Un ghid pentru interfața liniei de comandă Wireshark „tshark”

Puteți observa o listă cu toate opțiunile disponibile. În acest articol, vom acoperi în detaliu majoritatea argumentelor și veți înțelege puterea acestei versiuni Wireshark orientate către terminal.

Selectarea interfeței de rețea:

Pentru a efectua captarea și analiza live în acest utilitar, trebuie mai întâi să ne dăm seama de interfața noastră de lucru. Tip tshark -D și tshark va lista toate interfețele disponibile.

Rețineți că nu toate interfețele listate vor funcționa. Tip ifconfig pentru a găsi interfețe de lucru pe sistemul dvs. În cazul meu, este enp0s3.

Captură trafic:

Pentru a începe procesul de captare live, vom folosi tshark comanda cu „-eu”Opțiune pentru a începe procesul de captare din interfața de lucru.

Utilizare Ctrl + C pentru a opri captura live. În comanda de mai sus, am transferat traficul capturat către comanda Linux cap pentru a afișa primele câteva pachete capturate. Sau puteți utiliza și „-c „Sintaxă pentru a surprinde„n ” numărul de pachete.

Dacă intri doar tshark, în mod implicit, nu va începe să capteze trafic pe toate interfețele disponibile și nici nu va asculta interfața de lucru. În schimb, va captura pachete pe prima interfață listată.

De asemenea, puteți utiliza următoarea comandă pentru a verifica mai multe interfețe:

Între timp, un alt mod de a captura traficul în direct este să folosiți numărul alături de interfețele listate.

Cu toate acestea, în prezența mai multor interfețe, este greu să țineți evidența numerelor listate.

Filtru de captare:

Filtrele de captură reduc semnificativ dimensiunea fișierului capturat. Tshark folosește sintaxa Berkeley Packet Filter -f „”, Care este folosit și de tcpdump. Vom folosi opțiunea „-f” pentru a captura pachete doar din porturile 80 sau 53 și vom folosi „-c” pentru a afișa doar primele 10 pachete.

Salvarea traficului capturat într-un fișier:

Elementul cheie de reținut în captura de ecran de mai sus este că informațiile afișate nu sunt salvate, prin urmare sunt mai puțin utile. Folosim argumentul „-w”Pentru a salva traficul de rețea capturat în test_captură.pcap în / tmp pliant.

Întrucât, .pcap este extensia de tip fișier Wireshark. Salvând fișierul, puteți revizui și analiza mai târziu traficul dintr-o mașină cu Wireshark GUI.

Este o practică bună să salvați fișierul în /tmp deoarece acest folder nu necesită privilegii de execuție. Dacă îl salvați într-un alt folder, chiar dacă rulați tshark cu privilegii de root, programul va refuza permisiunea din motive de securitate.

Să săpăm în toate modalitățile posibile prin care poți:

• aplicați limite pentru captarea datelor, precum ieșirea tshark sau oprirea automată a procesului de captare și
• scoateți fișierele.

Parametru de oprire automată:

Puteți utiliza „-A”Parametru pentru a încorpora steaguri disponibile, cum ar fi dimensiunea fișierelor de durată și fișierele. În următoarea comandă, folosim parametrul de oprire automată cu durată pentru a opri procesul în 120 de secunde.

În mod similar, dacă nu aveți nevoie ca fișierele dvs. să fie foarte mari, mărime fișier este un steag perfect pentru a opri procesul după anumite limite ale KB.

Cel mai important, fișiere flag vă permite să opriți procesul de captare după mai multe fișiere. Dar acest lucru poate fi posibil numai după crearea mai multor fișiere, ceea ce necesită executarea unui alt parametru util, ieșire de captură.

Captură parametru de ieșire:

Captură de ieșire, cunoscut și ca argument de tip ringbuffer „-b„, Vine împreună cu aceleași steaguri ca și oprirea automată. Cu toate acestea, utilizarea / ieșirea este puțin diferită, i.e., steagurile durată și mărime fișier, deoarece vă permite să comutați sau să salvați pachetele într-un alt fișier după ce ați atins o limită de timp specificată în secunde sau dimensiunea fișierului.

Comanda de mai jos arată că capturăm traficul prin interfața noastră de rețea enp0s3, și capturați traficul utilizând filtrul de captare „-f”Pentru tcp și dns. Folosim opțiunea ringbuffer „-b” cu un mărime fișier pavilion pentru a salva fiecare fișier de dimensiune 15 Kb, și, de asemenea, utilizați argumentul de oprire automată pentru a specifica numărul de fișiere care utilizează fișiere opțiune astfel încât să oprească procesul de captare după generarea a trei fișiere.

Mi-am împărțit terminalul în două ecrane pentru a monitoriza activ crearea a trei .fișiere pcap.

