Wireshark komandrindas saskarnes “tshark” ceļvedis

Jūs varat pamanīt visu pieejamo iespēju sarakstu. Šajā rakstā mēs detalizēti aplūkosim lielāko daļu argumentu, un jūs sapratīsit šīs uz terminālu orientētās Wireshark versijas spēku.

Tīkla saskarnes izvēle:

Lai veiktu tiešraides uztveršanu un analīzi šajā lietderībā, mums vispirms ir jāizdomā mūsu darba saskarne. Tips tshark -D un tshark uzskaitīs visas pieejamās saskarnes.

Ņemiet vērā, ka ne visas uzskaitītās saskarnes darbosies. Tips ifconfig lai savā sistēmā atrastu darbojošās saskarnes. Manā gadījumā tā ir enp0s3.

Tveriet trafiku:

Lai sāktu tiešās uzņemšanas procesu, mēs izmantosim tshark komandu ar “-i”Iespēju sākt uztveršanas procesu no darbvirsmas.

Izmantot Ctrl + C lai apturētu tiešraides uzņemšanu. Iepriekš minētajā komandā esmu piesaistījis datplūsmu komandai Linux galva lai parādītu pirmās pāris uzņemtās paketes. Vai arī varat izmantot arī “-c ”Sintakse, lai attēlotu“n ” pakešu skaits.

Ja jūs tikai ievadāt tshark, pēc noklusējuma tas nesāks uztvert trafiku visās pieejamās saskarnēs, kā arī neklausīsies jūsu darba saskarnē. Tā vietā tas uztvers paketes pirmajā uzskaitītajā saskarnē.

Varat arī izmantot šo komandu, lai pārbaudītu vairākas saskarnes:

Tikmēr vēl viens veids, kā iegūt uztveršanas trafiku, ir izmantot numuru blakus uzskaitītajām saskarnēm.

Tomēr, ja ir vairākas saskarnes, ir grūti izsekot viņu uzskaitītajiem numuriem.

Uzņemšanas filtrs:

Uzņemšanas filtri ievērojami samazina uzņemtā faila lielumu. Tshark izmanto Berkeley pakešu filtra sintaksi -f “”, Kuru izmanto arī tcpdump. Mēs izmantosim opciju “-f”, lai tvertu tikai paketes no 80. vai 53. porta, un “-c” izmantosim, lai parādītu tikai pirmās 10 paketes.

Uzņemtās datplūsmas saglabāšana failā:

Galvenais, kas jāņem vērā iepriekš redzamajā ekrānuzņēmumā, ir tā, ka redzamā informācija netiek saglabāta, tāpēc tā ir mazāk noderīga. Mēs izmantojam argumentu “-w”, Lai saglabātu tverto tīkla trafiku test_capture.pcap iekšā / tmp mapi.

Tā kā, .pcap ir Wireshark faila tipa paplašinājums. Saglabājot failu, vēlāk varat pārskatīt un analizēt trafiku mašīnā, izmantojot Wireshark GUI.

Ir laba prakse failu saglabāt mapē /tmp jo šai mapei nav nepieciešamas nekādas izpildes privilēģijas. Ja to saglabājat citā mapē, pat ja jūs izmantojat tshark ar root tiesībām, programma drošības apsvērumu dēļ atteiks atļauju.

Izpētīsim visus iespējamos veidus, kā jūs varat:

• piemērot ierobežojumus datu tveršanai, piemēram, iziešanai tshark vai automātiski apturēt uzņemšanas procesu, un
• izvades failus.

Automātiskās apstāšanās parametrs:

Varat izmantot “-a”Parametrs, lai iekļautu pieejamos karodziņus, piemēram, faila ilgumu un failus. Šajā komandā mēs izmantojam parametru autostop ar ilgums karodziņu, lai apturētu procesu 120 sekunžu laikā.

Līdzīgi, ja jums nav nepieciešami īpaši lieli faili, faila lielums ir ideāls karogs, lai apturētu procesu pēc dažiem KB ierobežojumiem.

Vissvarīgāk, failus karodziņš ļauj apturēt tveršanas procesu pēc vairākiem failiem. Bet tas var būt iespējams tikai pēc vairāku failu izveidošanas, kam nepieciešams izpildīt vēl vienu noderīgu parametru - sagūstīt izvadi.

Uzņemt izejas parametru:

Uzņemt izvadi, aka ringbuffer arguments “-b“, Nāk kopā ar tiem pašiem karodziņiem kā autostop. Tomēr lietojums / izvade ir nedaudz atšķirīga, t.i.e., karogiem ilgums un faila lielums, jo tas ļauj pārslēgt paketes vai saglabāt tās citā failā pēc noteikta laika ierobežojuma sasniegšanas sekundēs vai faila lieluma.

Zemāk redzamā komanda parāda, ka mēs uztveram trafiku, izmantojot mūsu tīkla saskarni enp0s3, un uztveriet trafiku, izmantojot uztveršanas filtru “-f”Tcp un dns. Mēs izmantojam zvana bufera opciju “-b” ar a faila lielums karodziņu, lai saglabātu katru lieluma failu 15 Kb, un izmantojiet arī automātiskās apstāšanās argumentu, lai norādītu failu skaitu, izmantojot failus opcija tāda, ka pēc trīs failu ģenerēšanas tas pārtrauc uzņemšanas procesu.

Es esmu sadalījis savu termināli divos ekrānos, lai aktīvi uzraudzītu trīs izveidi .pcap faili.

