Een gids voor de Wireshark-opdrachtregelinterface tshark

In de eerdere tutorials voor Wireshark hebben we fundamentele tot geavanceerde onderwerpen behandeld. In dit artikel zullen we een opdrachtregelinterface voor Wireshark begrijpen en behandelen, i.e., thaai. De terminalversie van Wireshark ondersteunt vergelijkbare opties en is erg handig wanneer een grafische gebruikersinterface (GUI) niet beschikbaar is.

Hoewel een grafische gebruikersinterface in theorie een stuk eenvoudiger te gebruiken is, ondersteunen niet alle omgevingen dit, vooral serveromgevingen met alleen opdrachtregelopties. Daarom zult u op een bepaald moment als netwerkbeheerder of beveiligingsingenieur een opdrachtregelinterface moeten gebruiken. Belangrijk om op te merken dat tshark soms wordt gebruikt als vervanging voor tcpdump. Hoewel beide tools bijna gelijkwaardig zijn in de functionaliteit voor het vastleggen van verkeer, is tshark een stuk krachtiger.

Het beste wat u kunt doen, is tshark gebruiken om een poort in uw server in te stellen die informatie naar uw systeem doorstuurt, zodat u verkeer voor analyse kunt vastleggen met behulp van een GUI. Voorlopig zullen we echter leren hoe het werkt, wat de kenmerken zijn en hoe u het zo goed mogelijk kunt gebruiken.

Typ de volgende opdracht om tshark in Ubuntu/Debian te installeren met apt-get:

[e-mail beveiligd]:~$ sudo apt-get install tshark -y

Typ nu tshark -help om alle mogelijke argumenten op te sommen met hun respectieve vlaggen die we kunnen doorgeven aan een commando thaai.

[e-mail beveiligd]:~$ tshark --help | hoofd -20
Tshark (Wireshark) 2.6.10 (Git v2.6.10 verpakt als 2.6.10-1~ubuntu18.04.0)
Netwerkverkeer dumpen en analyseren.
Zie https://www.draadhaai.org voor meer informatie.
Gebruik: tshark [opties]…
Opname-interface:
-ik naam of idx van interface (def: eerste niet-loopback)
-f pakketfilter in libpcap-filtersyntaxis
-zo pakket snapshot lengte (def: geschikt maximum)
-p niet vastleggen in promiscue modus
-Ik leg vast in monitormodus, indien beschikbaar
-B grootte van kernelbuffer (def: 2MB)
-ja type linklaag (def: eerst van toepassing)
--tijdstempeltype tijdstempelmethode voor interface
-D print lijst met interfaces en sluit af
-L print lijst met link-layer types van iface en exit
--lijst-tijd-stempel-types print lijst met tijdstempel-types voor iface en exit
Opnamestopcondities:

U ziet een lijst met alle beschikbare opties. In dit artikel zullen we de meeste argumenten in detail bespreken, en u zult de kracht van deze terminalgeoriënteerde Wireshark-versie begrijpen.

Netwerkinterface selecteren:

Om live-opname en analyse in dit hulpprogramma uit te voeren, moeten we eerst onze werkinterface uitzoeken. Type tshark -D en tshark zal alle beschikbare interfaces weergeven.

[e-mail beveiligd]:~$ tshark -D
1. enp0s3
2. ieder
3. lo (terugloop)
4. nflog
5. nfwachtrij
6. usbmon1
7. ciscodump (Cisco-opname op afstand)
8. randpkt (willekeurige pakketgenerator)
9. sshdump (SSH-opname op afstand)
10. udpdump (UDP-luisteraar op afstand vastleggen)

Merk op dat niet alle vermelde interfaces zullen werken. Type ifconfig om werkende interfaces op uw systeem te vinden. In mijn geval is het enp0s3.

Verkeer vastleggen:

Om het live-opnameproces te starten, gebruiken we de thaai commando met de “-ik” optie om het opnameproces te starten vanuit de werkinterface.

[e-mail beveiligd]:~$ tshark -i enp0s3

Gebruik Ctrl+C om de live-opname te stoppen. In de bovenstaande opdracht heb ik het vastgelegde verkeer doorgesluisd naar de Linux-opdracht hoofd om de eerste paar vastgelegde pakketten weer te geven. Of u kunt ook de “-c ” syntaxis om de “nt” aantal pakketten.

