944) :: 1.49395> :: 1.49395: [loš udp cksum 0x03c3 -> 0xf890!] UDP, duljina 936
Uhvaćena 4 paketa
12 paketa primljenih filterom
0 paketa koje je kernel ispustio

'-C 4' omogućuje brojanje paketa do najviše 4 paketa. Možemo odrediti broj paketa na n i zarobiti n paketa.

HTTP

Protokol za prijenos hiperteksta koristi se za prijenos podataka s web poslužitelja u preglednik za pregled web stranica. HTTP koristi komunikaciju putem TCP obrasca. Konkretno, koristi se TCP priključak 80.

Da biste ispisali sve IPv4 HTTP pakete na i od priključka 80:

tcpdump: preslušavanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
03:36:00.602104 IP (tos 0x0, ttl 64, id 722, pomak 0, zastavice [DF], proto TCP (6), duljina 60)
192.168.10.21.33586> 192.168.10.1.http: Zastave [S], cksum 0xa22b (ispravno), seq 2736960993, win 64240, opcije [mss 1460, sackOK, TS val 389882294 ecr 0, nop, wscale 10], duljina 0
03:36:00.604830 IP (tos 0x0, ttl 64, id 0, pomak 0, zastavice [DF], proto TCP (6), duljina 60)
192.168.10.1.http> 192.168.10.21.33586: Zastave [S.], cksum 0x2dcc (točno), seq 4089727666, ack 2736960994, win 14480, opcije [mss 1460, sackOK, TS val 30996070 ecr 389882294, nop, wscale 3], duljina 0
03:36:00.604893 IP (tos 0x0, ttl 64, id 723, pomak 0, zastavice [DF], proto TCP (6), duljina 52)
192.168.10.21.33586> 192.168.10.1.http: Zastave [.], cksum 0x94e2 (točno), seq 1, ack 1, win 63, opcije [nop, nop, TS val 389882297 ecr 30996070], duljina 0
03:36:00.605054 IP (tos 0x0, ttl 64, id 724, pomak 0, zastavice [DF], proto TCP (6), duljina 481)

HTTP zahtjevi ..

192.168.10.21.33586> 192.168.10.1.http: Zastave [Str.], cksum 0x9e5d (točno), seq 1: 430, ack 1, win 63, opcije [nop, nop, TS val 389882297 ecr 30996070], duljina 429: HTTP, duljina: 429
GET / HTTP / 1.1
Voditelj: 192.168.10.1
Korisnički agent: Mozilla / 5.0 (Windows NT 10.0; rv: 78.0) Gecko / 20100101 Firefox / 78.0
Prihvaćam: text / html, application / xhtml + xml, application / xml; q = 0.9, slika / webp, * / *; q = 0.8
Prihvati-jezik: en-US, en; q = 0.5
Prihvati-kodiraj: gzip, deflate
DNT: 1
Veza: održavati na životu
Kolačić: _TESTCOOKIESUPPORT = 1; SID = c7ccfa31cfe06065717d24fb544a5cd588760f0cdc5ae2739e746f84c469b5fd
Zahtjevi za nadogradnju, nesigurni: 1

A i odgovori su zabilježeni

192.168.10.1.http> 192.168.10.21.33586: Zastave [Str.], cksum 0x84f8 (točno), seq 1: 523, ack 430, win 1944, opcije [nop, nop, TS val 30996179 ecr 389882297], duljina 522: HTTP, duljina: 522
HTTP / 1.1 200 OK
Poslužitelj: ZTE web poslužitelj 1.0 ZTE corp 2015.
Opsezi prihvaćanja: bajtovi
Veza: blizu
Opcije X-okvira: ISTOORIGIN
Upravljanje predmemorijom: bez predmemorije, bez spremanja
Duljina sadržaja: 138098
Set-Cookie: _TESTCOOKIESUPPORT = 1; PUT = /; HttpOnly
Vrsta sadržaja: text / html; charset = utf-8
X-Content-Type-Options: nosniff
Sadržaj-Sigurnost-Politika: frame-predak 'self' 'nesigurno-inline' 'nesigurno-eval'; img-src 'self' podaci :;
X-XSS-Zaštita: 1; mod = blok
Postavi kolačić: SID =; istječe = Četvrtak, 01. siječnja 1970. 00:00:00 GMT; put = /; HttpOnly

TCP

Da bi uhvatila TCP samo pakete, ova će naredba učiniti sve dobro:

$ sudo tcpdump -i wlan0 tcp
tcpdump: preslušavanje na wlan0, tip veze EN10MB (Ethernet), duljina snimke 262144 bajta
04:35:48.892037 IP (tos 0x0, ttl 60, id 23987, pomak 0, zastavice [nema], proto TCP (6), duljina 104)
tl-u-f189.1e100.neto.https> 192.168.10.16.50272: Zastave [Str.], cksum 0xc924 (točno), seq 1377740065: 1377740117, ack 1546363399, win 300, opcije [nop, nop, TS val 13149401 ecr 3051434098], duljina 52
04:35:48.892080 IP (tos 0x0, ttl 64, id 20577, pomak 0, zastavice [DF], proto TCP (6), duljina 52)
192.168.10.16.50272> tl-in-f189.1e100.neto.https: Zastave [.], cksum 0xf898 (točno), seq 1, ack 52, win 63, opcije [nop, nop, TS val 3051461952 ecr 13149401], duljina 0
04:35:50.199754 IP (tos 0x0, ttl 64, id 20578, pomak 0, zastavice [DF], proto TCP (6), duljina 88)
192.168.10.16.50272> tl-in-f189.1e100.neto.https: Zastave [str.], cksum 0x2531 (točno), seq 1:37, ack 52, win 63, opcije [nop, nop, TS val 3051463260 ecr 13149401], duljina 36
04:35:50.199809 IP (tos 0x0, ttl 64, id 7014, pomak 0, zastavice [DF], proto TCP (6), duljina 88)
192.168.10.16.50434> hkg12s18-u-f14.1e100.neto.https: Zastave [str.], cksum 0xb21e (točno), seq 328391782: 328391818, ack 3599854191, win 63, opcije [nop, nop, TS val 3656137742 ecr 2564108387], duljina 36
Uhvaćena 4 paketa
4 paketa primljena filtrom
0 paketa koje je kernel ispustio

