Tcpdump - Revision history

Apantjke at 18:41, 17 December 2022

2022-12-17T18:41:25Z

← Older revision		Revision as of 18:41, 17 December 2022
Line 75:		Line 75:

	Чтобы вывести захваченные пакеты, которые относятся к определенному хосту, нужно определить сетевой адрес хоста с помощью параметра '''host''':		Чтобы вывести захваченные пакеты, которые относятся к определенному хосту, нужно определить сетевой адрес хоста с помощью параметра '''host''':
	sudo tcpdump host "хост-параметр"		<pre>sudo tcpdump host "хост-параметр"</pre>

	[[File:ubuntu7_C18055.png\|1000px]]		[[File:ubuntu7_C18055.png\|1000px]]

Apantjke at 18:12, 17 December 2022

2022-12-17T18:12:32Z

← Older revision		Revision as of 18:12, 17 December 2022
Line 1:		Line 1:
			Aleksei Pant

	__TOC__		__TOC__
	= Что такое Tcpdump =		= Что такое Tcpdump =

Apantjke at 18:09, 17 December 2022

2022-12-17T18:09:00Z

← Older revision		Revision as of 18:09, 17 December 2022
Line 88:		Line 88:

	[[File:ubuntu8_C18055.png\|1000px]]		[[File:ubuntu8_C18055.png\|1000px]]

			Если вы хотите просмотреть данные в формате ASCII, вы можете подставить параметр '''-A''':
			<pre>sudo tcpdump -A</pre>

			[[File:ubuntu9_C18055.png\|1000px]]

Apantjke at 18:02, 17 December 2022

2022-12-17T18:02:32Z

@@ Line 73: / Line 73: @@
 Чтобы вывести захваченные пакеты, которые относятся к определенному хосту, нужно определить сетевой адрес хоста с помощью параметра '''host''':
 sudo tcpdump host "хост-параметр"
@@ Line 79: / Line 78: @@
 Подобно фильтру сетевого протокола, эта команда будет возвращать выходные данные только в том случае, если какая-либо текущая передача связана с определенным хостом.

Apantjke at 17:32, 17 December 2022

2022-12-17T17:32:57Z

← Older revision		Revision as of 17:32, 17 December 2022
Line 75:		Line 75:

	sudo tcpdump host "хост-параметр"		sudo tcpdump host "хост-параметр"

	[[File:ubuntu7_C18055.png\|1000px]]		[[File:ubuntu7_C18055.png\|1000px]]

Apantjke at 17:32, 17 December 2022

2022-12-17T17:32:09Z

← Older revision		Revision as of 17:32, 17 December 2022
Line 69:		Line 69:

	Эти команды вернут вывод только в том случае, если есть обмен данными по протоколу ICMP, UDP или TCP соответственно.		Эти команды вернут вывод только в том случае, если есть обмен данными по протоколу ICMP, UDP или TCP соответственно.

			Также можно настроить tcpdump для захвата пакетов, относящихся к одному хосту. Это особенно полезно, когда все системы вашей сети функционируют, кроме одной. Этот фильтр позволяет производить точечные операции и ускоряет общий рабочий процесс устранения неполадок, поскольку не затрагивает все остальные данные.

			Чтобы вывести захваченные пакеты, которые относятся к определенному хосту, нужно определить сетевой адрес хоста с помощью параметра '''host''':

			sudo tcpdump host "хост-параметр"
			[[File:ubuntu7_C18055.png\|1000px]]

			Подобно фильтру сетевого протокола, эта команда будет возвращать выходные данные только в том случае, если какая-либо текущая передача связана с определенным хостом.

