Водич за Виресхарк интерфејс командне линије „тсхарк“

Можете приметити листу свих доступних опција. У овом чланку ћемо детаљно покрити већину аргумената и разумећете снагу ове верзије Виресхарк оријентисане на терминал.

Избор мрежног интерфејса:

Да бисмо спровели хватање и анализу уживо у овом услужном програму, прво морамо да схватимо наш радни интерфејс. Тип тсхарк -Д а тсхарк ће навести све доступне интерфејсе.

Имајте на уму да неће сви наведени интерфејси радити. Тип ифцонфиг да бисте пронашли радне интерфејсе на вашем систему. У мом случају јесте енп0с3.

Снимите саобраћај:

Да бисмо започели процес снимања уживо, користићемо тсхарк команда са „-иОпција за започињање процеса снимања из радног интерфејса.

Користите Цтрл + Ц да заустави хватање уживо. У горњој наредби сам преусмјерио заробљени промет на Линук наредбу глава за приказ првих неколико снимљених пакета. Или такође можете користити „-ц ”Синтакса за хватање„н ” број пакета.

Ако само уђете тсхарк, по дефаулту неће покретати хватање саобраћаја на свим доступним интерфејсима нити ће преслушавати ваш радни интерфејс. Уместо тога, хватаће пакете на првом наведеном интерфејсу.

Следећу наредбу можете користити и за проверу више интерфејса:

У међувремену, други начин за снимање саобраћаја уживо је употреба броја уз наведене интерфејсе.

Међутим, у присуству више интерфејса тешко је пратити њихове наведене бројеве.

Филтер за снимање:

Филтери за хватање значајно смањују величину снимљене датотеке. Тсхарк користи синтаксу Беркелеи Пацкет Филтер -ф „”, Који такође користи тцпдумп. Користићемо опцију „-ф“ да хватамо само пакете са портова 80 или 53, а помоћу „-ц“ приказујемо само првих 10 пакета.

Спремање заробљеног саобраћаја у датотеку:

Кључна ствар коју треба приметити на горњем снимку екрана је да се приказане информације не чувају, па су зато мање корисне. Користимо аргумент „-в”Да бисте сачували заробљени мрежни саобраћај тест_цаптуре.пцап у / тмп директоријум.

Док, .пцап је екстензија типа датотеке Виресхарк. Чувањем датотеке можете касније да прегледате и анализирате саобраћај на машини са Виресхарк ГУИ.

Добра је пракса да датотеку сачувате у /тмп јер овај фолдер не захтева никакве привилегије извршења. Ако га сачувате у другу фасциклу, чак и ако користите тсхарк са роот привилегијама, програм ће ускратити дозволу из безбедносних разлога.

Истражимо све могуће начине на које можете:

• применити ограничења на хватање података, као што је излаз тсхарк или аутоматско заустављање процеса снимања и
• избаците своје датотеке.

Параметар аутоматског заустављања:

Можете користити „-аПараметар за укључивање доступних заставица као што су величина датотеке и трајање датотеке. У следећој наредби користимо параметар аутостоп са трајање заставицу да зауставите процес у року од 120 секунди.

Слично томе, ако вам датотеке не требају бити превелике, величина фајла је савршена застава за заустављање процеса након неких КБ ограничења.

Најважније, фајлови флаг вам омогућава да зауставите процес снимања након више датотека. Али то може бити могуће само након стварања више датотека, што захтева извршење другог корисног параметра, излазног хватања.

Излазни параметар снимања:

Снимање излаза, познат као аргумент мелодије звона “-б“, Долази са истим заставицама као и аутостоп. Међутим, употреба / излаз је нешто другачији, тј.е., заставе трајање и величина фајла, јер вам омогућава да пребаците или сачувате пакете у другу датотеку након достизања одређеног временског ограничења у секундама или величине датотеке.

Наредба испод показује да хватамо промет кроз наш мрежни интерфејс енп0с3, и забележите саобраћај помоћу филтера за хватање “-ф”За тцп и днс. Користимо опцију „-б“ за додавање звона са величина фајла заставицу за чување сваке датотеке величине 15 Кб, а такође користите аргумент аутостоп да одредите број датотека које користе фајлови опција таква да зауставља процес снимања након генерисања три датотеке.

Поделио сам свој терминал на два екрана како бих активно пратио стварање три .пцап датотеке.