[e-mail beveiligd]:~$ tshark -i enp0s3 -c 5

Als je alleen binnenkomt thaai, standaard zal het niet beginnen met het vastleggen van verkeer op alle beschikbare interfaces en zal het ook niet luisteren naar uw werkende interface. In plaats daarvan zal het pakketten vastleggen op de eerste vermelde interface.

U kunt ook de volgende opdracht gebruiken om meerdere interfaces te controleren:

[email protected]:~$ tshark -i enp0s3 -i usbmon1 -i lo

In de tussentijd is een andere manier om live verkeer vast te leggen het gebruik van het nummer naast de vermelde interfaces.

[e-mail beveiligd]:~$ tshark -i interface_number

In de aanwezigheid van meerdere interfaces is het echter moeilijk om hun vermelde nummers bij te houden.

Opnamefilter:

Opnamefilters verkleinen de grootte van het vastgelegde bestand aanzienlijk. Tshark gebruikt Berkeley Packet Filter-syntaxis -f “”, die ook wordt gebruikt door tcpdump. We zullen de optie "-f" gebruiken om alleen pakketten van poort 80 of 53 vast te leggen en "-c" gebruiken om alleen de eerste 10 pakketten weer te geven.

[email protected]:~$ tshark -i enp0s3 -f "poort 80 of poort 53" -c 10

Opgenomen verkeer opslaan in een bestand:

Het belangrijkste om op te merken in de bovenstaande schermafbeelding is dat de weergegeven informatie niet wordt opgeslagen, en daarom minder nuttig is. We gebruiken het argument “-met wieom het vastgelegde netwerkverkeer op te slaan in test_capture.pcap in /tmp map.

[email protected]:~$ tshark -i enp0s3 -w /tmp/test_capture.pcap

Terwijl, .pcap is de bestandsextensie van Wireshark type. Door het bestand op te slaan, kunt u het verkeer op een machine later met Wireshark GUI bekijken en analyseren.

Het is een goede gewoonte om het bestand op te slaan in /tmp aangezien deze map geen uitvoeringsrechten vereist. Als je het opslaat in een andere map, zelfs als je tshark draait met root-rechten, zal het programma om veiligheidsredenen de toestemming weigeren.

Laten we ingaan op alle mogelijke manieren waarop u:

limieten toepassen op het vastleggen van gegevens, zodat exit thaai of het automatisch stoppen van het opnameproces, en
uitvoer uw bestanden.

Autostop-parameter:

U kunt de "-een"parameter om beschikbare vlaggen op te nemen, zoals duur bestandsgrootte en bestanden. In de volgende opdracht gebruiken we de parameter autostop met de with looptijd vlag om het proces binnen 120 seconden te stoppen.

[email protected]:~$ tshark -i enp0s3 -a duur:120 -w /tmp/test_capture.pcap

Evenzo, als u niet wilt dat uw bestanden extra groot zijn, bestandsgrootte is een perfecte vlag om het proces te stoppen na enkele KB-limieten some.

[e-mail beveiligd]:~$ tshark -i enp0s3 -a bestandsgrootte:50 -w /tmp/test_capture.pcap

Het belangrijkste is:, bestanden vlag stelt u in staat het opnameproces na een aantal bestanden te stoppen. Maar dit kan alleen mogelijk zijn na het maken van meerdere bestanden, waarvoor een andere nuttige parameter moet worden uitgevoerd, uitvoer vastleggen.

Uitvoerparameter vastleggen:

Uitvoer vastleggen, ook wel ringbuffer-argument genoemd "-b", komt samen met dezelfde vlaggen als autostop. Het gebruik/output is echter een beetje anders, i.e., de vlaggen looptijd en bestandsgrootte, omdat het je in staat stelt om pakketten naar een ander bestand te schakelen of op te slaan nadat een bepaalde tijdslimiet in seconden of bestandsgrootte is bereikt.