Apantjke at 17:09, 17 December 2022

2022-12-17T17:09:03Z

← Older revision		Revision as of 17:09, 17 December 2022
Line 63:		Line 63:
	Чтобы отфильтровать пакеты, передаваемые по определенному протоколу, нужно ввести имя протокола с помощью команды tcpdump. После этого будут захватываться только те пакеты, которые передаются по заданному сетевому протоколу.		Чтобы отфильтровать пакеты, передаваемые по определенному протоколу, нужно ввести имя протокола с помощью команды tcpdump. После этого будут захватываться только те пакеты, которые передаются по заданному сетевому протоколу.

	Например, для захвата пакетов на основе ICMP нужно просто приписать '''icmp''' в конце команды tcpdump. Команды '''~~upd~~''' и '''tcp''' работают аналогично, если вы хотите перехватывать только пакеты UDP или TCP.		Например, для захвата пакетов на основе ICMP нужно просто приписать '''icmp''' в конце команды tcpdump. Команды '''udp''' и '''tcp''' работают аналогично, если вы хотите перехватывать только пакеты UDP или TCP.
	<pre>sudo tcpdump ~~-c 10~~ icmp</pre>		<pre>sudo tcpdump icmp</pre>
			<pre>sudo tcpdump upd</pre>
	[[File:ubuntu7_C18055.png\|500px]]
			<pre>sudo tcpdump tcp</pre>

	~~Эта~~ ~~команда~~ ~~вернет~~ вывод только в том случае, если есть обмен данными по протоколу ICMP.		Эти команды вернут вывод только в том случае, если есть обмен данными по протоколу ICMP, UDP или TCP соответственно.

Apantjke at 16:31, 17 December 2022

2022-12-17T16:31:46Z

← Older revision		Revision as of 16:31, 17 December 2022
Line 54:		Line 54:
	<pre>sudo tcpdump -w world.dump</pre>		<pre>sudo tcpdump -w world.dump</pre>
	[[File:ubuntu6_C18055.png\|500px]]		[[File:ubuntu6_C18055.png\|500px]]

			Чтобы прочитать этот файл используется параметр '''-r''':
			<pre>sudo tcpdump -r world.dump</pre>

			=== Фильтры tcpdump ===
			tcpdump способен захватывать огромное количество трафика за один запуск. Очень часто такой большой и ненужный поток информации может сбить с толку при расследовании или устранении неполадок с конкретным хостом или сетевым протоколом. Именно поэтому эта утилита обладает несколькими фильтрами. Вы можете добавить к команде tcpdump определенные параметры, чтобы отфильтровать сетевой трафик и захватить определенные пакеты.

			Чтобы отфильтровать пакеты, передаваемые по определенному протоколу, нужно ввести имя протокола с помощью команды tcpdump. После этого будут захватываться только те пакеты, которые передаются по заданному сетевому протоколу.

			Например, для захвата пакетов на основе ICMP нужно просто приписать '''icmp''' в конце команды tcpdump. Команды '''upd''' и '''tcp''' работают аналогично, если вы хотите перехватывать только пакеты UDP или TCP.
			<pre>sudo tcpdump -c 10 icmp</pre>
			[[File:ubuntu7_C18055.png\|500px]]

			Эта команда вернет вывод только в том случае, если есть обмен данными по протоколу ICMP.

Apantjke at 16:15, 17 December 2022

2022-12-17T16:15:38Z

← Older revision		Revision as of 16:15, 17 December 2022
Line 15:		Line 15:

	= Работа с Tcpdump =		= Работа с Tcpdump =
			Чтобы начать работу, прежде всего, утилиту стоит установить. Для этого используем команду:
			<pre>sudo apt-get install tcpdump</pre>
	Выполнение tcpdump без параметров будет искать первый активный интерфейс. После этого утилита найдет и отобразит информацию о пакетах, входящих или исходящих с сетевого устройства. Процесс можно прервать комбинацией '''Ctrl+C'''. Заходим в терминал и пишем:		Выполнение tcpdump без параметров будет искать первый активный интерфейс. После этого утилита найдет и отобразит информацию о пакетах, входящих или исходящих с сетевого устройства. Процесс можно прервать комбинацией '''Ctrl+C'''. Заходим в терминал и пишем:
	<pre>sudo tcpdump</pre>		<pre>sudo tcpdump</pre>
Line 26:		Line 28:
	Для просмотра информации о трафике мы можем выбрать какой-нибудь другой интерфейс. Чтобы узнать, с какими интерфейсами будет работать tcpdump, используется параметр «-D», который отображает список устройств, которые можно использовать в качестве параметров. Для того, чтобы вывести этот список, используем команду:		Для просмотра информации о трафике мы можем выбрать какой-нибудь другой интерфейс. Чтобы узнать, с какими интерфейсами будет работать tcpdump, используется параметр «-D», который отображает список устройств, которые можно использовать в качестве параметров. Для того, чтобы вывести этот список, используем команду:
	<pre>sudo tcpdump -D</pre>		<pre>sudo tcpdump -D</pre>
			Альтернативой служит команда:
			<pre>sudo tcpdump --list-interfaces</pre>
	[[File:ubuntu3_C18055.png\|500px]]		[[File:ubuntu3_C18055.png\|500px]]

Line 31:		Line 35:
	<pre>sudo tcpdump -i enp0s3</pre>		<pre>sudo tcpdump -i enp0s3</pre>
	[[File:ubuntu4_C18055.png\|500px]]		[[File:ubuntu4_C18055.png\|500px]]

			Также для удобства вместо названия интерфейса можно использовать номер его идентификатора в списке следующим образом:
			<pre>sudo tcpdump -i "номер идентификатора"</pre>
			Или:
			<pre>sudo tcpdump --interface "номер идентификатора"</pre>

	=== Ограничение количества пакетов для захвата ===		=== Ограничение количества пакетов для захвата ===
Line 38:		Line 47:

	[[File:ubuntu5_C18055.png\|1000px]]		[[File:ubuntu5_C18055.png\|1000px]]

			=== Сохранение вывода tcpdump в файл ===
			Tcpdump может сохранить результат в файл, на который позже можно будет ссылаться. Для этого мы будем использовать параметр '''-w''' вместе с именем файла, чтобы записать его. После выполнения tcpdump сохранит захваченные данные в файле .pcap, который впоследствии можно будет проанализировать с помощью tcpdump или других инструментов мониторинга сети.

			Чтобы сохранить вывод инструмента в файл, нам нужно будет присвоить ему любое имя, которое мы хотим. Например:
			<pre>sudo tcpdump -w world.dump</pre>
			[[File:ubuntu6_C18055.png\|500px]]

Apantjke at 15:31, 17 December 2022

2022-12-17T15:31:10Z

← Older revision		Revision as of 15:31, 17 December 2022
Line 35:		Line 35:
	В случае, когда мы хотим ограничить вывод определенным количеством пакетов, мы можем использовать параметр '''-c''', благодаря которому мы указываем, сколько пакетов мы хотим захватить и отобразить информацию после вывода заданного нами числа пакетов. Для примера ограничим вывод до 10-ти штук командой		В случае, когда мы хотим ограничить вывод определенным количеством пакетов, мы можем использовать параметр '''-c''', благодаря которому мы указываем, сколько пакетов мы хотим захватить и отобразить информацию после вывода заданного нами числа пакетов. Для примера ограничим вывод до 10-ти штук командой
	<pre>sudo tcpdump -c 10 </pre>		<pre>sudo tcpdump -c 10 </pre>
	Поскольку пакеты получаются по несколько штук единовременно, то на выходе количество захваченных и количество полученных пакетов отличается, ~~поскольку~~ мы ограничили вывод до 10-ти. Как итог получаем:		Поскольку пакеты получаются по несколько штук единовременно, то на выходе количество захваченных и количество полученных пакетов отличается, так как мы ограничили вывод до 10-ти. Как итог получаем:

	[[File:ubuntu5_C18055.png\|1000px]]		[[File:ubuntu5_C18055.png\|1000px]]