Водич за почетнике за ТЦПДУМП

Тцпдумп је бесплатни и бежични анализатор пакета бежичне мреже података који ради на интерфејсу командне линије. То је најчешће коришћени ЦЛИ алат за анализу мрежног промета. Тцпдумп омогућава корисницима да виде, читају или ухвате мрежни саобраћај који се преноси мрежом прикљученом на рачунар. Корисно је у администрацији система, надгледању мрежног саобраћаја (за проблеме или на неки други начин).

Првобитно су га 1988. године написала четири радника Мрежне истраживачке групе у лабораторији Лоренс Беркли у Калифорнији. Једанаест година касније организовали су је Мицхеал Рицхардсон и Билл Феннер 1999. године, који су креирали тцпдумп страницу. Тцпдумп ради на свим оперативним системима сличним Унику. Виндовс верзија Тцпдумп назива се ВинДумп и користи ВинПцап, Виндовс алтернативу за либпцап.

Користите снап за инсталирање тцпдумп:

$ судо снап инсталирај тцпдумп

Користите свој менаџер пакета да бисте инсталирали тцпдумп:

$ судо апт-гет инсталл тцпдумп (Дебиан / Убунту)
$ судо днф инсталл тцпдумп (ЦентОС / РХЕЛ 6 и 7)
$ судо иум инсталл тцпдумп (Федора / ЦентОС / РХЕЛ 8)

Погледајмо различите употребе и резултате док истражујемо тцпдумп!

УДП

Тцпдумп такође може да избаци УДП пакете. Користићемо алатку нетцат (нц) да пошаљемо УДП пакет, а затим га избацимо.

$ ецхо -н "тцпдумпер" | нц -в 1 -у лоцалхост 1337

У горе датој команди шаљемо УДП пакет који се састоји од низа „Тцпдумпер“ до УДП порта 1337 путем локални домаћин. Тцпдумп снима пакет који се шаље преко УДП порта 1337 и приказује га.

Сада ћемо избацити овај пакет користећи тцпдумп.

$ судо тцпдумп -и ло удп порт 1337 -ввв -Кс

Ова наредба ће ухватити и приказати заробљене податке из пакета у АСЦИИ као и хексадецималном облику.

тцпдумп: слушање на ло, веза типа ЕН10МБ (Етхернет), дужина снимка 262144 бајта
04:39:39.072802 ИП (тос 0к0, ттл 64, ид 32650, офсет 0, заставе [ДФ], прото УДП (17), дужина 37)
локални домаћин.54574> лоцалхост.1337: [лош удп цксум 0кфе24 -> 0кеац6!] УДП, дужина 9
0к0000: 4500 0025 7ф8а 4000 4011 бд3б 7ф00 0001 Е…%… @.@…;…
0к0010: 7ф00 0001 д52е 0539 0011 фе24 7463 7064… 9… $ тцпд
0к0020: 756д 7065 72 умпер

Као што видимо, пакет је послат на порт 1337, а дужина је била 9 као низ тцпдумпер је 9 бајтова. Такође можемо видети да је пакет приказан у хек формату.

ДХЦП

Тцпдумп такође може вршити истраге ДХЦП пакета преко мреже. ДХЦП користи УДП порт бр. 67 или 68, па ћемо дефинисати и ограничити тцпдумп само за ДХЦП пакете. Претпоставимо да користимо вифи мрежни интерфејс.
Команда која се овде користи биће:

$ судо тцпдумп -и влан0 порт 67 или порт 68 -е -н -ввв
тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајтова
03:52:04.004356 00: 11: 22: 33: 44: 55: 00: 33: 44: 66, етертип ИПв4 (0к0800), дужина 342: (тос 0к0, ттл 64, ид 39781, офсет 0, заставе [ДФ ], прото УДП (17), дужина 328)
192.168.10.21.68> 192.168.10.1.67: [удп сум ок] БООТП / ДХЦП, захтев од 00: 11: 22: 33: 44: 55, дужина 300, кид 0кфеаб2д67, заставе [нема] (0к0000)
Клијент-ИП 192.168.10.16
Клијент-Етхернет-адреса 00: 11: 22: 33: 44: 55
Додаци добављача-рфц1048
Чаробни колачић 0к63825363
ДХЦП-порука (53), дужина 1: Издање
Сервер-ИД (54), дужина 4: 192.168.10.1
Име хоста (12), дужина 6: "папагај"
ЕНД (255), дужина 0
ПАД (0), дужине 0, јавља се 42