Het onderstaande commando laat zien dat we het verkeer via onze netwerkinterface vastleggen enp0s3, en leg verkeer vast met het opnamefilter "-f” voor tcp en dns. We gebruiken ringbuffer optie “-b” met a bestandsgrootte vlag om elk bestand van grootte op te slaan 15 Kb, en gebruik ook het autostop-argument om het aantal bestanden op te geven met bestanden optie zodat het het vastlegproces stopt na het genereren van drie bestanden.

[email protected]:~$ tshark -i enp0s3 -f "poort 53 of poort 21" -b bestandsgrootte:15 -a bestanden:2 -w /tmp/test_capture.pcap

Ik heb mijn terminal in twee schermen gesplitst om actief toezicht te houden op het maken van drie .pcap-bestanden.

Ga naar je /tmp map en gebruik de volgende opdracht in de tweede terminal om updates na elke seconde te controleren:.

[e-mail beveiligd]:~$ bekijk -n 1 "ls -lt"

Nu hoeft u niet al deze vlaggen te onthouden. Typ in plaats daarvan een opdracht tshark -i enp0s3 -f "poort 53 of poort 21" -b bestandsgrootte:15 -a in uw terminal en druk op Tab. De lijst met alle beschikbare vlaggen is beschikbaar op uw scherm.

[email protected]:~$ tshark -i enp0s3 -f "poort 53 of poort 21" -b bestandsgrootte:15 -a
duur: bestanden: bestandsgrootte:
[email protected]:~$ tshark -i enp0s3 -f "poort 53 of poort 21" -b bestandsgrootte:15 -a

Lezing .pcap-bestanden:

Het belangrijkste is dat u een "-r” parameter om de test_capture te lezen.pcap-bestanden en pijp het naar de hoofd opdracht.

[e-mail beveiligd]:~$ tshark -r /tmp/test_capture.pcap | hoofd

De informatie die wordt weergegeven in het uitvoerbestand kan een beetje overweldigend zijn. Om onnodige details te vermijden en een beter begrip te krijgen van een specifiek bestemmings-IP-adres, gebruiken we de -r optie om het in het pakket vastgelegde bestand te lezen en een ik p.adres filter om de uitvoer om te leiden naar een nieuw bestand met de "-met wie" keuze. Hierdoor kunnen we het bestand bekijken en onze analyse verfijnen door verdere filters toe te passen.

[e-mail beveiligd]:~$ tshark -r /tmp/test_capture.pcap -w /tmp/omgeleid_bestand.pcap ip.dst==216.58.209.142
[email protected]:~$ tshark -r /tmp/redirected_file.pcap|hoofd
1 0.000000000 10.0.2.15 → 216.58.209.142 TLSv1.2 370 Toepassingsgegevens
2 0.000168147 10.0.2.15 → 216.58.209.142 TLSv1.2 669 Toepassingsgegevens
3 0.011336222 10.0.2.15 → 216.58.209.142 TLSv1.2 5786 Toepassingsgegevens
4 0.016413181 10.0.2.15 → 216.58.209.142 TLSv1.2 1093 Toepassingsgegevens
5 0.016571741 10.0.2.15 → 216.58.209.142 TLSv1.2 403 Toepassingsgegevens
6 0.016658088 10.0.2.15 → 216.58.209.142 TCP 7354 [TCP-segment van een opnieuw samengestelde PDU]
7 0.016738530 10.0.2.15 → 216.58.209.142 TLSv1.2 948 Toepassingsgegevens
8 0.023006863 10.0.2.15 → 216.58.209.142 TLSv1.2 233 Applicatiegegevens
9 0.023152548 10.0.2.15 → 216.58.209.142 TLSv1.2 669 Toepassingsgegevens
10 0.023324835 10.0.2.15 → 216.58.209.142 TLSv1.2 3582 Toepassingsgegevens

Velden selecteren om uit te voeren:

De bovenstaande commando's geven een samenvatting van elk pakket dat verschillende kopvelden bevat. Met Tshark kunt u ook gespecificeerde velden bekijken. Om een veld te specificeren, gebruiken we “-T-veld' en extraheer velden volgens onze keuze.

