„Wireshark“ komandų eilutės sąsajos „tshark“ vadovas

Galite pastebėti visų galimų parinkčių sąrašą. Šiame straipsnyje mes išsamiai aptarsime daugumą argumentų ir suprasite šios terminalo „Wireshark“ versijos galią.

Tinklo sąsajos pasirinkimas:

Norėdami atlikti tiesioginį fiksavimą ir analizę šiame įrankyje, pirmiausia turime išsiaiškinti savo darbo sąsają. Tipas tshark -D ir „tshark“ surašys visas galimas sąsajas.

Atminkite, kad ne visos išvardytos sąsajos veiks. Tipas ifconfig rasti savo sistemoje veikiančias sąsajas. Mano atveju taip enp0s3.

Užfiksuoti srautą:

Norėdami pradėti tiesioginio fiksavimo procesą, naudosime tsharkas komanda su „-i“Parinktį pradėti fiksavimo procesą iš darbinės sąsajos.

Naudokite „Ctrl“ + C sustabdyti tiesioginį fiksavimą. Pirmiau pateiktoje komandoje užfiksuotą srautą nukreipiau į „Linux“ komandą galva kad būtų parodyti keli pirmieji užfiksuoti paketai. Arba taip pat galite naudoti „-c“ Sintaksė užfiksuotin “ pakelių skaičius.

Jei tik įeisi tsharkas, pagal numatytuosius nustatymus jis nepradės fiksuoti srauto visose prieinamose sąsajose ir neklausys jūsų darbinės sąsajos. Vietoj to, jis užfiksuos paketus pirmoje išvardytoje sąsajoje.

Taip pat galite naudoti šią komandą, kad patikrintumėte kelias sąsajas:

Tuo tarpu kitas būdas užfiksuoti srautą yra naudoti numerį šalia išvardytų sąsajų.

Tačiau esant kelioms sąsajoms, sunku sekti jų išvardytus numerius.

Fiksavimo filtras:

Fiksavimo filtrai žymiai sumažina užfiksuoto failo dydį. „Tshark“ naudoja Berkeley paketų filtro sintaksę -f „“, Kurį taip pat naudoja tcpdump. Mes naudosime parinktį „-f“, kad užfiksuotume tik 80 ar 53 prievadų paketus, o „-c“ - tik 10 pirmųjų paketų rodymui.

Užfiksuoto srauto išsaugojimas faile:

Svarbiausia atkreipti dėmesį į pirmiau pateiktą ekrano kopiją, kad rodoma informacija nėra išsaugoma, taigi ji yra mažiau naudinga. Mes naudojame argumentą „-wIšsaugoti užfiksuotą tinklo srautą test_capture.pcap į / tmp aplanką.

Kadangi, .pcap yra „Wireshark“ failo tipo plėtinys. Išsaugoję failą, vėliau galėsite peržiūrėti ir išanalizuoti srautą mašinoje naudodami „Wireshark“ GUI.

Tai yra gera praktika išsaugoti failą /tmp nes šiam aplankui nereikia jokių vykdymo teisių. Jei išsaugosite jį kitame aplanke, net jei naudojate „tshark“ su root teisėmis, programa dėl saugumo priežasčių atsisakys leidimo.

Panagrinėkime visus galimus būdus, kuriais galite:

• taikyti duomenų rinkimo ribas, tokias kaip išeinantys tsharkas arba automatiškai sustabdyti fiksavimo procesą ir
• išvesties failus.

Automatinio sustabdymo parametras:

Galite naudoti „-a“Parametras, jei norite įtraukti galimas žymas, pvz., Failo trukmės trukmę ir failus. Šioje komandoje mes naudojame automatinio stabdymo parametrą su trukmė vėliava sustabdyti procesą per 120 sekundžių.

Panašiai, jei jums nereikia, kad failai būtų ypač dideli, failo dydis yra puiki vėliava sustabdyti procesą po tam tikrų KB apribojimų.

Svarbiausia, failus vėliava leidžia sustabdyti fiksavimo procesą po daugybės failų. Bet tai gali būti įmanoma tik sukūrus kelis failus, kuriems atlikti reikia dar vieno naudingo parametro - surinkimo išvesties.

Užfiksuoti išvesties parametrą:

Užfiksuokite išvestį, dar žinomą kaip „ringbuffer“ argumentas “-b“, Ateina kartu su tomis pačiomis vėliavomis kaip ir automatinis sustabdymas. Tačiau naudojimas / išvestis yra šiek tiek kitoks, t.e., vėliavos trukmė ir failo dydis, nes tai leidžia perjungti arba išsaugoti paketus į kitą failą pasiekus nurodytą laiko limitą sekundėmis arba failo dydžiu.

Žemiau esanti komanda rodo, kad srautą fiksuojame per savo tinklo sąsają enp0s3, ir fiksuoti srautą naudojant fiksavimo filtrą “-fTcp ir dns. Mes naudojame žiedinio buferio parinktį „-b“ su a failo dydis vėliava išsaugoti kiekvieną dydžio failą 15 Kb, taip pat naudokite argumentą „Autostop“ nurodydami failų skaičių naudodami failus parinktis tokia, kad sugeneravus tris failus, sustabdomas fiksavimo procesas.

Aš padalinau savo terminalą į du ekranus, kad galėčiau aktyviai stebėti trijų kūrimą .„Pcap“ failai.