ДНС

ДНС, познат и као Систем имена домена, потврђује да ће вам пружити оно што тражите подударањем имена домена са адресом домена. Да бисте прегледали комуникацију на нивоу ДНС-а на свом уређају путем Интернета, можете да користите тцпдумп на следећи начин. ДНС користи УДП порт 53 за комуникацију.

$ судо тцпдумп -и влан0 удп порт 53
тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајтова
04:23:48.516616 ИП (тос 0к0, ттл 64, ид 31445, офсет 0, заставе [ДФ], прото УДП (17), дужина 72)
192.168.10.16.45899> један.једно.једно.једно.домен: [удп сум ок] 20852+ А? мозилла.цлоудфларе-днс.цом. (44)
04:23:48.551556 ИП (тос 0к0, ттл 60, ид 56385, офсет 0, заставице [ДФ], прото УДП (17), дужина 104)
једно.једно.једно.једно.домен> 192.168.10.16.45899: [удп сум ок] 20852 к: А? мозилла.цлоудфларе-днс.цом. 2/0/0 мозилла.цлоудфларе-днс.цом. [24с] А 104.16.249.249, мозилла.цлоудфларе-днс.цом. [24с] А 104.16.248.249 (76)
04:23:48.648477 ИП (тос 0к0, ттл 64, ид 31446, офсет 0, заставе [ДФ], прото УДП (17), дужина 66)
192.168.10.16.34043> један.једно.једно.једно.домен: [удп сум ок] 40757+ ПТР? 1.1.1.1.у адр.арпа. (38)
04:23:48.688731 ИП (тос 0к0, ттл 60, ид 56387, офсет 0, заставе [ДФ], прото УДП (17), дужина 95)
једно.једно.једно.једно.домен> 192.168.10.16.34043: [удп сум ок] 40757 к: ПТР? 1.1.1.1.у адр.арпа. 1/0/0 1.1.1.1.у адр.арпа. [26м53с] ПТР један.једно.једно.једно. (67)

АРП

Протоцол Ресолутион Протоцол се користи за откривање адресе слоја везе, као што је МАЦ адреса. Повезана је са датом адресом интернетског слоја, обично са ИПв4 адресом.

Користимо тцпдумп за хватање и читање података који се преносе у арп пакетима. Команда је једноставна као:

$ судо тцпдумп -и влан0 арп -ввв
тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајтова
03:44:12.023668 АРП, Етхернет (лен 6), ИПв4 (лен 4), Захтевај ко-има 192.168.10.Кажем 192.168.10.2, дужина 28
03:44:17.140259 АРП, Етхернет (лен 6), ИПв4 (лен 4), Захтевај ко-има 192.168.10.21 реци 192.168.10.1, дужина 28
03:44:17.140276 АРП, Етхернет (лен 6), ИПв4 (лен 4), Одговор 192.168.10.21 је у 00: 11: 22: 33: 44: 55 (оуи непознато), дужина 28
03:44:42.026393 АРП, Етхернет (лен 6), ИПв4 (лен 4), Захтевај ко-има 192.168.10.Кажем 192.168.10.2, дужина 28

ИЦМП

ИЦМП, такође познат као Интернет Цонтрол Мессаге Протоцол, је пратећи протокол у пакету Интернет протокола. ИЦМП се користи као информативни протокол.

