Una guía para la interfaz de línea de comandos de Wireshark tshark

Puede ver una lista de todas las opciones disponibles. En este artículo, cubriremos la mayoría de los argumentos en detalle, y comprenderá el poder de esta versión de Wireshark orientada a terminales.

Selección de la interfaz de red:

Para realizar la captura y el análisis en vivo en esta utilidad, primero debemos descubrir nuestra interfaz de trabajo. Tipo tshark -D y tshark enumerará todas las interfaces disponibles.

Tenga en cuenta que no todas las interfaces enumeradas funcionarán. Tipo ifconfig para encontrar interfaces de trabajo en su sistema. En mi caso es enp0s3.

Capturar tráfico:

Para iniciar el proceso de captura en vivo, usaremos el tshark comando con el "-I"Opción para comenzar el proceso de captura desde la interfaz de trabajo.

Usar Ctrl + C para detener la captura en vivo. En el comando anterior, canalicé el tráfico capturado al comando de Linux cabeza para mostrar los primeros paquetes capturados. O también puede utilizar el "-c "Sintaxis para capturar la"norte" número de paquetes.

Si solo ingresa tshark, de forma predeterminada, no comenzará a capturar tráfico en todas las interfaces disponibles ni escuchará su interfaz de trabajo. En su lugar, capturará paquetes en la primera interfaz listada.

También puede usar el siguiente comando para verificar múltiples interfaces:

Mientras tanto, otra forma de capturar el tráfico en vivo es usar el número junto con las interfaces enumeradas.

Sin embargo, en presencia de múltiples interfaces, es difícil realizar un seguimiento de sus números listados.

Filtro de captura:

Los filtros de captura reducen significativamente el tamaño del archivo capturado. Tshark usa la sintaxis de filtro de paquetes de Berkeley -F "”, Que también es utilizado por tcpdump. Usaremos la opción "-f" para capturar solo paquetes de los puertos 80 o 53 y usaremos "-c" para mostrar solo los primeros 10 paquetes.

Guardar el tráfico capturado en un archivo:

La clave a tener en cuenta en la captura de pantalla anterior es que la información que se muestra no se guarda, por lo que es menos útil. Usamos el argumento "-w"Para guardar el tráfico de red capturado en prueba_captura.pcap en / tmp carpeta.

Mientras que, .pcap es la extensión de tipo de archivo Wireshark. Al guardar el archivo, puede revisar y analizar el tráfico en una máquina con Wireshark GUI más tarde.

Es una buena práctica guardar el archivo en /tmp ya que esta carpeta no requiere ningún privilegio de ejecución. Si lo guarda en otra carpeta, incluso si está ejecutando tshark con privilegios de root, el programa denegará el permiso por razones de seguridad.

Analicemos todas las formas posibles a través de las cuales puede:

• aplicar límites a la captura de datos, de modo que salir tshark o detener automáticamente el proceso de captura, y
• salida de sus archivos.

Parámetro de parada automática:

Puede utilizar el "-a”Para incorporar indicadores disponibles, como el tamaño del archivo de duración y los archivos. En el siguiente comando, usamos el parámetro autostop con el duración bandera para detener el proceso en 120 segundos.

Del mismo modo, si no necesita que sus archivos sean extragrandes, tamaño del archivo es una bandera perfecta para detener el proceso después de algunos límites de KB.

Más importante, archivos bandera le permite detener el proceso de captura después de una serie de archivos. Pero esto solo puede ser posible después de crear varios archivos, lo que requiere la ejecución de otro parámetro útil, captura de salida.

Capturar parámetro de salida:

Capturar salida, también conocido como argumento ringbuffer "-B", Viene con las mismas banderas que la parada automática. Sin embargo, el uso / salida es un poco diferente, yo.mi., las banderas duración y tamaño del archivo, ya que le permite cambiar o guardar paquetes en otro archivo después de alcanzar un límite de tiempo especificado en segundos o tamaño de archivo.

El siguiente comando muestra que capturamos el tráfico a través de nuestra interfaz de red enp0s3, y capturar el tráfico mediante el filtro de captura "-F"Para tcp y dns. Usamos la opción ringbuffer "-b" con un tamaño del archivo bandera para guardar cada archivo de tamaño 15 Kb, y también use el argumento autostop para especificar el número de archivos usando archivos opción tal que detiene el proceso de captura después de generar tres archivos.

He dividido mi terminal en dos pantallas para monitorear activamente la creación de tres .archivos pcap.

