Priročnik za vmesnik ukazne vrstice Wireshark “tshark”

Opazite lahko seznam vseh razpoložljivih možnosti. V tem članku bomo podrobno zajeli večino argumentov in razumeli boste moč te terminalsko usmerjene različice Wireshark.

Izbira omrežnega vmesnika:

Za izvedbo zajema in analize v živo v tem pripomočku moramo najprej ugotoviti svoj delovni vmesnik. Tip tshark -D in tshark bo navedel vse razpoložljive vmesnike.

Vsi navedeni vmesniki ne bodo delovali. Tip ifconfig poiskati delujoče vmesnike v vašem sistemu. V mojem primeru je enp0s3.

Zajem prometa:

Za začetek postopka zajema v živo bomo uporabili tshark ukaz z-jaz", Da začnete postopek zajemanja iz delovnega vmesnika.

Uporaba Ctrl + C ustaviti zajem v živo. V zgornjem ukazu sem ujeti promet preusmeril v ukaz Linux glavo za prikaz prvih nekaj zajetih paketov. Lahko pa uporabite tudi “-c "Sintaksa za zajem"n " število paketov.

Če samo vnesete tshark, privzeto ne bo začel zajemati prometa na vseh razpoložljivih vmesnikih niti poslušati vašega delujočega vmesnika. Namesto tega bo zajel pakete na prvem navedenem vmesniku.

Za preverjanje več vmesnikov lahko uporabite tudi naslednji ukaz:

Medtem je še en način za zajemanje prometa v živo uporaba številke ob navedenih vmesnikih.

Vendar pa je v prisotnosti več vmesnikov težko slediti njihovim navedenim številkam.

Filter za zajemanje:

Filtri za zajemanje znatno zmanjšajo velikost zajete datoteke. Tshark uporablja sintakso Berkeley Packet Filter -f “”, Ki ga uporablja tudi tcpdump. Možnost “-f” bomo uporabili samo za zajemanje paketov iz vrat 80 ali 53, z “-c” pa prikaz samo prvih 10 paketov.

Shranjevanje zajetega prometa v datoteko:

Ključno pri zgornjem posnetku zaslona je, da se prikazani podatki ne shranjujejo, zato so manj uporabni. Uporabljamo argument „-w", Da shranite zajeti omrežni promet v test_capture.pcap v / tmp mapo.

Ker, .pcap je razširitev vrste datoteke Wireshark. Če shranite datoteko, lahko pozneje pregledate in analizirate promet v napravi z grafičnim vmesnikom Wireshark.

Dobra praksa je, da datoteko shranite v /tmp ker ta mapa ne zahteva nobenih pravic izvajanja. Če ga shranite v drugo mapo, tudi če uporabljate tshark s korenskimi pravicami, bo program zaradi varnostnih razlogov zavrnil dovoljenje.

Poglejmo si vse možne načine, na katere lahko:

• uporabi omejitve za zajemanje podatkov, na primer izhod tshark ali samodejno zaustavitev postopka zajemanja in
• izhodne datoteke.

Parameter samodejnega zaustavitve:

Uporabite lahko-a"Za vključitev razpoložljivih zastavic, kot sta velikost datoteke in datoteke. V naslednjem ukazu uporabljamo parameter samodejnega ustavljanja z trajanje zastavico, da postopek ustavite v 120 sekundah.

Podobno, če ne potrebujete datotek, da bi bile zelo velike, velikost datoteke je odlična zastavica za ustavitev postopka po nekaterih omejitvah KB.

Najpomembneje, datotek flag vam omogoča, da ustavite postopek zajemanja po več datotekah. Toda to je mogoče šele po ustvarjanju več datotek, ki zahteva izvedbo drugega uporabnega parametra, zajema izhodne podatke.

Izhodni parameter zajemanja:

Zajem izhoda, znan tudi kot argument »Ringbuffer«-b“, Prihaja z enakimi zastavicami kot avtostop. Vendar je uporaba / izhod nekoliko drugačna, tj.e., zastave trajanje in velikost datoteke, saj omogoča preklop ali shranjevanje paketov v drugo datoteko po doseganju določene časovne omejitve v sekundah ali velikosti datoteke.

Spodnji ukaz kaže, da zajemamo promet prek našega omrežnega vmesnika enp0s3, in zajem prometa s pomočjo filtra za zajem “-f"Za tcp in dns. Z a uporabljamo možnost »-b« velikost datoteke zastavico, da shranite vsako datoteko velikosti 15 Kb, in z argumentom autostop določite tudi število datotek, ki jih uporabljajo datotek možnost, da zaustavi postopek zajemanja po ustvarjanju treh datotek.

Svoj terminal sem razdelil na dva zaslona za aktivno spremljanje nastanka treh .pcap datotek.

