tcpdump: grepable çıktı nasıl alınır?

Yalnızca bir cihazda tcpdump bulunduğum bir sorunu gidermeye çalışıyorum. Web trafiğini filtrelemek ve yalnızca belirli dizeleri içeren trafiği görüntülemek için tcpdump kullanmak istiyorum.

Aşağıdakileri yaparım:

tcpdump -nei eth0 -X | grep "something interesting"

Çıktı 16 bayt pr hattı olan bir hexview. Veriler birden çok satırda sunulduğundan, bu verileri gizleyemiyorum.

Tcpdump'ın yakalanan verileri tek bir satırda sunmasının bir yolu var mı? Bu, ilginç paketler bulmak için grep'in kullanılmasını mümkün kılacaktır.

Sizin gibi ngrepkullanamayanlar awkiçin tcpdump, paket içeriğinin çıktısını akılda kalıcı kılmak için nasıl kullanılacağı aşağıda açıklanmıştır.

İlk tcpdump -xönce, ödevi sunmak için öngörülen bazı örnek çıktılar :

$ tcpdump -xr dump.pcap 2>/dev/null
12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370
        0x0000:  4500 018e 0000 4000 fa11 7625 0a11 0e5d
        0x0010:  efc2 0109 c741 c741 017a 6f28 1120 2020
        0x0020:  3337 3030 3039 3031 3835 3635 3430 3130
...

Ve bu, çıktıyı yönlendirebileceğiniz kopyala ve yapıştır awkkomut dosyasıdır.

awk '{ if (match($0, /^[0-9]/, _)) { printf (NR == 1 ? "%s " : "\n%s "), $0; fflush() } else { sub(/^\s+0x[0-9a-z]+:\s+/, " "); gsub(" ", ""); printf "%s", $0 } } END { print ""; fflush() }'

aşağıdakileri elde etmek için, grepable çıktı

12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370 4500018e00004000fa1176250a...
12:04:59.590798 IP 10.17.14.113.51011 > 239.194.1.11.51011: UDP, length 370 4500018e00004000fa11760f...
...

Yukarıdaki komut dosyasının yorumlanmış bir sürümü aşağıdadır:

awk '
{
    # if this is a header line
    if (match($0, /^[0-9]/, _)) 
    {
        # print the header, but:

        # except for the first line,
        # we need to insert a newline,
        # as the preceding data lines
        # have been stripped of theirs

        # we also append a space to
        # separate header info from the
        # data that will get appended
        printf (NR == 1 ? "%s " : "\n%s "), $0
        # enforce line-buffering
        fflush()
    }
    # otherwise it is a data line
    else 
    {
        # remove the data address
        sub(/^\s+0x[0-9a-z]+:\s+/, " ");
        # remove all spaces
        gsub(" ", "");
        # print w/o newline
        printf "%s", $0 
    }
}
END
{
    # print final newline, as
    # the preceding data lines
    # have been stripped of theirs
    print ""
    # enforce line-buffering
    fflush()
}'

Gönderen tcpdumpman:

-A      Print each packet (minus its link level header) in ASCII.  Handy
        for capturing web pages.

-s 0Tüm paketin görüntülendiğinden emin olmak için de seçeneği kullandığınızdan emin olun.

ngrepKomuta bir göz atmak isteyebilirsiniz :

ngrep -W single -d eth0 'regex to match' 'port 80'

Nerede:

• -W single tek satır biçimlendirmesini belirtir
• regex to match yalnızca belirli dizeleri içeren paketleri dökmek anlamına gelir.
• 'port 80' yalnızca 80 numaralı bağlantı noktasından veya 80 numaralı bağlantı noktasına paketleri koklamak için kullanılan bir pcap filtresidir

Çıktınızın altıgen olmasının nedeni -Xbayraktır. Deneyin:

tcpdump -ni eth1 | grep something_interesting

Dökümlü okunabilir çıktıyı doğrudan klibe alacaksınız.

Ben awk betiği istediğimi yapmak için alamadım ve ngrep USB üzerinden bir Ethernet üzerinde çalışmaz, bu yüzden onlar gcableable tcpdump tarafından çıktıları katılmak için küçük bir C programı yazdı. Hiç de var https://gitlab.com/dargaud/TcpDumpJoin