Na de "-T-veld” schakelaar gebruiken we de “-e” optie om de gespecificeerde velden/filters af te drukken. Hier kunnen we Wireshark-displayfilters gebruiken.

[e-mail beveiligd]:~$ tshark -r /tmp/test_capture.pcap -T velden -e frame.nummer -e ip.src -e ip.dst | hoofd
1 10.0.2.15 216.58.209.142
2 10.0.2.15 216.58.209.142
3 216.58.209.142 10.0.2.15
4 216.58.209.142 10.0.2.15
5 10.0.2.15 216.58.209.142
6 216.58.209.142 10.0.2.15
7 216.58.209.142 10.0.2.15
8 216.58.209.142 10.0.2.15
9 216.58.209.142 10.0.2.15
10 10.0.2.15 115.186.188.3

Leg versleutelde handshake-gegevens vast:

Tot nu toe hebben we geleerd om uitvoerbestanden op te slaan en te lezen met behulp van verschillende parameters en filters. We zullen nu leren hoe HTTPS sessie tshark initialiseert. De websites die toegankelijk zijn via HTTPS in plaats van HTTP zorgen voor een veilige of versleutelde gegevensoverdracht over de draad. Voor veilige verzending start een Transport Layer Security-codering een handshake-proces om de communicatie tussen de client en de server te starten.

Laten we de TLS-handshake vastleggen en begrijpen met tshark. Splits uw terminal in twee schermen en gebruik a wget commando om een html-bestand op te halen van https://www.draadhaai.org.

[e-mail beveiligd]:~$ wget https://www.draadhaai.org
--2021-01-09 18:45:14-- https://www.draadhaai.org/
Verbinding maken met www.draadhaai.org (www.draadhaai.org)|104.26.10.240|:443… aangesloten.
HTTP-verzoek verzonden, in afwachting van antwoord... 206 Gedeeltelijke inhoud
Lengte: 46892 (46K), 33272 (32K) resterend [text/html]
Opslaan in: 'index'.html'
inhoudsopgave.html 100%[++++++++++++++================================ ==>] 45.79K 154KB/s in 0.2s
2021-01-09 18:43:27 (154 KB/s) - 'index'.html' opgeslagen [46892/46892]

In een ander scherm zullen we tshark gebruiken om de eerste 11 pakketten vast te leggen met behulp van de "-c" parameter. Tijdens het uitvoeren van analyses zijn tijdstempels belangrijk om gebeurtenissen te reconstrueren, daarom gebruiken we "-t ad”, op een manier dat tshark een tijdstempel toevoegt naast elk vastgelegd pakket. Ten slotte gebruiken we de host-opdracht om pakketten van de gedeelde host vast te leggen IP adres.

Deze handshake lijkt veel op de TCP-handshake. Zodra de TCP-drierichtingshandshake eindigt in de eerste drie pakketten, volgen de vierde tot negende pakketten een enigszins vergelijkbaar handshake-ritueel en bevatten TLS-strings om gecodeerde communicatie tussen beide partijen te garanderen.

[e-mail beveiligd]:~$ tshark -i enp0s3 -c 11 -t advertentiehost 104.26.10.240
Vastleggen op 'enp0s3'
1 2021-01-09 18:45:14.174524575 10.0.2.15 → 104.26.10.240 TCP 74 48512 → 443 [SYN] Seq=0 Win=64240 Len=0 MSS=1460 SACK_PERM=1 TSval=2488996311 TSecr=0 WS=128
2 2021-01-09 18:45:14.279972105 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [SYN, ACK] Seq=0 Ack=1 Win=65535 Len=0 MSS=1460
3 2021-01-09 18:45:14.280020681 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] Seq=1 Ack=1 Win=64240 Len=0
4 2021-01-09 18:45:14.280593287 10.0.2.15 → 104.26.10.240 TLSv1 373 Client Hallo
5 2021-01-09 18:45:14.281007512 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [ACK] Seq=1 Ack=320 Win=65535 Len=0
6 2021-01-09 18:45:14.390272461 104.26.10.240 → 10.0.2.15 TLSv1.3 1466 Server Hallo, coderingsspecificaties wijzigen
7 2021-01-09 18:45:14.390303914 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] Seq=320 Ack=1413 Win=63540 Len=0
8 2021-01-09 18:45:14.392680614 104.26.10.240 → 10.0.2.15 TLSv1.3 1160 Toepassingsgegevens
9 2021-01-09 18:45:14.392703439 10.0.2.15 → 104.26.10.240 TCP 54 48512 → 443 [ACK] Seq=320 Ack=2519 Win=63540 Len=0
10 2021-01-09 18:45:14.394218934 10.0.2.15 → 104.26.10.240 TLSv1.3 134 Versleutelingsspecificatie, toepassingsgegevens wijzigen
11 2021-01-09 18:45:14.394614735 104.26.10.240 → 10.0.2.15 TCP 60 443 → 48512 [ACK] Seq=2519 Ack=400 Win=65535 Len=0
11 pakketten gevangen

