En guide til Wireshark Command Line Interface tshark

Du kan legge merke til en liste over alle tilgjengelige alternativer. I denne artikkelen vil vi dekke de fleste argumentene i detalj, og du vil forstå kraften til denne terminalorienterte Wireshark-versjonen.

Velge nettverksgrensesnitt:

For å gjennomføre live-fangst og analyse i dette verktøyet, må vi først finne ut av arbeidsgrensesnittet vårt. Type tshark -D og tshark vil liste opp alle tilgjengelige grensesnitt.

Merk at ikke alle de oppførte grensesnittene fungerer. Type ifconfig for å finne arbeidsgrensesnitt på systemet ditt. I mitt tilfelle er det enp0s3.

Fang trafikk:

For å starte prosessen med liveopptak vil vi bruke tshark kommando med “-Jeg”Alternativet for å starte fangstprosessen fra arbeidsgrensesnittet.

Bruk Ctrl + C for å stoppe liveopptaket. I kommandoen ovenfor har jeg ledet den fangede trafikken til Linux-kommandoen hode for å vise de første få fangede pakkene. Eller du kan også bruke “-c ”Syntaks for å fange“n ” antall pakker.

Hvis du bare går inn tshark, Som standard vil den ikke begynne å fange trafikk på alle tilgjengelige grensesnitt, og den vil heller ikke lytte til arbeidsgrensesnittet ditt. I stedet vil den fange pakker på det første oppførte grensesnittet.

Du kan også bruke følgende kommando for å sjekke flere grensesnitt:

I mellomtiden er en annen måte å live fange trafikk på å bruke nummeret ved siden av de oppførte grensesnittene.

Imidlertid, i nærvær av flere grensesnitt, er det vanskelig å holde rede på de oppførte numrene.

Capture Filter:

Fangefiltre reduserer filstørrelsen betydelig. Tshark bruker Berkeley Packet Filter-syntaks -f “”, Som også brukes av tcpdump. Vi vil bruke alternativet “-f” til å kun fange pakker fra port 80 eller 53 og bruke “-c” for å vise bare de første 10 pakkene.

Lagre fanget trafikk i en fil:

Det viktigste å merke seg i skjermbildet ovenfor er at informasjonen som vises ikke lagres, og derfor er den mindre nyttig. Vi bruker argumentet “-w”For å lagre fanget nettverkstrafikk til test_fangst.pcap i / tmp mappe.

Mens, .pcap er filtypen Wireshark. Ved å lagre filen kan du se gjennom og analysere trafikken i en maskin med Wireshark GUI senere.

Det er en god praksis å lagre filen i /tmp da denne mappen ikke krever noen kjøringsrettigheter. Hvis du lagrer den i en annen mappe, selv om du kjører tshark med root-rettigheter, nekter programmet tillatelse av sikkerhetsmessige årsaker.

La oss grave i alle mulige måter du kan:

• bruke grenser for å samle inn data, slik at det går ut tshark eller stoppe fangstprosessen automatisk, og
• send ut filene dine.

Autostop-parameter:

Du kan bruke “-en”-Parameter for å innlemme tilgjengelige flagg som varighet filstørrelse og filer. I den følgende kommandoen bruker vi autostop-parameteren med varighet flagg for å stoppe prosessen innen 120 sekunder.

Tilsvarende, hvis du ikke trenger at filene dine skal være ekstra store, filstørrelse er et perfekt flagg for å stoppe prosessen etter noen KBs grenser.

Viktigst, filer flagg lar deg stoppe fangstprosessen etter et antall filer. Men dette kan bare være mulig etter å ha opprettet flere filer, noe som krever utføring av en annen nyttig parameter, capture output.

Capture Output Parameter:

Capture output, aka ringbuffer argument “-b“, Kommer sammen med de samme flaggene som autostop. Imidlertid er bruken / utgangen litt annerledes, dvs.e., flaggene varighet og filstørrelse, da det lar deg bytte eller lagre pakker til en annen fil etter å ha nådd en spesifisert tidsgrense i sekunder eller filstørrelse.

Kommandoen nedenfor viser at vi fanger trafikken gjennom nettverksgrensesnittet vårt enp0s3, og fange trafikk ved hjelp av fangstfilteret “-f”For tcp og dns. Vi bruker ringbuffer-alternativet “-b” med a filstørrelse flagg for å lagre hver fil av størrelse 15 Kb, og bruk også autostopp-argumentet til å spesifisere antall filer som brukes filer alternativet slik at det stopper fangstprosessen etter å ha generert tre filer.

Jeg har delt terminalen min i to skjermer for aktivt å overvåke etableringen av tre .pcap-filer.

