Использование Tcpdump

Tcpdump  — это  утилита UNIX, позволяющая перехватывать и анализировать сетевой трафик, проходящий через компьютер, на котором запущена данная программа. Для выполнения программы требуется наличие прав суперпользователя и прямой доступ к устройству.

1. Установка

debian/ubuntu

sudo apt install tcpdump

Fedora/Red Hat/CentOS

sudo yum install tcpdump 

2. Использование

tcpdump опции -i интерфейс фильтры

-A — выводить все пакеты в формате ASCII;

-c — закрыть программу после перехвата n-ого количества пакетов;

-C — при записи пакетов в файл, проверять размер файла, и если он больше заданного — создать новый файл;

-D — вывести список доступных сетевых интерфейсов;

-e — выводить информацию уровня соединения для каждого пакета, это может быть полезно, например, для отображения MAC адреса;

-f — выводить доменное имя для ip адресов;

—F — читать пакеты из файла, а не интерфейса;

-G — создавать новый файл лога через указанный промежуток времени;

-H — обнаруживать заголовки 802.11s;

-i — имя интерфейса для перехвата пакетов. Вы можете захватывать пакеты со всех интерфейсов, для этого укажите any;

-I — переключить интерфейс в режим монитора для захвата всех проходящих пакетов;

-j — установить формат Timestamp для записи пакетов;

-J — посмотреть доступные Timestamp;

-K — не проверять контрольные суммы пакетов;

-l — добавить поддержку прокрутки к выводу;

-L — вывести поддерживаемые протоколы подключения для интерфейса;

-n — не отображать доменные имена;

—r — прочитать пакеты из файла, созданного с помощью -w;

-v, -vv, -vvv — более подробный вывод;

—q — выводить минимум информации;

-w — записать вывод в файл;

-Z — пользователь, от имени которого будут создаваться файлы.

Фильтры:

host — имя хоста;

ip — ip адрес;

proto — протокол;

net — адрес сети или подсети;

port — адрес порта;

src — параметр, касающийся отправителя;

dst — параметр, касающейся получателя;

Доступны такие протоколы: ether, fddi, tr, wlan, ip, ip6, arp, rarp, decnet, tcp и udp.

Перед использованием выведем список интерфейсов которые мы можем использоваться, для этого введем команду:

sudo tcpdump -D

Начнем захват трафика на интерфейс ens18:

sudo tcpdump -i ens18

Для остановки нажмите сочетание клавиш ctrl + c

Захватим только те пакеты что идут к нам на сервер:

tcpdump -i ens18 ip dst 192.168.190.24

Давайте захватим пакеты идущие на конкретный порт 22:

tcpdump -i ens18 port 22

Также можно указать диапазон портов:

tcpdump -i ens18 portrange 22-25

Можем захватить все пакеты которые идут по определенному протоколу, например tcp:

tcpdump -i ens18 tcp

Можем отфильтровать пакеты по размеру:

например менее 64 байт:

tcpdump less 64

более 125 байт:

tcpdump greater 125

Можем сохранить весь захваченный трафик в файл:

tcpdump -i ens18  -w test.pcap less 64

Пишем команду ls что бы посмотреть что файл создался, чтобы открыть файл пишем:

tcpdump -r test.pcap

Вот все что у нас записалось в файл,  так же этот файл можно взять с сервера и проанализировать его в wireshark.

Вывод: В статье мы познакомились с утилитой tcpdump и научились пользоваться ей для захвата  трафика.