Obično hvatanje TCP paketa rezultira velikim prometom; možete detaljno odrediti svoje zahtjeve dodavanjem filtara u hvatanje, kao što su:

Luka
Određuje priključak za nadzor

$ sudo tcpdump -i wlan0 tcp port 2222

Izvor IP
Za pregled paketa iz određenog izvora

$ sudo tcpdump -i wlan0 tcp src 192.168.10.2

IP odredišta
Za prikaz paketa na određeno odredište

$ sudo tcpdump -i wlan0 tcp dst 192.168.10.2

Spremanje snimanja paketa u datoteke

Da bismo spremili hvatanje paketa za kasniju analizu, možemo koristiti opciju -w tcpdump koja zahtijeva parametar imena datoteke. Te se datoteke spremaju u format datoteke pcap (hvatanje paketa), koji se može koristiti za spremanje ili slanje snimljenih paketa.

Na primjer:

$ sudo tcpdump -w /uhvaćen.pcap

Možemo dodati filtre želimo li zabilježiti TCP, UDP ili ICMP pakete itd.

Čitanje hvatanja paketa iz datoteka

Nažalost, spremljenu datoteku ne možete pročitati pomoću uobičajenih naredbi "čitaj datoteku" poput mačke itd. Izlaz je samo nepromišljen i teško je reći što se nalazi u datoteci. '-r' koristi se za čitanje paketa spremljenih u .pcap datoteka, pohranjena ranije od strane '-w' ili drugog softvera za pohranu pcapsa:

$ sudo tcpdump -r / izlazi.pcap

Ovim se ispisuju podaci prikupljeni iz zarobljenih paketa na zaslonu terminala u čitljivom formatu.

Tcpdump varalica

Tcpdump se može koristiti s drugim Linux naredbama kao što su grep, sed itd., izvući korisne informacije. Evo nekoliko korisnih kombinacija i ključnih riječi spojenih u upotrebu s tcpdumpom za dobivanje vrijednih informacija.

Izdvojite HTTP korisničke agente:

$ sudo tcpdump -n | grep "Korisnički agent:"

URL-ovi traženi preko HTTP-a mogu se nadzirati pomoću tcpdumpa, kao što su:

$ sudo tcpdump -v -n | egrep -i "POST / | GET / | Domaćin:"

Također možete Izdvojite HTTP lozinke u POST zahtjevima

$ sudo tcpdump -nn -l | egrep -i "POST / | pwd = | passwd = | lozinka = | Domaćin:"

Kolačići poslužitelja ili klijenta mogu se izvući pomoću:

$ sudo tcpdump -n | egrep -i 'Set-Cookie | Domaćin: | Kolačić:'

Snimite DNS zahtjeve i odgovore pomoću:

$ sudo tcpdump -i wlp58s0 -s0 port 53

Ispis svih lozinki u običnom tekstu:

$ sudo tcpdump port http ili port ftp ili port smtp ili port imap ili port pop3 ili port telnet -l -A | egrep -i -B5 'pass = | pwd = | log = | login = | user = | user | username = | pw = | passw = | passwd = | password = | pass: | user: | username: | password: | prijava: | pass '

Uobičajeni filtri Tcpdump

• -A Prikazuje pakete u ASCII formatu.
• -c Broj paketa za hvatanje.
• -računati Ispis broja paketa samo prilikom čitanja snimljene datoteke.
• -e Ispis MAC adresa i zaglavlja na razini veze.
• -h ili -pomoć Ispisuje verziju i informacije o upotrebi.
• -verzija Prikaži samo informacije o verziji.
• -ja Navedite mrežno sučelje za snimanje.
• -K Spriječite pokušaje provjere kontrolnih suma bilo kojeg paketa. Dodaje brzinu.
• -m Navedite modul koji ćete koristiti.
• -n Ne pretvarajte adrese (tj.e., adrese domaćina, brojevi priključaka itd.) na imena.
• -broj Na početak svakog retka ispišite neobavezni broj paketa.
• -str Zabranite sučelju prelazak u promiskuitetni način.
• -P Odaberite smjer za pakete koji će se hvatati. Pošaljite ili primite.
• -q Tihi / brzi izlaz. Ispisi Manje informacija. Izlazi su kraći.
• -r Koristi se za čitanje paketa s pcap-a .
• -t Ne ispisujte vremensku oznaku na svakoj dump liniji.
• -v Ispisuje više informacija u vezi s izlazom.
• -w Napišite neobrađene pakete u datoteku.
• -x Ispisuje ASCII izlaz.
• -x Ispisuje ASCII s hex-om.
• -popis-sučelja Prikazuje sva dostupna mrežna sučelja gdje tcpdump može zarobiti pakete.

Prestanak

Tcpdump je vrlo korišten alat koji se koristi u istraživanju i primjenama sigurnosti / umrežavanja. Jedini nedostatak tcpdump-a je "Nema GUI-ja", ali predobar je da ga se ne bi čuvalo na vrhu ljestvice. Kao što Daniel Miessler piše, „Analizatori protokola poput Wiresharka sjajni su, ali ako želite istinski svladati paket-fu, prvo morate postati jedno s tcpdump."