Tek bir işlemin ağ trafiğini nasıl yakalayabilirim?

Ağ trafiğinin tek bir işlem tarafından ele alındığını incelemek istiyorum, ancak bu kadar yoğun bir sistemle (aynı anda gerçekleşen çok fazla trafik var) ilgilendiğim için basit ağ yakalamaları işe yaramayacak. Tek bir belirli işlemin ağ trafiğini yalıtmak tcpdumpveya wiresharkyakalamak için bir yol var mı ? (Kullanmak netstatyetersiz.)

Gerçekten de Wireshark filtrelerini kullanmanın bir yolu var . Ancak, doğrudan işlem adı veya PID'ye göre filtre uygulayamazsınız (çünkü bunlar ağ büyüklüğü değildir).

Öncelikle işleminiz tarafından kullanılan protokolleri ve portları bulmanız gerekir ( önceki açıklamadaki netstat komutu iyi sonuç verir).

Ardından, gelen (veya giden) bağlantı noktasını yalnızca aldığınız bağlantı noktasıyla filtrelemek için Wireshark kullanın. Bu, işleminizin gelen ve giden trafiğini izole etmelidir.

Yeni bir işlemi başlatmak ve izlemek için:

strace -f -e trace=network -s 10000 PROCESS ARGUMENTS

Bilinen bir PID ile mevcut bir işlemi izlemek için:

strace -p $PID -f -e trace=network -s 10000

• -f "yeni süreçleri takip et" içindir
• -e filtre tanımlar
• -s dizi sınırını 32’den daha büyük
• -p eklemek için işlem kimliğini alır

Bu iş parçacığının biraz eski olduğunu biliyorum ama bunun bazılarınıza yardımcı olabileceğini düşünüyorum:

Çekirdeğiniz izin veriyorsa, tek bir işlemin ağ trafiğini yakalamak, bahsedilen işlemi yalıtılmış bir ağ ad alanında çalıştırmak ve bahsedilen ad alanında wireshark (veya diğer standart ağ araçları) kullanarak çok kolay bir şekilde yapılır.

Kurulum biraz karmaşık görünebilir, ancak bir kez anladığınızda ve ona aşina olduğunuzda işinizi çok kolaylaştıracak.

Bunu yapmak için:

• bir test ağı ad alanı oluşturun:

  ip netns add test
  

• bir çift sanal ağ arayüzü oluşturun (veth-a ve veth-b):

  ip link add veth-a type veth peer name veth-b
  

• veth-a arayüzünün aktif ad alanını değiştirin:

  ip link set veth-a netns test
  

• sanal arabirimlerin IP adreslerini yapılandırın:

  ip netns exec test ifconfig veth-a up 192.168.163.1 netmask 255.255.255.0
  ifconfig veth-b up 192.168.163.254 netmask 255.255.255.0
  

• sınama ad alanındaki yönlendirmeyi yapılandırın:

  ip netns exec test route add default gw 192.168.163.254 dev veth-a
  

• ip_forward'ı etkinleştirin ve oluşturduğunuz ad alanından gelen trafiği iletmek için bir NAT kuralı oluşturun (ağ arayüzünü ve SNAT ip adresini ayarlamanız gerekir):

  echo 1 > /proc/sys/net/ipv4/ip_forward
  iptables -t nat -A POSTROUTING -s 192.168.163.0/24 -o <your internet interface, e.g. eth0> -j SNAT --to-source <your ip address>
  

  (İsterseniz MASQUERADE kuralını da kullanabilirsiniz)

• Son olarak, analiz etmek istediğiniz işlemi yeni ad alanında çalıştırabilir ve wireshark'ı da çalıştırabilirsiniz:

  ip netns exec test thebinarytotest
  ip netns exec test wireshark
  

  Veth-a arayüzünü izlemeniz gerekecek.

netstat -taucp | grep <pid or process name>

Bu, kullanılan portu içeren bir uygulamanın yaptığı bağlantıları gösterecektir.

Sadece bir fikir: Başvurunuzu farklı bir IP adresine bağlamak mümkün müdür? Öyleyse, olağan şüphelileri ( tcpdump vb.) Kullanabilirsiniz .

Başka bir IP adresine bağlanamayan uygulamalar için araçlar:

http://freshmeat.net/projects/fixsrcip

fixsrcipgiden TCP ve UDP istemci soketlerini ( IPv4 ) çok bağlantılı ana bilgisayarlardaki belirli kaynak IP adreslerine bağlamak için kullanılan bir araçtır

http://freshmeat.net/projects/force_bind

force_bindbelirli bir IP ve / veya bağlantı noktasında bağlamaya zorlamanıza izin verir. IPv4 ve IPv6 ile birlikte çalışır .