Ir a tu / tmp carpeta y use el siguiente comando en el segundo terminal para monitorear las actualizaciones después de cada segundo.

Ahora, no necesitas memorizar todas estas banderas. En su lugar, escriba un comando tshark -i enp0s3 -f "puerto 53 o puerto 21" -b: 15 -a en tu terminal y presiona Pestaña. La lista de todas las banderas disponibles estará disponible en su pantalla.

Leer .Archivos pcap:

Lo más importante es que puede utilizar un "-r”Parámetro para leer test_capture.pcap y canalícelo al cabeza mando.

La información que se muestra en el archivo de salida puede ser un poco abrumadora. Para evitar detalles innecesarios y obtener una mejor comprensión de cualquier dirección IP de destino específica, utilizamos el -r opción para leer el archivo capturado del paquete y usar una ip.addr filtro para redirigir la salida a un nuevo archivo con el "-w" opción. Esto nos permitirá revisar el archivo y refinar nuestro análisis aplicando más filtros.

Seleccionar campos para generar:

Los comandos anteriores generan un resumen de cada paquete que incluye varios campos de encabezado. Tshark también le permite ver campos específicos. Para especificar un campo, usamos "-Campo T"Y extraer campos según nuestra elección.

Después de la "-Campo T", Usamos la opción" -e "para imprimir los campos / filtros especificados. Aquí, podemos usar filtros de visualización de Wireshark.

Capture datos de protocolo de enlace cifrados:

Hasta ahora, hemos aprendido a guardar y leer archivos de salida usando varios parámetros y filtros. Ahora aprenderemos cómo HTTPS inicializa la sesión tshark. Los sitios web a los que se accede a través de HTTPS en lugar de HTTP garantizan una transmisión de datos segura o cifrada a través del cable. Para una transmisión segura, un cifrado de seguridad de la capa de transporte inicia un proceso de protocolo de enlace para iniciar la comunicación entre el cliente y el servidor.

Capturemos y entendamos el protocolo de enlace TLS usando tshark. Divida su terminal en dos pantallas y use un wget comando para recuperar un archivo html de https: // www.Wirehark.org.

En otra pantalla, usaremos tshark para capturar los primeros 11 paquetes usando el "-C"Parámetro. Al realizar el análisis, las marcas de tiempo son importantes para reconstruir eventos, por lo que utilizamos "-t anuncio”, De manera que tshark agrega una marca de tiempo junto con cada paquete capturado. Por último, usamos el comando host para capturar paquetes del host compartido dirección IP.

Este protocolo de enlace es bastante similar al protocolo de enlace de TCP. Tan pronto como el protocolo de enlace de tres vías de TCP concluye en los primeros tres paquetes, del cuarto al noveno paquete sigue un ritual de protocolo de enlace algo similar e incluyen cadenas TLS para garantizar la comunicación cifrada entre ambas partes.

Visualización del paquete completo:

La única desventaja de una utilidad de línea de comandos es que no tiene una GUI, ya que se vuelve muy útil cuando necesita buscar mucho tráfico de Internet, y también ofrece un Panel de paquetes que muestra todos los detalles del paquete dentro de un instante. Sin embargo, aún es posible inspeccionar el paquete y volcar toda la información del paquete que se muestra en el Panel de paquetes de la GUI.

Para inspeccionar un paquete completo, usamos un comando ping con la opción "-c" para capturar un solo paquete.

En otra ventana, use el comando tshark con una bandera adicional para mostrar todos los detalles del paquete. Puede observar varias secciones que muestran detalles de Frames, Ethernet II, IPV e ICMP.

Conclusión:

El aspecto más desafiante del análisis de paquetes es encontrar la información más relevante e ignorar los bits inútiles. Aunque las interfaces gráficas son fáciles, no pueden contribuir al análisis automatizado de paquetes de red. En este artículo, ha aprendido los parámetros tshark más útiles para capturar, mostrar, guardar y leer archivos de tráfico de red.

Tshark es una utilidad muy útil que lee y escribe los archivos de captura compatibles con Wireshark. La combinación de filtros de visualización y captura contribuye mucho al trabajar en casos de uso de nivel avanzado. Podemos aprovechar la capacidad de tshark para imprimir campos y manipular datos según nuestros requisitos para un análisis en profundidad. En otras palabras, es capaz de hacer prácticamente todo lo que hace Wireshark. Lo más importante es que es perfecto para rastrear paquetes de forma remota usando ssh, que es un tema para otro día.