Volledig pakket bekijken:

Het enige nadeel van een opdrachtregelprogramma is dat het geen GUI heeft, omdat het erg handig wordt als je veel internetverkeer moet doorzoeken, en het biedt ook een pakketpaneel dat alle pakketdetails binnen een instant. Het is echter nog steeds mogelijk om het pakket te inspecteren en de volledige pakketinformatie te dumpen die wordt weergegeven in het GUI-pakketpaneel.

Om een heel pakket te inspecteren, gebruiken we een ping-opdracht met de optie "-c" om een enkel pakket vast te leggen.

[e-mail beveiligd]:~$ ping -c 1 104.26.10.240
PING 104.26.10.240 (104.26.10.240) 56(84) bytes aan gegevens.
64 bytes van 104.26.10.240: icmp_seq=1 ttl=55 tijd=105 ms
--- 104.26.10.240 ping-statistieken ---
1 pakketten verzonden, 1 ontvangen, 0% pakketverlies, tijd 0ms
rtt min/gem/max/mdev = 105.095/105.095/105.095/0.000 ms

Gebruik in een ander venster de opdracht tshark met een extra vlag om de volledige pakketdetails weer te geven. U kunt verschillende secties zien, met details over Frames, Ethernet II, IPV en ICMP.

[e-mail beveiligd]:~$ tshark -i enp0s3 -c 1 -V host 104.26.10.240
Frame 1: 98 bytes op draad (784 bits), 98 bytes vastgelegd (784 bits) op interface 0
Interface-ID: 0 (enp0s3)
Interfacenaam: enp0s3
Inkapselingstype: Ethernet (1)
Aankomsttijd: 9 januari 2021 21:23:39.167581606 PKT
[Tijdverschuiving voor dit pakket: 0.000000000 seconden]
Tijdperk: 1610209419.167581606 seconden
[Tijddelta van vorig vastgelegd frame: 0.000000000 seconden]
[Tijddelta van vorig weergegeven frame: 0.000000000 seconden]
[Tijd sinds referentie of eerste frame: 0.000000000 seconden]
Framenummer: 1
Framelengte: 98 bytes (784 bits)
Opnamelengte: 98 bytes (784 bits)
[Frame is gemarkeerd: False]
[Frame wordt genegeerd: False]
[Protocollen in frame: eth:ethertype:ip:icmp:data]
Ethernet II, Src: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6), Dst: RealtekU_12:35:02 (52:54:00:12:35:02)
Bestemming: RealtekU_12:35:02 (52:54:00:12:35:02)
Adres: RealtekU_12:35:02 (52:54:00:12:35:02)
… 1… = LG bit: Lokaal beheerd adres (dit is NIET de fabrieksinstelling)
… 0… = IG-bit: individueel adres (unicast)
Bron: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6)
Adres: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6)
Interface-ID: 0 (enp0s3)
Interfacenaam: enp0s3
Inkapselingstype: Ethernet (1)
Aankomsttijd: 9 januari 2021 21:23:39.167581606 PKT
[Tijdverschuiving voor dit pakket: 0.000000000 seconden]
Tijdperk: 1610209419.167581606 seconden
[Tijddelta van vorig vastgelegd frame: 0.000000000 seconden]
[Tijddelta van vorig weergegeven frame: 0.000000000 seconden]
[Tijd sinds referentie of eerste frame: 0.000000000 seconden]
Framenummer: 1
Framelengte: 98 bytes (784 bits)
Opnamelengte: 98 bytes (784 bits)
[Frame is gemarkeerd: False]
[Frame wordt genegeerd: False]
[Protocollen in frame: eth:ethertype:ip:icmp:data]