Du-te la / tmp folder și utilizați următoarea comandă în al doilea terminal pentru a monitoriza actualizările după fiecare secundă.

Acum, nu este nevoie să memorați toate aceste steaguri. În schimb, tastați o comandă tshark -i enp0s3 -f „port 53 sau port 21” -b dimensiune fișier: 15 -a în terminal și apăsați Tab. Lista tuturor steagurilor disponibile va fi disponibilă pe ecran.

Citind .Fișiere pcap:

Cel mai important, puteți utiliza un „-r”Parametru pentru a citi test_capture.fișiere pcap și conectați-l la cap comanda.

Informațiile afișate în fișierul de ieșire pot fi puțin copleșitoare. Pentru a evita detalii inutile și pentru a înțelege mai bine orice adresă IP de destinație specifică, folosim -r opțiunea de a citi fișierul capturat de pachete și de a utiliza un fișier ip.addr filtru pentru a redirecționa ieșirea către un fișier nou cu „-w" opțiune. Acest lucru ne va permite să examinăm fișierul și să ne rafinăm analiza aplicând filtre suplimentare.

Selectarea câmpurilor de ieșit:

Comenzile de mai sus generează un rezumat al fiecărui pachet care include diverse câmpuri de antet. Tshark vă permite, de asemenea, să vizualizați câmpurile specificate. Pentru a specifica un câmp, folosim „-Câmpul T”Și extrageți câmpurile conform alegerii noastre.

După "-Câmpul T”, Folosim opțiunea„ -e ”pentru a imprima câmpurile / filtrele specificate. Aici putem folosi filtrele de afișare Wireshark.

Capturați date de strângere de mână criptate:

Până acum, am învățat să salvăm și să citim fișiere de ieșire folosind diverși parametri și filtre. Vom afla acum cum HTTPS inițializează tshark de sesiune. Site-urile web accesate prin HTTPS în loc de HTTP asigură o transmisie de date sigură sau criptată prin cablu. Pentru transmiterea sigură, o criptare de securitate a stratului de transport începe un proces de strângere de mână pentru a iniția comunicarea dintre client și server.

Să captăm și să înțelegem strângerea de mână TLS folosind tshark. Împarte terminalul în două ecrane și folosește un wget comanda pentru a extrage un fișier html din https: // www.wireshark.org.

Într-un alt ecran, vom folosi tshark pentru a captura primele 11 pachete folosind „-c”Parametru. În timpul efectuării analizei, marcajele de timp sunt importante pentru reconstituirea evenimentelor, de aceea folosim „-pic”, Într-un mod în care tshark adaugă marcaj de timp alături de fiecare pachet capturat. În cele din urmă, folosim comanda gazdă pentru a captura pachete de la gazda partajată adresa IP.

Această strângere de mână este destul de similară cu strângerea de mână TCP. De îndată ce strângerea de mână cu trei căi TCP se încheie în primele trei pachete, pachetele patru până la al nouălea urmează un ritual de strângere de mână oarecum similar și includ șiruri TLS pentru a asigura comunicarea criptată între ambele părți.

Vizualizarea întregului pachet:

Singurul dezavantaj al unui utilitar din linia de comandă este că nu are o interfață grafică, deoarece devine foarte la îndemână atunci când trebuie să căutați mult trafic pe internet și oferă, de asemenea, un panou de pachete care afișează toate detaliile pachetului într-un instantaneu. Cu toate acestea, este încă posibil să inspectați pachetul și să aruncați toate informațiile despre pachete afișate în GUI Packet Panel.

Pentru a inspecta un pachet întreg, folosim o comandă ping cu opțiunea „-c” pentru a captura un singur pachet.

Într-o altă fereastră, utilizați comanda tshark cu un steag suplimentar pentru a afișa întregul detaliu al pachetului. Puteți observa diverse secțiuni, afișând detalii Frames, Ethernet II, IPV și ICMP.

Concluzie:

Cel mai provocator aspect al analizei de pachete este găsirea celor mai relevante informații și ignorarea biților inutili. Chiar dacă interfețele grafice sunt ușoare, ele nu pot contribui la analiza automată a pachetelor de rețea. În acest articol, ați aflat cei mai utili parametri tshark pentru captarea, afișarea, salvarea și citirea fișierelor de trafic din rețea.

Tshark este un utilitar foarte util, care citește și scrie fișierele de captură acceptate de Wireshark. Combinația de filtre de afișare și captare contribuie foarte mult în timp ce se lucrează la cazuri de utilizare la nivel avansat. Putem valorifica capacitatea tshark de a imprima câmpuri și de a manipula date conform cerințelor noastre pentru o analiză aprofundată. Cu alte cuvinte, este capabil să facă practic tot ceea ce face Wireshark. Cel mai important, este perfect pentru adulmecarea de pachete de la distanță folosind ssh, care este un subiect pentru o altă zi.