En guide til Wireshark Command Line Interface “tshark”

Du kan se en liste over alle tilgængelige muligheder. I denne artikel vil vi dække de fleste af argumenterne i detaljer, og du vil forstå styrken i denne terminalorienterede Wireshark-version.

Valg af netværksgrænseflade:

For at udføre live capture og analyse i dette værktøj skal vi først finde ud af vores arbejdsgrænseflade. Type tshark -D og tshark viser alle tilgængelige grænseflader.

Bemærk, at ikke alle de listede grænseflader fungerer. Type ifconfig for at finde arbejdsgrænseflader på dit system. I mit tilfælde er det enp0s3.

Capture Traffic:

For at starte live capture-processen bruger vi tshark kommando med “-jeg”Mulighed for at starte opsamlingsprocessen fra arbejdsgrænsefladen.

Brug Ctrl + C for at stoppe liveoptagelsen. I ovenstående kommando har jeg sendt den fangede trafik til Linux-kommandoen hoved for at få vist de første par fangede pakker. Eller du kan også bruge “-c ”Syntaks for at fange“n ” antal pakker.

Hvis du kun går ind tshark, Som standard begynder den ikke at fange trafik på alle tilgængelige grænseflader, og den lytter heller ikke til din arbejdsgrænseflade. I stedet fanger den pakker på den først anførte grænseflade.

Du kan også bruge følgende kommando til at kontrollere flere grænseflader:

I mellemtiden er en anden måde at live fange trafik på at bruge nummeret sammen med de anførte grænseflader.

I nærværelse af flere grænseflader er det imidlertid svært at holde styr på deres anførte numre.

Capture Filter:

Capture-filtre reducerer den optagne filstørrelse betydeligt. Tshark bruger Berkeley Packet Filter-syntaks -f “”, Som også bruges af tcpdump. Vi bruger "-f" til kun at fange pakker fra port 80 eller 53 og bruge "-c" til kun at vise de første 10 pakker.

Gemme fanget trafik i en fil:

Det vigtigste at bemærke i ovenstående skærmbillede er, at de viste oplysninger ikke gemmes, og derfor er de mindre nyttige. Vi bruger argumentet “-w”For at gemme den fangede netværkstrafik til test_fangst.pcap i / tmp folder.

Der henviser til, .pcap er filtypenavnet Wireshark. Ved at gemme filen kan du gennemgå og analysere trafikken i en maskine med Wireshark GUI senere.

Det er en god praksis at gemme filen i /tmp da denne mappe ikke kræver nogen eksekveringsrettigheder. Hvis du gemmer det i en anden mappe, selvom du kører tshark med root-rettigheder, nægter programmet tilladelse af sikkerhedsmæssige årsager.

Lad os grave i alle de mulige måder, hvorpå du kan:

• anvende grænser for at registrere data, sådan som spænding tshark eller automatisk standsning af optagelsesprocessen, og
• output dine filer.

Autostop-parameter:

Du kan bruge “--en”-Parameter for at inkorporere tilgængelige flag såsom varighed filstørrelse og filer. I den følgende kommando bruger vi parameteren autostop med varighed flag for at stoppe processen inden for 120 sekunder.

Tilsvarende, hvis du ikke har brug for, at dine filer skal være ekstra store, filstørrelse er et perfekt flag til at stoppe processen efter nogle KB's grænser.

Mest vigtigt, filer flag giver dig mulighed for at stoppe optagelsesprocessen efter et antal filer. Men dette kan kun være muligt efter oprettelse af flere filer, hvilket kræver udførelse af en anden nyttig parameter, capture output.

Capture Output Parameter:

Capture output, aka ringbuffer argument “-b“, Følger med de samme flag som autostop. Brug / output er dog en smule anderledes, dvs.e., flagene varighed og filstørrelse, da det giver dig mulighed for at skifte eller gemme pakker til en anden fil efter at have nået en bestemt tidsfrist i sekunder eller filstørrelse.

Nedenstående kommando viser, at vi fanger trafikken gennem vores netværksgrænseflade enp0s3, og fange trafik ved hjælp af opsamlingsfilteret “-f”Til tcp og dns. Vi bruger ringbuffer option “-b” med a filstørrelse flag for at gemme hver fil i størrelse 15 Kb, og brug også autostop-argumentet til at specificere antallet af filer, der bruger filer mulighed, så den stopper optagelsesprocessen efter generering af tre filer.

Jeg har delt min terminal i to skærme for aktivt at overvåge oprettelsen af ​​tre .pcap-filer.