Eik į savo / tmp aplanką ir naudokite šią komandą antrame terminale, kad stebėtumėte atnaujinimus kas sekundę.

Dabar nereikia įsiminti visų šių vėliavų. Vietoj to įveskite komandą tshark -i enp0s3 -f „53 arba 21 prievado“ -b failų dydis: 15 -a terminale ir paspauskite Tab. Visų galimų vėliavų sąrašas bus rodomas ekrane.

Skaitymas .pcap failai:

Svarbiausia, kad galite naudoti „-r“Parametras, skirtas nuskaityti test_capture.suraskite failus ir prijunkite jį prie galva komandą.

Išvesties faile rodoma informacija gali būti kiek didžiulė. Norėdami išvengti nereikalingos informacijos ir geriau suprasti bet kurį konkretų paskirties IP adresą, mes naudojame -r parinktis skaityti užfiksuotą paketinį failą ir naudoti ip.adresas filtras nukreipti išvestį į naują failą su „-w“Parinktį. Tai leis mums peržiūrėti failą ir patikslinti analizę taikant kitus filtrus.

Išvesties laukų pasirinkimas:

Aukščiau nurodytos komandos pateikia kiekvieno paketo, kuriame yra įvairūs antraštės laukai, suvestinę. „Tshark“ taip pat leidžia peržiūrėti nurodytus laukus. Norėdami nurodyti lauką, mes naudojame-T laukas“Ir ištraukite laukus pagal mūsų pasirinkimą.

Po to, kai "-T laukas“Jungikliu, mes naudojame parinktį„ -e “, norėdami spausdinti nurodytus laukus / filtrus. Čia mes galime naudoti „Wireshark“ ekrano filtrus.

Užfiksuoti užkoduotus rankos paspaudimo duomenis:

Iki šiol išmokome išsaugoti ir skaityti išvesties failus naudodami įvairius parametrus ir filtrus. Dabar sužinosime, kaip HTTPS inicijuoja sesijos „tshark“. Svetainės, pasiekiamos per HTTPS, o ne HTTP, užtikrina saugų arba užšifruotą duomenų perdavimą laidu. Kad būtų užtikrintas saugus perdavimas, „Transport Layer Security“ šifravimas pradeda rankos paspaudimo procesą, kad būtų pradėtas ryšys tarp kliento ir serverio.

Užfiksuokime ir supraskime TLS rankos paspaudimą naudodami „tshark“. Suskirstykite terminalą į du ekranus ir naudokite a wget komandą iš HTML failo gauti https: // www.laidinis ryklys.org.

Kitame ekrane mes naudosime „tshark“, kad užfiksuotume pirmuosius 11 paketų naudodami „-c" parametras. Atliekant analizę laiko žymos yra svarbios įvykiams rekonstruoti, todėl mes naudojame-t skelbimas“, Tokiu būdu, kad„ tshark “prideda laiko žymą prie kiekvieno užfiksuoto paketo. Galiausiai mes naudojame pagrindinio kompiuterio komandą, norėdami užfiksuoti paketus iš bendro pagrindinio kompiuterio IP adresas.

Šis rankos paspaudimas yra gana panašus į TCP rankos paspaudimą. Kai tik TCP trijų krypčių rankos paspaudimas bus baigtas pirmuose trijuose paketuose, ketvirtasis – devintasis paketai laikosi šiek tiek panašaus rankos paspaudimo ritualo ir apima TLS eilutes, kad būtų užtikrintas šifruotas abiejų šalių ryšys.

Peržiūri visą paketą:

Vienintelis komandinės eilutės įrankio trūkumas yra tas, kad jis neturi GUI, nes jis tampa labai patogus, kai reikia ieškoti daug interneto srauto, taip pat siūlo „Packet Panel“, kuriame rodoma visa išsami informacija apie paketus. akimirksniu. Tačiau vis tiek įmanoma patikrinti paketą ir išmesti visą paketo informaciją, rodomą GUI paketų skydelyje.

Norėdami patikrinti visą paketą, mes naudojame ping komandą su parinktimi „-c“, kad užfiksuotume vieną paketą.

Kitame lange naudokite komandą „tshark“ su papildoma vėliava, kad būtų rodoma visa paketo informacija. Galite pastebėti įvairias skiltis, kuriose pateikiama rėmelių, „Ethernet II“, IPV ir ICMP informacija.

Išvada:

Didžiausias paketų analizės aspektas yra svarbiausios informacijos radimas ir nenaudingų bitų nepaisymas. Nors grafinės sąsajos yra lengvos, jos negali prisidėti prie automatizuoto tinklo paketų analizės. Šiame straipsnyje jūs sužinojote naudingiausius „tshark“ parametrus tinklo srauto failams fiksuoti, rodyti, išsaugoti ir skaityti.

„Tshark“ yra labai patogi programa, skaitanti ir rašanti „Wireshark“ palaikomus fiksavimo failus. Ekrano ir fiksavimo filtrų derinys daug prisideda dirbant pažangesnio lygio naudojimo atvejais. Mes galime pasinaudoti „tshark“ galimybe spausdinti laukus ir tvarkyti duomenis pagal mūsų nuodugnios analizės reikalavimus. Kitaip tariant, jis gali atlikti praktiškai viską, ką daro „Wireshark“. Svarbiausia, kad jis puikiai tinka paketams uostyti nuotoliniu būdu naudojant ssh, kuris yra kitos dienos tema.