Gå til din / tmp mappen og bruk følgende kommando i den andre terminalen for å overvåke oppdateringer etter hvert sekund.

Nå trenger du ikke å huske alle disse flaggene. I stedet skriver du inn en kommando tshark -i enp0s3 -f “port 53 eller port 21” -b filstørrelse: 15 -a i terminalen og trykk Tab. Listen over alle tilgjengelige flagg vil være tilgjengelig på skjermen.

Lesning .pcap-filer:

Viktigst, du kan bruke en-r”-Parameter for å lese testoppfangingen.pcap-filer og rør den til hode kommando.

Informasjonen som vises i utdatafilen kan være litt overveldende. For å unngå unødvendige detaljer og få en bedre forståelse av en spesifikk destinasjons-IP-adresse, bruker vi -r muligheten til å lese den pakkefangede filen og bruke en ip.addr filter for å omdirigere utdata til en ny fil med “-w”Alternativet. Dette vil tillate oss å se gjennom filen og forbedre vår analyse ved å bruke flere filtre.

Velge felt å skrive ut:

Kommandoene ovenfor gir et sammendrag av hver pakke som inneholder forskjellige overskriftsfelt. Tshark lar deg også vise spesifiserte felt. For å spesifisere et felt bruker vi “-T-feltet”Og trekk ut felt i henhold til vårt valg.

Etter "-T-feltet”-Bryteren, bruker vi“ -e ”-alternativet for å skrive ut de angitte feltene / filtrene. Her kan vi bruke Wireshark Display Filters.

Hent krypterte håndtrykkdata:

Så langt har vi lært å lagre og lese utdatafiler ved hjelp av forskjellige parametere og filtre. Vi vil nå lære hvordan HTTPS initialiserer økt tshark. Nettstedene som er tilgjengelig via HTTPS i stedet for HTTP, sikrer en sikker eller kryptert dataoverføring over ledningen. For sikker overføring starter en Transport Layer Security-kryptering en håndtrykkprosess for å starte kommunikasjonen mellom klienten og serveren.

La oss fange og forstå TLS-håndtrykket ved hjelp av tshark. Del terminalen din i to skjermer og bruk a wget kommando for å hente en html-fil fra https: // www.wireshark.org.

I en annen skjerm vil vi bruke tshark til å fange de første 11 pakkene ved å bruke “-c" parameter. Når vi utfører analyser, er tidsstempler viktig for å rekonstruere hendelser, derfor bruker vi “-t annonse”, På en måte som tshark legger til tidsstempel ved siden av hver fangede pakke. Til slutt bruker vi vertskommandoen til å fange pakker fra den delte verten IP adresse.

Dette håndtrykket er ganske likt TCP-håndtrykket. Så snart TCP treveis håndtrykk avsluttes i de første tre pakkene, følger den fjerde til niende pakken et noe lignende håndtrykk ritual og inkluderer TLS strenger for å sikre kryptert kommunikasjon mellom begge parter.

Viser hele pakken:

Den eneste ulempen med et kommandolinjeverktøy er at det ikke har et GUI, da det blir veldig nyttig når du trenger å søke mye internettrafikk, og det tilbyr også et pakkepanel som viser alle pakkeopplysningene i en umiddelbar. Imidlertid er det fortsatt mulig å inspisere pakken og dumpe hele pakkeinformasjonen som vises i GUI Packet Panel.

For å inspisere en hel pakke bruker vi en ping-kommando med alternativet “-c” for å fange en enkelt pakke.

I et annet vindu bruker du kommandoen tshark med et ekstra flagg for å vise hele pakkeopplysningene. Du kan legge merke til forskjellige seksjoner, som viser detaljer om rammer, Ethernet II, IPV og ICMP.

Konklusjon:

Det mest utfordrende aspektet ved pakkeanalyse er å finne den mest relevante informasjonen og ignorere de ubrukelige bitene. Selv om grafiske grensesnitt er enkle, kan de ikke bidra til automatisert nettverkspakkeanalyse. I denne artikkelen har du lært de mest nyttige tshark-parametrene for å fange, vise, lagre og lese nettverkstrafikkfiler.

Tshark er et veldig nyttig verktøy som leser og skriver fangstfilene som støttes av Wireshark. Kombinasjonen av skjerm- og fangstfiltre bidrar mye mens du arbeider med avanserte brukssaker. Vi kan utnytte tsharks evne til å skrive ut felt og manipulere data i henhold til våre krav til grundig analyse. Med andre ord, det er i stand til å gjøre praktisk talt alt som Wireshark gjør. Viktigst, det er perfekt for pakkesnusing eksternt ved hjelp av ssh, som er et tema for en annen dag.