Да бисмо видели све ИЦМП пакете на интерфејсу, можемо користити ову наредбу:

$ судо тцпдумп ицмп -ввв
тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајтова
04:26:42.123902 ИП (тос 0к0, ттл 64, ид 14831, офсет 0, заставе [ДФ], прото ИЦМП (1), дужина 84)
192.168.10.16> 192.168.10.1: ИЦМП захтев за ехо, ид 47363, след 1, дужина 64
04:26:42.128429 ИП (тос 0к0, ттл 64, ид 32915, офсет 0, заставице [нема], прото ИЦМП (1), дужина 84)
192.168.10.1> 192.168.10.16: ИЦМП ецхо одговор, ид 47363, след 1, дужина 64
04:26:43.125599 ИП (тос 0к0, ттл 64, ид 14888, офсет 0, заставице [ДФ], прото ИЦМП (1), дужина 84)
192.168.10.16> 192.168.10.1: ИЦМП захтев за ехо, ид 47363, след 2, дужина 64
04:26:43.128055 ИП (тос 0к0, ттл 64, ид 32916, офсет 0, заставице [нема], прото ИЦМП (1), дужина 84)
192.168.10.1> 192.168.10.16: ИЦМП ецхо одговор, ид 47363, след 2, дужина 64

НТП

НТП је мрежни протокол дизајниран посебно за синхронизацију времена на мрежи машина. Да бисте ухватили саобраћај на нтп-у:

$ судо тцпдумп дст порт 123
04:31:05.547856 ИП (тос 0к0, ттл 64, ид 34474, офсет 0, заставе [ДФ], прото УДП (17), дужина 76)
192.168.10.16.нтп> тиме-б-ввв.нист.гов.нтп: [удп сум ок] НТПв4, клијент, дужина 48
Индикатор скока: сат несинхронизован (192), слој 0 (неспецификован), анкета 3 (8с), прецизност -6
Роот кашњење: 1.000000, Дисперзија корена: 1.000000, Референтни ИД: (неспецификовано)
Временска ознака референце: 0.000000000
Временска ознака зачетника: 0.000000000
Примите временску ознаку: 0.000000000
Временска ознака преноса: 3825358265.547764155 (2021-03-21Т23: 31: 05З)
Оригинатор - Примите временску ознаку: 0.000000000
Оригинатор - Временска ознака преноса: 3825358265.547764155 (2021-03-21Т23: 31: 05З)
04:31:05.841696 ИП (тос 0к0, ттл 56, ид 234, офсет 0, заставице [нема], прото УДП (17), дужина 76)
време-б-ввв.нист.гов.нтп> 192.168.10.16.нтп: [удп сум ок] НТПв3, сервер, дужина 48
Индикатор скока: (0), Стратум 1 (примарна референца), анкета 13 (8192с), прецизност -29
Роот кашњење: 0.000244, Дисперзија корена: 0.000488, Референтни ИД: НИСТ
Временска ознака референце: 3825358208.000000000 (2021-03-21Т23: 30: 08З)
Временска ознака зачетника: 3825358265.547764155 (2021-03-21Т23: 31: 05З)
Примите временску ознаку: 3825358275.028660181 (2021-03-21Т23: 31: 15З)
Временска ознака преноса: 3825358275.028661296 (2021-03-21Т23: 31: 15З)
Оригинатор - Примите временску ознаку: +9.480896026
Изворник - Временска ознака преноса: +9.480897141

СМТП

СМТП или Симпле Маил Трансфер Протоцол се углавном користи за е-пошту. Тцпдумп то може користити за издвајање корисних информација е-поште. На пример, за издвајање прималаца / пошиљалаца е-поште:

$ судо тцпдумп -н -л порт 25 | греп -и 'ПОШТА ОД \ | РЦПТ ДО'

ИПв6

ИПв6 је „следећа генерација“ ИП-а, пружајући широк спектар ИП адреса. ИПв6 помаже у постизању дугорочног здравља Интернета.

Да бисте ухватили ИПв6 саобраћај, користите ип6 филтер који специфицира ТЦП и УДП протоколе користећи прото 6 и прото-17.