Ethernet II, Src: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6), Dst: RealtekU_12:35:02 (52:54:00:12:35:02)
Bestemming: RealtekU_12:35:02 (52:54:00:12:35:02)
Adres: RealtekU_12:35:02 (52:54:00:12:35:02)
… 1… = LG bit: Lokaal beheerd adres (dit is NIET de fabrieksinstelling)
… 0… = IG-bit: individueel adres (unicast)
Bron: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6)
Adres: PcsCompu_17:fc:a6 (08:00:27:17:fc:a6)
… 0… = LG bit: Wereldwijd uniek adres (fabrieksinstelling)
… 0… = IG-bit: individueel adres (unicast)
Type: IPv4 (0x0800)
Internet Protocol versie 4, Src: 10.0.2.15, Dst: 104.26.10.240
0100… = Versie: 4
… 0101 = Koplengte: 20 bytes (5)
Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
0000 00… = Gedifferentieerde Diensten Codepunt: Standaard (0)
… 00 = Expliciete congestiemelding: niet ECN-geschikt transport (0)
Totale lengte: 84
Identificatie: 0xcc96 (52374)
Vlaggen: 0x4000, Niet fragmenteren
0… = Gereserveerde bit: Niet ingesteld
.1… = Niet fragmenteren: Instellen
… 0… = Meer fragmenten: Niet ingesteld
… 0 0000 0000 0000 = Fragmentverschuiving: 0
Tijd om te leven: 64
Protocol: ICMP (1)
Header checksum: 0xeef9 [validatie uitgeschakeld]
[Header checksum-status: niet geverifieerd]
Bron: 10.0.2.15
Bestemming: 104.26.10.240
Internet Control Message Protocol
Type: 8 (Echo (ping) verzoek)
Code: 0
Controlesom: 0x0cb7 [correct]
[Checksum-status: goed]
Identificatiecode (BE): 5038 (0x13ae)
Identificatiecode (LE): 44563 (0xae13)
Volgnummer (BE): 1 (0x0001)
Volgnummer (LE): 256 (0x0100)
Tijdstempel van icmp-gegevens: 9 jan. 2021 21:23:39.000000000 PKT
[Tijdstempel van icmp-gegevens (relatief): 0.167581606 seconden]
Gegevens (48 bytes)
0000 91 8e 02 00 00 00 00 00 10 11 12 13 14 15 16 17…
0010 18 19 1a 1b 1c 1d 1e 1f 20 21 22 23 24 25 26 27… !"#$%&'
0020 28 29 2a 2b 2c 2d 2e 2f 30 31 32 33 34 35 36 37 ()*+,-./01234567
Gegevens: 918e0200000000010111213141516171891a1b1c1d1e1f…
[Lengte: 48]

Conclusie:

Het meest uitdagende aspect van pakketanalyse is het vinden van de meest relevante informatie en het negeren van de nutteloze bits. Hoewel grafische interfaces eenvoudig zijn, kunnen ze niet bijdragen aan geautomatiseerde netwerkpakketanalyse. In dit artikel heb je de meest bruikbare tshark-parameters geleerd voor het vastleggen, weergeven, opslaan en lezen van netwerkverkeersbestanden.

Tshark is een erg handig hulpprogramma dat de opnamebestanden leest en schrijft die worden ondersteund door Wireshark. De combinatie van weergave- en opnamefilters draagt veel bij bij het werken aan gebruiksscenario's op geavanceerd niveau. We kunnen gebruikmaken van de mogelijkheid van tshark om velden af te drukken en gegevens te manipuleren volgens onze vereisten voor diepgaande analyse. Met andere woorden, het is in staat om vrijwel alles te doen wat Wireshark doet. Het belangrijkste is dat het perfect is voor het op afstand snuiven van pakketten met ssh, wat een onderwerp is voor een andere dag.