Pojdi k svojemu / tmp mapo in uporabite naslednji ukaz v drugem terminalu za spremljanje posodobitev po vsaki sekundi.

Zdaj vam ni treba zapomniti vseh teh zastavic. Namesto tega vnesite ukaz tshark -i enp0s3 -f “vrata 53 ali vrata 21” -b velikost datoteke: 15 -a v svojem terminalu in pritisnite Tab. Seznam vseh razpoložljivih zastavic bo na voljo na vašem zaslonu.

Branje .pcap datoteke:

Najpomembneje je, da lahko uporabite-r"Parameter za branje test_capture.pcap datotek in jih prenese v glavo ukaz.

Informacije, prikazane v izhodni datoteki, so lahko nekoliko izjemne. Da bi se izognili nepotrebnim podrobnostim in bolje razumeli kateri koli ciljni naslov IP, uporabljamo -r možnost branja zajete datoteke in uporaba datoteke ip.naslov filter za preusmeritev izhoda v novo datoteko z-w". Tako bomo lahko pregledali datoteko in izboljšali analizo z uporabo nadaljnjih filtrov.

Izbira polj za izhod:

Zgornji ukazi prikažejo povzetek vsakega paketa, ki vključuje različna polja glave. Tshark vam omogoča tudi ogled določenih polj. Za določitev polja uporabimo »-T polje"In izvleči polja po naši izbiri.

Po "-T poljeStikalo uporabljamo možnost -e za tiskanje določenih polj / filtrov. Tu lahko uporabimo prikazne filtre Wireshark.

Zajem šifriranih podatkov o rokovanju:

Do zdaj smo se naučili shranjevanja in branja izhodnih datotek z uporabo različnih parametrov in filtrov. Zdaj bomo izvedeli, kako HTTPS inicializira sejo tshark. Spletna mesta, do katerih dostopate prek HTTPS namesto HTTP, zagotavljajo varen ali šifriran prenos podatkov po žici. Za varen prenos šifriranje Transport Layer Security zažene postopek rokovanja, da se začne komunikacija med odjemalcem in strežnikom.

Zajemimo in razumemo stisk roke TLS z uporabo tshark. Terminal razdelite na dva zaslona in uporabite a wget ukaz za pridobitev datoteke HTML iz https: // www.žica.org.

Na drugem zaslonu bomo s pomočjo tshark zajeli prvih 11 paketov z uporabo "-c"Parameter. Med izvajanjem analize so časovni žigi pomembni za rekonstrukcijo dogodkov, zato uporabljamo-t oglas”, Na način, da tshark doda časovni žig poleg vsakega zajetega paketa. Na koncu gostiteljski ukaz uporabljamo za zajemanje paketov iz skupnega gostitelja IP naslov.

Ta stisk je zelo podoben stiskanju TCP. Takoj, ko se TCP trosmerno rokovanje zaključi v prvih treh paketih, četrti do deveti paket sledi nekoliko podobnemu ritualu rokovanja in vključuje nize TLS, da se zagotovi šifrirana komunikacija med obema stranema.

Ogled celotnega paketa:

Edina pomanjkljivost pripomočka za ukazno vrstico je, da nima GUI-ja, saj postane zelo priročen, ko morate iskati veliko internetnega prometa, ponuja pa tudi paketno ploščo, ki prikazuje vse podrobnosti o paketu znotraj takoj. Vendar je še vedno mogoče pregledati paket in izpisati celotne informacije o paketu, prikazane na GUI Packet Panel.

Za pregled celotnega paketa uporabimo ukaz ping z možnostjo -c, da zajamemo en paket.

V drugem oknu uporabite ukaz tshark z dodatno zastavico za prikaz celotnih podrobnosti o paketu. Opazite lahko različne odseke, ki prikazujejo podrobnosti o okvirjih, Ethernetu II, IPV in ICMP.

Zaključek:

Najbolj zahteven vidik analize paketov je iskanje najpomembnejših informacij in ignoriranje neuporabnih bitov. Čeprav so grafični vmesniki enostavni, ne morejo prispevati k avtomatizirani analizi omrežnih paketov. V tem članku ste se naučili najbolj uporabnih parametrov tshark za zajemanje, prikaz, shranjevanje in branje datotek omrežnega prometa.

Tshark je zelo priročen pripomoček, ki bere in zapisuje zajemne datoteke, ki jih podpira Wireshark. Kombinacija filtrov za prikaz in zajemanje veliko prispeva med delom na naprednih primerih uporabe. Tshark lahko izkoristimo za tiskanje polj in obdelavo podatkov v skladu z našimi zahtevami za poglobljeno analizo. Z drugimi besedami, sposoben je narediti skoraj vse, kar počne Wireshark. Najpomembneje pa je, da je kot nalašč za daljinsko vohanje paketov s ssh, ki je tema drugega dne.