Um guia para a interface de linha de comando do Wireshark “tshark”

Você pode ver uma lista de todas as opções disponíveis. Neste artigo, cobriremos a maioria dos argumentos em detalhes, e você entenderá o poder desta versão Wireshark orientada para terminal.

Selecionando a interface de rede:

Para conduzir a captura e análise ao vivo neste utilitário, primeiro precisamos descobrir nossa interface de trabalho. Modelo tshark -D e tshark irá listar todas as interfaces disponíveis.

Observe que nem todas as interfaces listadas estarão funcionando. Modelo ifconfig para encontrar interfaces funcionais em seu sistema. No meu caso é enp0s3.

Capture Traffic:

Para iniciar o processo de captura ao vivo, usaremos o tshark comando com o “-eu”Opção para iniciar o processo de captura da interface de trabalho.

Usar Ctrl + C para parar a captura ao vivo. No comando acima, canalizei o tráfego capturado para o comando Linux cabeça para exibir os primeiros pacotes capturados. Ou você também pode usar o “-c ”Sintaxe para capturar o“n ” número de pacotes.

Se você apenas entrar tshark, por padrão, ele não começará a capturar o tráfego em todas as interfaces disponíveis nem ouvirá sua interface de trabalho. Em vez disso, ele irá capturar pacotes na primeira interface listada.

Você também pode usar o seguinte comando para verificar várias interfaces:

Enquanto isso, outra maneira de capturar o tráfego ao vivo é usar o número ao lado das interfaces listadas.

No entanto, na presença de várias interfaces, é difícil controlar seus números listados.

Filtro de captura:

Filtros de captura reduzem significativamente o tamanho do arquivo capturado. Tshark usa a sintaxe do Berkeley Packet Filter -f “”, Que também é usado pelo tcpdump. Usaremos a opção “-f” para capturar apenas pacotes das portas 80 ou 53 e usaremos “-c” para exibir apenas os primeiros 10 pacotes.

Salvando o tráfego capturado em um arquivo:

O principal ponto a ser observado na captura de tela acima é que as informações exibidas não são salvas, portanto, são menos úteis. Usamos o argumento “-C”Para salvar o tráfego de rede capturado para test_capture.pcap dentro / tmp pasta.

Enquanto, .pcap é a extensão do tipo de arquivo Wireshark. Ao salvar o arquivo, você pode revisar e analisar o tráfego em uma máquina com a GUI do Wireshark posteriormente.

É uma boa prática salvar o arquivo em /tmp já que esta pasta não requer nenhum privilégio de execução. Se você salvá-lo em outra pasta, mesmo se estiver executando tshark com privilégios de root, o programa negará a permissão por motivos de segurança.

Vamos examinar todas as maneiras possíveis pelas quais você pode:

• aplicar limites para a captura de dados, de modo que a saída tshark ou interromper automaticamente o processo de captura e
• enviar seus arquivos.

Parâmetro Autostop:

Você pode usar o “-uma”Parâmetro para incorporar sinalizadores disponíveis, como tamanho do arquivo de duração e arquivos. No comando a seguir, usamos o parâmetro autostop com o duração sinalize para interromper o processo em 120 segundos.

Da mesma forma, se você não precisa que seus arquivos sejam extragrandes, tamanho do arquivo é um sinalizador perfeito para parar o processo após alguns limites de KB.

Mais importante, arquivos sinalizador permite que você pare o processo de captura após uma série de arquivos. Mas isso só pode ser possível após a criação de vários arquivos, o que requer a execução de outro parâmetro útil, captura de saída.

Parâmetro de saída de captura:

Capture output, também conhecido como ringbuffer argumento “-b“, Vem junto com as mesmas bandeiras do autostop. No entanto, o uso / saída é um pouco diferente, eu.e., as bandeiras duração e tamanho do arquivo, pois permite que você alterne ou salve pacotes para outro arquivo após atingir um limite de tempo especificado em segundos ou tamanho de arquivo.

O comando abaixo mostra que capturamos o tráfego por meio de nossa interface de rede enp0s3, e capturar o tráfego usando o filtro de captura “-f”Para tcp e dns. Usamos a opção ringbuffer “-b” com um tamanho do arquivo sinalize para salvar cada arquivo de tamanho 15 kb, e também use o argumento autostop para especificar o número de arquivos usando arquivos opção de modo que pare o processo de captura após gerar três arquivos.

Eu dividi meu terminal em duas telas para monitorar ativamente a criação de três .arquivos pcap.

