Wiresharki käsurealiidese tshark juhend

Võite märgata kõigi saadaolevate valikute loendit. Selles artiklis käsitleme enamikku argumente üksikasjalikult ja saate aru selle terminalile orienteeritud Wiresharki versiooni võimsusest.

Võrguliidese valimine:

Selles utiliidis reaalajas jäädvustamise ja analüüsi läbiviimiseks peame kõigepealt välja selgitama oma tööliidese. Tüüp tshark -D ja tshark loetleb kõik saadaolevad liidesed.

Pange tähele, et kõik loetletud liidesed ei tööta. Tüüp ifconfig oma süsteemis töötavate liideste leidmiseks. Minu puhul on see nii enp0s3.

Liikluse hõivamine:

Otseülekande protsessi alustamiseks kasutame tshark käsk-i”Valik, et alustada hõivamisprotsessi tööliideselt.

Kasutage Ctrl + C reaalajas jäädvustamise peatamiseks. Ülalolevas käsus olen sidunud liikluse juhtinud Linuxi käsusse pea esimeste hõivatud pakettide kuvamiseks. Või võite kasutada ka “-c "Süntaks"n ” pakettide arv.

Kui sisestate ainult tshark, vaikimisi ei hakka see liiklust hõivama kõigil saadaolevatel liidestel ega kuula teie töötavat liidest. Selle asemel haarab see paketid esimesele loetletud liidesele.

Mitme liidese kontrollimiseks võite kasutada ka järgmist käsku:

Vahepeal on veel üks võimalus hõivatud liikluse jaoks kasutada numbrit koos loetletud liidestega.

Mitme liidese olemasolul on aga raske nende loetletud numbreid jälgida.

Jäädvusta filter:

Jäädvustusfiltrid vähendavad jäädvustatud faili suurust märkimisväärselt. Tshark kasutab Berkeley pakettfiltri süntaksit -f "”, Mida kasutab ka tcpdump. Kasutame valikut “-f” pakettide püüdmiseks ainult pordidest 80 või 53 ning “-c” abil kuvatakse ainult esimesed 10 paketti.

Salvestatud liikluse salvestamine faili:

Peamine asi, mida ülaltoodud ekraanipildil tähele panna, on see, et kuvatavat teavet ei salvestata, mistõttu on see vähem kasulik. Kasutame argumenti “-w”Salvestatud võrguliikluse salvestamiseks test_capture.pcap aastal / tmp kausta.

Arvestades, et, .pcap on Wiresharki failitüübi laiendus. Faili salvestades saate hiljem Wireshark GUI abil masinas liiklust üle vaadata ja analüüsida.

Hea tava on faili salvestamine kataloogi /tmp kuna see kaust ei vaja täitmisõigusi. Kui salvestate selle teise kausta, isegi kui kasutate tsharki juurõigustega, keelab programm turvalisuse huvides loa.

Uurime kõiki võimalikke viise, kuidas saate:

• rakendada andmete kogumisele piiranguid, näiteks väljumist tshark või püüdmise automaatne peatamine ja
• väljastage oma failid.

Autostop-parameeter:

Võite kasutada-a”Parameeter, et lisada saadaolevad lipud, näiteks faili kestus ja failid. Järgmises käsus kasutame parameetrit autostop koos kestus lipuga protsessi peatamiseks 120 sekundi jooksul.

Samamoodi, kui te ei vaja, et teie failid oleksid eriti suured, faili suurus on ideaalne lipp protsessi peatamiseks pärast mõningaid KB piiranguid.

Kõige tähtsam, faile lipp võimaldab teil pärast mitu faili hõivamise peatada. Kuid see saab olla võimalik ainult pärast mitme faili loomist, mis nõuab teise kasuliku parameetri, väljundi hõivamist.

Jäädvusta väljundparameeter:

Jäädvusta väljund, ehk ringbufferi argument “-b“, Tuleb koos samade lippudega nagu autostop. Kuid kasutus / väljund on natuke erinev, st.e., lipud kestus ja faili suurus, kuna see võimaldab vahetada või salvestada pakette teisele failile pärast määratud ajapiirangute saavutamist sekundites või faili suurust.

Allpool olev käsk näitab, et hõivame liikluse oma võrguliidese kaudu enp0s3, ja hõivake liiklust hõivefiltri abil “-f”Tcp ja dns jaoks. Kasutame a-ga ring-bufferi valikut “-b” faili suurus lipp suurusega failide salvestamiseks 15 Kb, ja kasutage ka faili arvu määramiseks autostopi argumenti faile see peatab püüdmisprotsessi pärast kolme faili genereerimist.

Olen jaganud oma terminali kaheks ekraaniks, et jälgida kolme loomist aktiivselt .failid.

Mine oma / tmp kausta ja kasutage järgmise terminali käsku värskenduste jälgimiseks iga sekundi järel.