Иди на свој / тмп директоријум и користите следећу команду у другом терминалу за надгледање ажурирања након сваке секунде.

Сада не требате памтити све ове заставе. Уместо тога, откуцајте наредбу тсхарк -и енп0с3 -ф “порт 53 или порт 21” -б величина датотеке: 15 -а у свом терминалу и притисните Таб. Списак свих доступних заставица биће доступан на вашем екрану.

Читање .пцап датотеке:

Што је најважније, можете користити „-рПараметар за читање тест_цаптуре.пцап датотеке и пребаците их у глава команда.

Информације приказане у излазној датотеци могу бити помало неодољиве. Да бисмо избегли непотребне детаље и боље разумели било коју одредишну ИП адресу, користимо -р опција за читање пакета снимљене датотеке и коришћење датотеке ип.аддр филтер за преусмеравање резултата у нову датотеку са „-в" опција. То ће нам омогућити да прегледамо датотеку и усавршимо анализу применом додатних филтера.

Одабир поља за излаз:

Наредбе изнад дају сажетак сваког пакета који укључује различита поља заглавља. Тсхарк вам такође омогућава да видите наведена поља. Да бисмо одредили поље, користимо „-Т поље“И извадите поља по нашем избору.

После "-Т пољеПрекидач ”, користимо опцију„ -е ”за испис одређених поља / филтера. Овде можемо да користимо Виресхарк филтере за приказ.

Снимите шифроване податке о руковању:

До сада смо научили да чувамо и читамо излазне датотеке користећи различите параметре и филтере. Сада ћемо научити како ХТТПС иницијализује сесију тсхарк. Веб локације којима се приступа преко ХТТПС-а уместо ХТТП-а обезбеђују сигуран или шифровани пренос података преко жице. За сигуран пренос, енкрипција Транспорт Лаиер Сецурити покреће поступак руковања како би се започела комуникација између клијента и сервера.

Ухватимо и разумемо ТЛС руковање користећи тсхарк. Поделите терминал на два екрана и користите а вгет наредба за преузимање хтмл датотеке из хттпс: // ввв.виресхарк.орг.

На другом екрану ћемо користити тсхарк да снимимо првих 11 пакета помоћу „-цПараметар ”. Током извођења анализе временске ознаке су важне за реконструкцију догађаја, па зато користимо „-т ад”, На начин да тсхарк додаје временску ознаку поред сваког снимљеног пакета. И на крају, користимо наредбу хост за хватање пакета са дељеног хоста ИП адреса.

Ово руковање је прилично слично ТЦП руковању. Чим се ТЦП тросмерно руковање заврши у прва три пакета, четврти до девети пакет следе донекле сличан ритуал руковања и укључују ТЛС низове како би се осигурала шифрована комуникација између обе стране.

Преглед читавог пакета:

Једини недостатак услужног програма за командну линију је тај што нема ГУИ, јер постаје врло користан када треба да претражите пуно интернет промета, а такође нуди и Пацкет Панел који приказује све детаље о пакету унутар тренутно. Ипак, још увек је могуће прегледати пакет и избацити целокупне информације о пакету приказане на ГУИ Пацкет Панел.

Да бисмо прегледали читав пакет, користимо пинг команду са опцијом „-ц“ да бисмо ухватили један пакет.

У другом прозору користите команду тсхарк са додатном заставицом за приказ целокупних детаља о пакету. Можете приметити различите одељке који приказују детаље Фрамес, Етхернет ИИ, ИПВ и ИЦМП.

Закључак:

Најизазовнији аспект анализе пакета је проналажење најрелевантнијих информација и игнорисање бескорисних битова. Иако су графички интерфејси једноставни, они не могу допринети аутоматизованој анализи мрежног пакета. У овом чланку сте научили најкорисније параметре тсхарк за хватање, приказивање, чување и читање датотека мрежног саобраћаја.

Тсхарк је врло згодан услужни програм који чита и записује датотеке за снимање које подржава Виресхарк. Комбинација филтера за приказ и хватање много доприноси док радите на случајевима употребе напредног нивоа. Можемо искористити тсхарк способност штампања поља и манипулације подацима у складу са нашим захтевима за детаљну анализу. Другим речима, способан је да уради готово све што ради Виресхарк. Што је најважније, савршен је за даљинско њушкање пакета помоћу ссх-а, што је тема другог дана.