$ судо тцпдумп -н -и било који ип6 -ввв
тцпдумп: тип везе података ЛИНУКС_СЛЛ2
тцпдумп: преслушавање било ког, ЛИНУКС_СЛЛ2 типа Линук (Линук куван в2), дужина снимка 262144 бајта
04:34:31.847359 ло У ИП6 (ознака протока 0кц7цб6, хлим 64, УДП (17) дужина корисног терета следећег заглавља: ​​40) :: 1.49395> :: 1.49395: [лош удп цксум 0к003б -> 0к3587!] УДП, дужина 32
04:34:31.859082 ло У ИП6 (ознака протока 0кц7цб6, хлим 64, УДП (17) дужина корисног терета следећег заглавља: ​​32) :: 1.49395> :: 1.49395: [лош удп цксум 0к0033 -> 0кеаеф!] УДП, дужина 24
04:34:31.860361 ло У ИП6 (ознака протока 0кц7цб6, хлим 64, дужина корисног терета УДП (17) следећег заглавља: ​​40) :: 1.49395> :: 1.49395: [лош удп цксум 0к003б -> 0к7267!] УДП, дужина 32
04:34:31.871100 ло У ИП6 (ознака протока 0кц7цб6, хлим 64, дужина корисног терета УДП (17) следећег заглавља: ​​944) :: 1.49395> :: 1.49395: [лош удп цксум 0к03ц3 -> 0кф890!] УДП, дужина 936
Ухваћена 4 пакета
12 пакета примљених филтером
0 пакета које је кернел испустио

'-Ц 4' омогућава бројање пакета до највише 4 пакета. Можемо одредити број пакета до н и ухватити н пакета.

ХТТП

Протокол за пренос хипертекста се користи за пренос података са веб сервера у прегледач за преглед веб страница. ХТТП користи комуникацију путем ТЦП обрасца. Конкретно, користи се ТЦП порт 80.

Да бисте одштампали све ИПв4 ХТТП пакете на и са порта 80:

тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајта
03:36:00.602104 ИП (тос 0к0, ттл 64, ид 722, офсет 0, заставице [ДФ], прото ТЦП (6), дужина 60)
192.168.10.21.33586> 192.168.10.1.хттп: Заставе [С], цксум 0ка22б (тачно), сек 2736960993, вин 64240, опције [мсс 1460, сацкОК, ТС вал 389882294 ецр 0, ноп, всцале 10], дужина 0
03:36:00.604830 ИП (тос 0к0, ттл 64, ид 0, офсет 0, заставице [ДФ], прото ТЦП (6), дужина 60)
192.168.10.1.хттп> 192.168.10.21.33586: Заставе [С.], цксум 0к2дцц (тачно), сек 4089727666, ацк 2736960994, вин 14480, опције [мсс 1460, сацкОК, ТС вал 30996070 ецр 389882294, ноп, всцале 3], дужина 0
03:36:00.604893 ИП (тос 0к0, ттл 64, ид 723, офсет 0, заставице [ДФ], прото ТЦП (6), дужина 52)
192.168.10.21.33586> 192.168.10.1.хттп: Заставе [.], цксум 0к94е2 (тачно), сек 1, ацк 1, вин 63, оптионс [ноп, ноп, ТС вал 389882297 ецр 30996070], дужина 0
03:36:00.605054 ИП (тос 0к0, ттл 64, ид 724, офсет 0, заставице [ДФ], прото ТЦП (6), дужина 481)

ХТТП захтеви ..

192.168.10.21.33586> 192.168.10.1.хттп: Заставе [П.], цксум 0к9е5д (тачно), сек 1: 430, ацк 1, вин 63, опције [ноп, ноп, ТС вал 389882297 ецр 30996070], дужина 429: ХТТП, дужина: 429
ГЕТ / ХТТП / 1.1
Домаћин: 192.168.10.1
Кориснички агент: Мозилла / 5.0 (Виндовс НТ 10.0; рв: 78.0) Гецко / 20100101 Фирефок / 78.0
Прихватам: тект / хтмл, апплицатион / кхтмл + кмл, апплицатион / кмл; к = 0.9, слика / вебп, * / *; к = 0.8
Прихватајући језик: ен-УС, ен; к = 0.5
Прихвати-кодирај: гзип, дефлате
ДНТ: 1
Веза: одржавати у животу
Колачић: _ТЕСТЦООКИЕСУППОРТ = 1; СИД = ц7ццфа31цфе06065717д24фб544а5цд588760ф0цдц5ае2739е746ф84ц469б5фд
Захтеви за надоградњу-несигурни: 1