Gå til din / tmp mappen og brug følgende kommando i den anden terminal til at overvåge opdateringer efter hvert sekund.

Nu behøver du ikke at huske alle disse flag. Skriv i stedet en kommando tshark -i enp0s3 -f “port 53 eller port 21” -b filstørrelse: 15 -a i din terminal og tryk Tab. Listen over alle tilgængelige flag vil være tilgængelig på din skærm.

Læsning .pcap-filer:

Vigtigst er det, at du kan bruge en-r”-Parameter for at læse test_capture.pcap-filer og rør den til hoved kommando.

Oplysningerne, der vises i outputfilen, kan være lidt overvældende. For at undgå unødvendige detaljer og få en bedre forståelse af en bestemt destinations-IP-adresse bruger vi -r mulighed for at læse den pakkefangede fil og bruge en ip.addr filter for at omdirigere output til en ny fil med “-w" mulighed. Dette giver os mulighed for at gennemse filen og finjustere vores analyse ved at anvende flere filtre.

Valg af felter til output:

Kommandoerne ovenfor udsender et resumé af hver pakke, der indeholder forskellige overskriftsfelter. Tshark giver dig også mulighed for at se bestemte felter. For at specificere et felt bruger vi “-T-felt”Og udtræk felter efter vores valg.

Efter "-T-felt”-Knappen, bruger vi indstillingen“ -e ”til at udskrive de angivne felter / filtre. Her kan vi bruge Wireshark Display Filtre.

Hent krypterede håndtryksdata:

Indtil videre har vi lært at gemme og læse outputfiler ved hjælp af forskellige parametre og filtre. Vi lærer nu, hvordan HTTPS initialiserer session tshark. De websteder, der er adgang til via HTTPS i stedet for HTTP, sikrer en sikker eller krypteret datatransmission over ledningen. For sikker transmission starter en Transport Layer Security-kryptering en håndtryksproces for at starte kommunikationen mellem klienten og serveren.

Lad os fange og forstå TLS-håndtrykket ved hjælp af tshark. Opdel din terminal i to skærme og brug en wget kommando til at hente en html-fil fra https: // www.wireshark.org.

I en anden skærm bruger vi tshark til at fange de første 11 pakker ved hjælp af “-c”-Parameter. Under analysen er tidsstempler vigtige for at rekonstruere begivenheder, derfor bruger vi “-t annonce”, På en måde som tshark tilføjer tidsstempel ved siden af ​​hver fanget pakke. Endelig bruger vi værtskommandoen til at fange pakker fra den delte vært IP-adresse.

Dette håndtryk minder meget om TCP-håndtrykket. Så snart TCP-trevejshåndtrykket afsluttes i de første tre pakker, følger den fjerde til niende pakke et noget lignende håndtryksritual og inkluderer TLS-strenge for at sikre krypteret kommunikation mellem begge parter.

Visning af hele pakken:

Den eneste ulempe ved et kommandolinjeprogram er, at det ikke har en GUI, da det bliver meget praktisk, når du har brug for at søge en masse internettrafik, og det tilbyder også et pakkepanel, der viser alle pakkeoplysninger inden for en øjeblikkelig. Det er dog stadig muligt at inspicere pakken og dumpe hele den pakkeinformation, der vises i GUI Packet Panel.

For at inspicere en hel pakke bruger vi en ping-kommando med indstillingen “-c” til at fange en enkelt pakke.

I et andet vindue skal du bruge kommandoen tshark med et ekstra flag for at vise hele pakkeoplysningerne. Du kan bemærke forskellige sektioner, der viser Frames, Ethernet II, IPV og ICMP detaljer.

Konklusion:

Det mest udfordrende aspekt af pakkeanalyse er at finde de mest relevante oplysninger og ignorere de ubrugelige bits. Selvom grafiske grænseflader er lette, kan de ikke bidrage til automatiseret netværkspakkeanalyse. I denne artikel har du lært de mest nyttige tshark-parametre til at registrere, vise, gemme og læse netværkstrafikfiler.

Tshark er et meget praktisk værktøj, der læser og skriver de capture-filer, der understøttes af Wireshark. Kombinationen af ​​display- og capture-filtre bidrager meget, mens du arbejder på avancerede brugssager. Vi kan udnytte tsharks evne til at udskrive felter og manipulere data i henhold til vores krav til dybdegående analyse. Med andre ord er det i stand til at gøre næsten alt, hvad Wireshark gør. Vigtigst er det, det er perfekt til pakke sniffing eksternt ved hjælp af ssh, hvilket er et emne for en anden dag.