Vá para sua / tmp pasta e use o seguinte comando no segundo terminal para monitorar atualizações a cada segundo.

Agora, você não precisa memorizar todas essas bandeiras. Em vez disso, digite um comando tshark -i enp0s3 -f “porta 53 ou porta 21” -b tamanho do arquivo: 15 -a em seu terminal e pressione Aba. A lista de todas as bandeiras disponíveis estará disponível em sua tela.

Leitura .Arquivos pcap:

Mais importante ainda, você pode usar um “-r”Parâmetro para ler o test_capture.arquivos pcap e canalizá-los para o cabeça comando.

As informações exibidas no arquivo de saída podem ser um pouco opressivas. Para evitar detalhes desnecessários e obter uma melhor compreensão de qualquer endereço IP de destino específico, usamos o -r opção de ler o arquivo de pacote capturado e usar um ip.addr filtro para redirecionar a saída para um novo arquivo com o “-C”Opção. Isso nos permitirá revisar o arquivo e refinar nossa análise aplicando outros filtros.

Selecionando campos para produzir:

Os comandos acima geram um resumo de cada pacote que inclui vários campos de cabeçalho. Tshark também permite que você visualize campos específicos. Para especificar um campo, usamos “-Campo T”E extraia os campos de acordo com nossa escolha.

Depois de "-Campo T”, Usamos a opção“ -e ”para imprimir os campos / filtros especificados. Aqui, podemos usar filtros de exibição Wireshark.

Capture dados de handshake criptografados:

Até agora, aprendemos a salvar e ler arquivos de saída usando vários parâmetros e filtros. Agora aprenderemos como o HTTPS inicializa a sessão tshark. Os sites acessados ​​via HTTPS em vez de HTTP garantem uma transmissão de dados segura ou criptografada pela rede. Para uma transmissão segura, uma criptografia do Transport Layer Security inicia um processo de handshake para iniciar a comunicação entre o cliente e o servidor.

Vamos capturar e entender o handshake TLS usando tshark. Divida seu terminal em duas telas e use um wget comando para recuperar um arquivo html de https: // www.wirehark.org.

Em outra tela, usaremos tshark para capturar os primeiros 11 pacotes usando o “-c”Parâmetro. Ao realizar a análise, os carimbos de data / hora são importantes para reconstruir eventos, portanto, usamos “-t anúncio”, De forma que tshark adiciona timestamp ao lado de cada pacote capturado. Por último, usamos o comando host para capturar pacotes do host compartilhado endereço de IP.

Este handshake é bastante semelhante ao handshake TCP. Assim que o handshake TCP de três vias termina nos primeiros três pacotes, o quarto ao nono pacotes seguem um ritual de handshake um tanto semelhante e incluem strings TLS para garantir a comunicação criptografada entre ambas as partes.

Visualizando o pacote inteiro:

A única desvantagem de um utilitário de linha de comando é que ele não tem uma GUI, pois se torna muito útil quando você precisa pesquisar muito tráfego da Internet, e também oferece um painel de pacotes que exibe todos os detalhes do pacote dentro de um instante. No entanto, ainda é possível inspecionar o pacote e despejar todas as informações do pacote exibidas no painel de pacotes GUI.

Para inspecionar um pacote inteiro, usamos um comando ping com a opção “-c” para capturar um único pacote.

Em outra janela, use o comando tshark com um sinalizador adicional para exibir todos os detalhes do pacote. Você pode notar várias seções, exibindo detalhes de Frames, Ethernet II, IPV e ICMP.

Conclusão:

O aspecto mais desafiador da análise de pacotes é encontrar as informações mais relevantes e ignorar os bits inúteis. Mesmo que as interfaces gráficas sejam fáceis, elas não podem contribuir para a análise automatizada de pacotes de rede. Neste artigo, você aprendeu os parâmetros tshark mais úteis para capturar, exibir, salvar e ler arquivos de tráfego de rede.

Tshark é um utilitário muito útil que lê e grava os arquivos de captura suportados pelo Wireshark. A combinação de filtros de exibição e captura contribui muito ao trabalhar em casos de uso de nível avançado. Podemos alavancar a capacidade do tshark para imprimir campos e manipular dados de acordo com nossos requisitos para análises aprofundadas. Em outras palavras, é capaz de fazer praticamente tudo o que o Wireshark faz. Mais importante, é perfeito para farejar pacotes remotamente usando ssh, que é um assunto para outro dia.