А и одговори се бележе

192.168.10.1.хттп> 192.168.10.21.33586: Заставе [стр.], цксум 0к84ф8 (тачно), сек 1: 523, ацк 430, вин 1944, опције [ноп, ноп, ТС вал 30996179 ецр 389882297], дужина 522: ХТТП, дужина: 522
ХТТП / 1.1 200 ОК
Сервер: ЗТЕ веб сервер 1.0 ЗТЕ цорп 2015.
Опсези прихватања: бајтови
Веза: близу
Опције Кс-Фраме-а: САМЕОРИГИН
Контрола предмеморије: не-предмеморија, не-складиште
Садржај: 138098
Сет-Цоокие: _ТЕСТЦООКИЕСУППОРТ = 1; ПУТ = /; ХттпОнли
Цонтент-Типе: тект / хтмл; цхарсет = утф-8
Опције типа Кс-Цонтент-Типе: носнифф
Садржај-безбедност-политика: фраме-предак 'селф' 'несигурно-инлине' 'унсафе-евал'; имг-срц 'селф' подаци :;
Кс-КССС-Заштита: 1; мод = блок
Сет-Цоокие: СИД =; истиче = Чет, 01. јануара 1970. 00:00:00 ГМТ; патх = /; ХттпОнли

ТЦП

Да би ухватила ТЦП само пакете, ова наредба ће учинити све добро:

$ судо тцпдумп -и влан0 тцп
тцпдумп: преслушавање на влан0, тип везе ЕН10МБ (Етхернет), дужина снимка 262144 бајта
04:35:48.892037 ИП (тос 0к0, ттл 60, ид 23987, офсет 0, заставице [нема], прото ТЦП (6), дужина 104)
тл-у-ф189.1е100.нето.хттпс> 192.168.10.16.50272: Заставе [стр.], цксум 0кц924 (тачно), сек 1377740065: 1377740117, ацк 1546363399, вин 300, опције [ноп, ноп, ТС вал 13149401 ецр 3051434098], дужина 52
04:35:48.892080 ИП (тос 0к0, ттл 64, ид 20577, офсет 0, заставице [ДФ], прото ТЦП (6), дужина 52)
192.168.10.16.50272> тл-ин-ф189.1е100.нето.хттпс: Заставе [.], цксум 0кф898 (тачно), сек 1, ацк 52, вин 63, оптионс [ноп, ноп, ТС вал 3051461952 ецр 13149401], дужина 0
04:35:50.199754 ИП (тос 0к0, ттл 64, ид 20578, офсет 0, заставе [ДФ], прото ТЦП (6), дужина 88)
192.168.10.16.50272> тл-ин-ф189.1е100.нето.хттпс: Заставе [П.], цксум 0к2531 (тачно), сек 1:37, ацк 52, вин 63, оптионс [ноп, ноп, ТС вал 3051463260 ецр 13149401], дужина 36
04:35:50.199809 ИП (тос 0к0, ттл 64, ид 7014, офсет 0, заставе [ДФ], прото ТЦП (6), дужина 88)
192.168.10.16.50434> хкг12с18-у-ф14.1е100.нето.хттпс: Заставе [П.], цксум 0кб21е (тачно), сек 328391782: 328391818, ацк 3599854191, вин 63, опције [ноп, ноп, ТС вал 3656137742 ецр 2564108387], дужина 36
Ухваћена 4 пакета
4 пакета примљена филтером
0 пакета које је кернел испустио

Обично снимање ТЦП пакета резултира великим прометом; можете детаљно навести своје захтеве додавањем филтера у хватање, као што су:

Лука
Одређује порт за надгледање

$ судо тцпдумп -и влан0 тцп порт 2222

Извор ИП
Да бисте прегледали пакете из одређеног извора

$ судо тцпдумп -и влан0 тцп срц 192.168.10.2

ИП адреса одредишта
Да бисте прегледали пакете до одређеног одредишта

$ судо тцпдумп -и влан0 тцп дст 192.168.10.2

Спремање снимања пакета у датотеке

Да бисмо сачували хватање пакета за каснију анализу, можемо користити опцију -в тцпдумп која захтева параметар имена датотеке. Те датотеке се чувају у формату датотеке пцап (преузимање пакета), који се може користити за чување или слање снимљених пакета.