Nüüd ei pea te kõiki neid lippe pähe õppima. Selle asemel tippige käsk tshark -i enp0s3 -f “port 53 või port 21” -b faili suurus: 15 -a oma terminalis ja vajutage Tab. Kõigi saadaolevate lippude loend on teie ekraanil saadaval.

Lugemine .pcap Failid:

Mis kõige tähtsam, võite kasutada-r”Parameetri test_capture lugemiseks.failid ja tõsta see faili pea käsk.

Väljundfailis kuvatav teave võib olla natuke ülekaalukas. Vajalike üksikasjade vältimiseks ja mis tahes konkreetse sihtkoha IP-aadressi paremaks mõistmiseks kasutame -r võimalus lugeda pakettidega hõivatud faili ja kasutada ip.addr filter, et suunata väljund uuele failile-w”Valik. See võimaldab meil faili üle vaadata ja analüüsi täpsustada, rakendades täiendavaid filtreid.

Väljundite valimine väljastamiseks:

Ülaltoodud käsud väljastavad iga paketi kokkuvõtte, mis sisaldab erinevaid päisevälju. Tshark võimaldab teil vaadata ka määratud välju. Välja määramiseks kasutame-T väli”Ja eraldage väljad vastavalt meie valikule.

Pärast "-T väli”Lüliti, kasutame määratud väljade / filtrite printimiseks valikut“ -e ”. Siin saame kasutada Wiresharki ekraanifiltreid.

Krüpteeritud käepigistuse andmete jäädvustamine:

Siiani oleme õppinud salvestama ja lugema väljundfaile erinevate parameetrite ja filtrite abil. Nüüd õpime, kuidas HTTPS seansi tsharki lähtestab. Veebisaidid, millele pääseb juurde HTTP asemel HTTPS-i kaudu, tagavad traadi kaudu turvalise või krüptitud andmeedastuse. Turvaliseks edastamiseks käivitab transpordikihi turvalisuse krüptimine käepigistuse, et käivitada side kliendi ja serveri vahel.

Püüame ja mõistame TLS-i käepigistust, kasutades tsharki. Jagage terminal kaheks ekraaniks ja kasutage a wget käsk HTML-faili toomiseks https: // www.traadihai.org.

Teisel ekraanil kasutame esimese 11 paketi hõivamiseks tsharki, kasutades-c”Parameeter. Analüüsi tegemisel on ajatemplid sündmuste rekonstrueerimiseks olulised, seetõttu kasutame-t reklaam”Viisil, et tshark lisab ajatempli iga hõivatud paketi kõrvale. Lõpuks kasutame host-käsku pakettide hõivamiseks jagatud hostist IP-aadress.

See käepigistus on üsna sarnane TCP käepigistusega. Niipea kui TCP kolmepoolne käepigistus esimeses kolmes paketis lõpule jõuab, järgivad neljas kuni üheksas paketid mõnevõrra sarnast käepigistuse rituaali ja sisaldavad TLS-stringe, et tagada mõlema osapoole krüptitud suhtlus.

Kogu paketi vaatamine:

Käsurea utiliidi ainus puudus on see, et sellel pole GUI-d, kuna see muutub väga käepäraseks, kui peate otsima palju Interneti-liiklust, ja pakub ka pakettpaneeli, mis kuvab kõik pakettide üksikasjad kohene. Siiski on endiselt võimalik paketti kontrollida ja kogu GUI pakettpaneelil kuvatud paketiinfo välja visata.

Terve paketi kontrollimiseks kasutame ühe paketi hõivamiseks ping-käsku valikuga “-c”.

Mõnes teises aknas kasutage kogu paketi üksikasjade kuvamiseks käsku tshark koos täiendava lipuga. Võite märgata erinevaid sektsioone, kuvades raame, Ethernet II, IPV ja ICMP üksikasju.

Järeldus:

Pakettanalüüsi kõige keerulisem aspekt on kõige asjakohasema teabe leidmine ja kasutute bitide ignoreerimine. Ehkki graafilised liidesed on lihtsad, ei saa need aidata kaasa võrgupakettide automatiseeritud analüüsile. Selles artiklis olete õppinud kõige kasulikumaid tsharki parameetreid võrguliiklusfailide hõivamiseks, kuvamiseks, salvestamiseks ja lugemiseks.

Tshark on väga mugav utiliit, mis loeb ja kirjutab Wiresharki toetatud hõivefaile. Ekraani- ja hõivefiltrite kombinatsioon aitab kõrgtasemel kasutusjuhtumitega töötades palju kaasa. Saame kasutada tsharki võimalust väljade printimiseks ja andmetega manipuleerimiseks vastavalt meie põhjaliku analüüsi nõuetele. Teisisõnu on see võimeline tegema praktiliselt kõike, mida Wireshark teeb. Kõige tähtsam on see, et see sobib ideaalselt pakettide nuuskimiseks ssh-i abil, mis on teise päeva teema.