Iet uz savu / tmp mapi un izmantojiet šo komandu otrajā terminālā, lai uzraudzītu atjauninājumus pēc katrām sekundēm.

Tagad jums nav nepieciešams iegaumēt visus šos karodziņus. Tā vietā ierakstiet komandu tshark -i enp0s3 -f “53. vai 21. ports” -b faila izmērs: 15 -a terminālā un nospiediet Tab. Visu pieejamo karodziņu saraksts būs pieejams jūsu ekrānā.

Lasīšana .pcap faili:

Vissvarīgākais ir tas, ka varat izmantot “-r”Parametru, lai nolasītu test_capture.pcap failus un caurule to galva komandu.

Informācija, kas tiek parādīta izvades failā, var būt nedaudz pārliecinoša. Lai izvairītos no nevajadzīgas informācijas un labāk izprastu jebkuru konkrētu galamērķa IP adresi, mēs izmantojam -r opcija lasīt uztverto pakešu failu un izmantot ip.adrese filtru, lai novirzītu izvadi uz jaunu failu ar “-w”Opciju. Tas ļaus mums pārskatīt failu un uzlabot mūsu analīzi, izmantojot citus filtrus.

Izvades lauku izvēle:

Iepriekš minētās komandas izdod katras paketes kopsavilkumu, kas ietver dažādus galvenes laukus. Tshark ļauj apskatīt arī norādītos laukus. Lai norādītu lauku, mēs izmantojam “-T lauks”Un iegūstiet laukus atbilstoši mūsu izvēlei.

Pēc tam, kad "-T lauks”Slēdzi, mēs izmantojam opciju“ -e ”, lai izdrukātu norādītos laukus / filtrus. Šeit mēs varam izmantot Wireshark displeja filtrus.

Tveriet šifrētus rokasspiediena datus:

Līdz šim mēs esam iemācījušies saglabāt un lasīt izejas failus, izmantojot dažādus parametrus un filtrus. Tagad mēs uzzināsim, kā HTTPS inicializē sesijas tshark. Vietnes, kurām piekļūst, izmantojot HTTPS, nevis HTTP, nodrošina drošu vai šifrētu datu pārraidi pa vadu. Lai nodrošinātu drošu pārsūtīšanu, transporta slāņa drošības šifrēšana sāk rokasspiediena procesu, lai sāktu saziņu starp klientu un serveri.

Uzņemsim un sapratīsim TLS rokasspiedienu, izmantojot tshark. Sadaliet termināli divos ekrānos un izmantojiet a wget komandu, no kuras izgūt HTML failu https: // www.vadu haizivs.org.

Citā ekrānā mēs izmantosim tshark, lai tvertu pirmās 11 paketes, izmantojot “-c”Parametrs. Veicot analīzi, laika zīmogi ir svarīgi, lai rekonstruētu notikumus, tāpēc mēs izmantojam “-t reklāma”, Tādā veidā, ka tshark pie katras uzņemtās paketes pievieno laika zīmogu. Visbeidzot, mēs izmantojam komandu resursdators, lai tvertu paketes no koplietojamā resursdatora IP adrese.

Šis rokasspiediens ir diezgan līdzīgs TCP rokasspiedienam. Tiklīdz TCP trīsvirzienu rokasspiediens beidzas pirmajās trīs paketēs, ceturtā līdz devītā pakete seko nedaudz līdzīgam rokasspiediena rituālam un ietver TLS virknes, lai nodrošinātu šifrētu saziņu starp abām pusēm.

Skata visu paketi:

Vienīgais komandrindas utilītas trūkums ir tas, ka tai nav GUI, jo tā kļūst ļoti ērta, ja nepieciešams meklēt lielu daudzumu interneta trafika, kā arī piedāvā pakešu paneli, kas parāda visu pakešu informāciju tūlītēja. Tomēr joprojām ir iespējams pārbaudīt pakešu un izmest visu paketēm paredzēto informāciju, kas parādīta GUI pakešu panelī.

Lai pārbaudītu visu paketi, mēs izmantojam ping komandu ar opciju “-c”, lai tvertu vienu paketi.

Citā logā izmantojiet komandu tshark ar papildu karodziņu, lai parādītu visu pakešu informāciju. Jūs varat pamanīt dažādas sadaļas, parādot rāmjus, Ethernet II, IPV un ICMP informāciju.

Secinājums:

Visgrūtākais pakešu analīzes aspekts ir visatbilstošākās informācijas atrašana un bezjēdzīgo bitu ignorēšana. Lai arī grafiskās saskarnes ir vienkāršas, tās nevar veicināt automatizētu tīkla pakešu analīzi. Šajā rakstā jūs uzzinājāt visnoderīgākos tshark parametrus tīkla trafika failu tveršanai, attēlošanai, saglabāšanai un lasīšanai.

Tshark ir ļoti ērta utilīta, kas lasa un raksta Wireshark atbalstītos uztveršanas failus. Displeja un uztveršanas filtru kombinācija dod lielu ieguldījumu, strādājot pie paaugstināta līmeņa lietošanas gadījumiem. Mēs varam izmantot tshark spēju drukāt laukus un manipulēt ar datiem atbilstoši mūsu prasībām padziļinātai analīzei. Citiem vārdiem sakot, tas spēj paveikt praktiski visu, ko Wireshark. Vissvarīgākais ir tas, ka tas ir ideāli piemērots pakešu šņaukšanai, izmantojot attālumu, izmantojot ssh, kas ir citas dienas tēma.