Benzer bir konuya geldim ve bu cevaba dayanarak ioerror tarafından NFLOG'u burada açıklandığı şekilde kullanarak çözebildim :

# iptables -A OUTPUT -m owner --uid-owner 1000 -j CONNMARK --set-mark 1
# iptables -A INPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# iptables -A OUTPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# dumpcap -i nflog:30 -w uid-1000.pcap

Ardından, söz konusu işlemi başka bir şey yapmayan bir kullanıcı hesabından çalıştırabilirsiniz - ve işte, sadece tek bir işlemden gelen trafiği izole ettiniz ve yakaladınız.

Sadece kimseye yardım etmesi durumunda mesaj atmak istedim.

Yukarıdaki büyük cevapta felahdab tarafından açıklananları yapan bir C uygulaması yazdım!

Buraya bakın: nsntrace github repo

Bu kirli bir kesmek, ancak belirli bir UID için iptables olan bir yönlendirme veya günlük hedefi öneririm. Örneğin:

iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner $USER -m tcp -j LOG 
iptables -t nat -A OUTPUT -p udp -m owner --uid-owner $USER -m udp -j LOG 

Ayrıca bu günlük hedefi için '--log-tcp-dizisi', '--log-tcp-options', '--log-ipc-options', '--log-uid' gibi bir şeye bakmaya değer olabilir. . Her ne kadar bunun sadece tonlarca veri içeren bir pcap işleminde size yardımcı olacağından şüpheleniyorum.

Paketleri işaretlemek istiyorsanız NFLOG hedefi yararlı olabilir ve ardından belirli etiketli paketler bir netlink soketi üzerinden seçtiğiniz bir işleme gönderilir. Bunun wireshark ve belirli bir kullanıcı olarak çalışan belirli bir uygulama ile bir şey hack için yararlı olup olmadığını merak ediyorum?

Tracedump'ı deneyebilirsiniz - http://mutrics.iitis.pl/tracedump

İstediğinizi tam olarak yapar, bir işlem kimliği veya çalıştırması gereken bir program verebilirsiniz.

İlgilendiğiniz işlemi strace altında gerçekleştirmeyi deneyin :

strace ping www.askubuntu.com

İşleminizin ne yaptığı hakkında size çok detaylı bilgiler verecektir. Bir işlem istediği herhangi bir portu herhangi bir yerde açabildiği için, önceden tanımlanmış bir filtre kullanarak bir şeyi kaçırabilirsiniz.

Başka bir yaklaşım, soyulmuş bir sanal makineyi veya ağınızda bir test makinesini kullanmak ve işleminizi bunun üzerinde izole ederek yerleştirmektir. O zaman bu makineden hepsini yakalamak için sadece Wireshark'ı kullanabilirsiniz . Yakaladığınız trafiğin alakalı olacağından oldukça emin olacaksınız.

Bina IOError tarafından cevap Kullanabileceğin şüpheli iptables --uid-ownertrafik üzerindeki işaretleyici ayarlamak için, ve sonra o işaretleyici ile trafiği yakalamak için wireshark sorabilirsiniz. Bir DSCP (diferansiyel servis işaretçisi), akış kimliği veya bir qos işaretçisi kullanabilirsiniz.

Ya da gerçekten bu paketleri farklı bir arayüze göndermek ve ardından sadece bu arayüzü yakalamak için kullanabilirsiniz.

wireshark bug # 1184 bu özelliktir. Henüz uygulanmadı. Ask.wireshark.org adresindeki
kullanıcı görevlisinden kopyalandı

belki iptables ve ulog çalışabilir? Tam bir tarifim yok, ancak iptables işlemlerinin eşleşebileceğini düşünüyorum , eşleştikten sonra ulog kullanabilirsiniz.

Netstat yürütme ve bir metin dosyasına günlüğe kaydetme yoluyla döngü için bir kabuk komut dosyası oluşturabilirsiniz düşünüyorum. Gibi bir şey (çok kaba adımlar):

echo "press q to quit"
while [ <q is not pressed>]
do
    `netstat -taucp | grep <pid or process name> 1>>logfile.txt`
done

Ben programcı değilim, bu yüzden bunu düzeltemiyorum. Fakat buradaki biri kaldığım yerden başlayıp sizin için çalışan bir senaryo oluşturabilir.