На пример:

$ судо тцпдумп -в / ухваћен.пцап

Можемо додати филтере да ли желимо да снимимо ТЦП, УДП или ИЦМП пакете итд.

Читање хватања пакета из датотека

Нажалост, сачувану датотеку не можете прочитати помоћу уобичајених наредби за читање датотека, као што је мачка итд. Резултат је само непромишљен и тешко је рећи шта се налази у датотеци. '-р' се користи за читање пакета сачуваних у .пцап датотека, коју је раније чувао '-в' или други софтвер који чува пцапс:

$ судо тцпдумп -р / излази.пцап

Ово исписује податке прикупљене из заробљених пакета на екрану терминала у читљивом формату.

Тцпдумп цхеатсхеет

Тцпдумп се може користити са другим Линук наредбама као што су греп, сед итд., за извлачење корисних информација. Ево неколико корисних комбинација и кључних речи обједињених у употреби са тцпдумп за добијање драгоцених информација.

Издвојите ХТТП корисничке агенте:

$ судо тцпдумп -н | греп "Кориснички агент:"

УРЛ-ови тражени преко ХТТП-а могу се надгледати помоћу тцпдумп-а, као што су:

$ судо тцпдумп -в -н | егреп -и "ПОСТ / | ГЕТ / | Домаћин:"

Можете такође Издвојите ХТТП лозинке у ПОСТ захтевима

$ судо тцпдумп -нн -л | егреп -и "ПОСТ / | пвд = | пассвд = | лозинка = | Хост:"

Колачићи на страни сервера или клијента могу се извући помоћу:

$ судо тцпдумп -н | егреп -и 'Сет-Цоокие | Домаћин: | Колачић:'

Снимите ДНС захтеве и одговоре помоћу:

$ судо тцпдумп -и влп58с0 -с0 порт 53

Одштампајте све лозинке у обичном тексту:

$ судо тцпдумп порт хттп или порт фтп или порт смтп или порт имап или порт поп3 или порт телнет -л -А | егреп -и -Б5 'пасс = | пвд = | лог = | логин = | усер = | усер | усернаме = | пв = | пассв = | пассвд = | пассворд = | пасс: | усер: | усернаме: | пассворд: | логин: | пасс '

Уобичајени филтри Тцпдумп

• -А Приказује пакете у АСЦИИ формату.
• -ц Број пакета за хватање.
• -рачунати Исписати пакет пакета само када читате снимљену датотеку.
• -е Штампање МАЦ адреса и заглавља на нивоу везе.
• -х или -помоћ Штампа верзије и информације о употреби.
• -верзија Прикажи само информације о верзији.
• -и Наведите мрежни интерфејс за снимање.
• -К Спречите покушаје верификације контролних сума било ког пакета. Додаје брзину.
• -м Наведите модул који ћете користити.
• -н Не претварајте адресе (и.е., адресе домаћина, бројеви порта итд.) на имена.
• -број На почетку сваке линије одштампајте опционални број пакета.
• -стр Забраните интерфејсу да пређе у промискуитетни режим.
• -К Одаберите правац за пакете који ће се хватати. Пошаљите или примите.
• -к Тихи / брзи излаз. Штампа Мање информација. Излази су краћи.
• -р Користи се за читање пакета са пцап-а .
• -т Не исписујте временску ознаку на свакој думп линији.
• -в Штампа више информација у вези са излазом.
• -в Напишите необрађене пакете у датотеку.
• -Икс Штампа АСЦИИ излаз.
• -Икс Штампа АСЦИИ хексадецималним словима.
• -лист-интерфејси Приказује све доступне мрежне интерфејсе где тцпдумп може да ухвати пакете.

Престанак

Тцпдумп је врло широко коришћен алат који се користи у истраживању и примени безбедности / умрежавања. Једини недостатак тцпдумп-а је „Нема графичког корисничког интерфејса“, али је предобар да се не би чувао међу топ листама. Као што Даниел Миесслер пише, „Анализатори протокола попут Виресхарк-а су сјајни, али ако желите заиста савладати пакет-фу, прво морате да постанете једно са тцпдумп.”