Tcpdump

Что такое Tcpdump

Tcpdump — это утилита UNIX, позволяющая перехватывать и анализировать сетевой трафик, который проходит через компьютер, на котором данная программа запущена. Также существует клон tcpdump и для windows, WinDump. Это диагностический инструмент, позволяющий увидеть нам информацию о пакетах. Информация будет содержать сведения о том, откуда приходят входящие пакеты и куда направляются исходящие пакеты, предоставляя некоторую дополнительную информацию. Мы даже можем сохранить результат в файл, чтобы посмотреть его в случае необходимости.

Для выполнения программы требуется наличие прав суперпользователя и прямой доступ к устройству.

Пользователь может применять различные фильтры, чтобы сделать вывод более точным. Фильтр — это выражение, которое идет после параметров и позволяет нам выбирать пакеты, которые мы ищем. При отсутствии фильтров tcpdump будет сбрасывать весь трафик, видимый выбранным сетевым адаптером.

Для чего используется Tcpdump

• Для отладки приложений, использующих сеть для связи.
• Для отладки самой сети.
• Для захвата и чтения данных, отправленных другими пользователями или компьютерами. Пользователь, управляющий маршрутизатором, через который проходит незашифрованный трафик, может использовать tcpdump для получения паролей или другой информации.

Работа с Tcpdump

Выполнение tcpdump без параметров будет искать первый активный интерфейс. После этого утилита найдет и отобразит информацию о пакетах, входящих или исходящих с сетевого устройства. Процесс можно прервать комбинацией Ctrl+C. Заходим в терминал и пишем:

sudo tcpdump

После завершения команды на выходе мы получим следующую информацию, показывающую сколько пакетов было захвачено, сколько действительно получено и сколько покинуло ядро.

Отображение параметров

Для просмотра информации о трафике мы можем выбрать какой-нибудь другой интерфейс. Чтобы узнать, с какими интерфейсами будет работать tcpdump, используется параметр «-D», который отображает список устройств, которые можно использовать в качестве параметров. Для того, чтобы вывести этот список, используем команду:

sudo tcpdump -D

Далее просто выбираем любой из параметров, например:

sudo tcpdump -i enp0s3