Krystian [itros] Kulik

Tcpdump jest jednym z popularniejszych analizatorów sieciowych (potocznie nazywanych snifferami) pracujących na platformie uniksowej. Głównym zadaniem tcpdumpa jest nasłuchiwanie ruchu panującego w sieci. Można wykorzystać ten program w dwóch głównych celach takich jak: analiza pakietów, które przepływają przez siec, oraz w celu przechwytywania informacji wysyłanych przez innych użytkowników. Tcpdumpa można ściągnąć z jego oficjalnej witryny www.tcpdump.org. Do jego działania wymagana jest biblioteka libpcap, którą również możemy ściągnąć z wymienionej wcześniej strony. Ważną informacją jest to, że aby móc korzystać z tego programu należy posiadać w danym systemie konto administratora (root). To tyle tytułem wstępu, teraz zajmiemy się analizą poszczególnych funkcji oraz możliwości tego programu.

Zanim przyjrzymy się dokładniej możliwością jakie oferuje nam tcpdump, należy wspomnieć o metodach zapisywania logów z tego programu, ponieważ przeglądanie ich na bieżąco nie jest wygodne oraz nie pozwana na późniejszą, dokładniejszą analizę pakietów.

Zapisanie logów do pliku poprzez tcpdump wywołujemy w następujący sposób:

Parametr “-w” (od ang. “write”) włącza opcję logowania danych do pliku. Jednak format tych logów, uniemożliwia nam przeglądanie ich w zwykłym edytorze tekstowym, tak wiec logicznie myśląc aby przeglądać logi należy użyć tego samego programu, ale z parametrem “r” (od ang. “read”). Polecenie będzie wyglądać następująco:

Istnieje jeszcze druga metoda zapisania logów z tcpdump różniąca się od pierwszej tym, ze dzięki niej otrzymujemy plik tekstowy, zdatny do analizy w dowolnym edytorze tekstu.

Jak łatwo się domyślić, wystarczy, że przekierujemy wyjście polecenia do pliku:

lub

Pierwsza z wyżej wymienionych metod (ta ze znakiem “>”) utworzy plik do którego zapisywane będą logi, lub w przypadku, gdy taki plik już istnieje, jego zawartość zostanie wyzerowana. Drugie z poleceń zapisze nasze logi do danego pliku, dopisując dane na jego końcu, nie kasując poprzednio zapisanych w nim danych.

To tyle na temat zapisywania logów, teraz przejdziemy do opisu opcji, jakie posiada tcpdump. Podstawowym parametrem z jakim możemy wywołać program, jest “-i” (od ang. interface) a następnie po nim podajemy nazwę interfejsu karty na którym ma nasłuchiwać, przykładowo może to być eth0 (pierwsza karta sieciowa). Nasz program z takim parametrem będzie nasłuchiwać wszystkie pakiety, które przechodzą przez ten interfejs. Kompletne wywołanie będzie wyglądać następująco:

Należy wspomnieć także o parametrze “-n”, którego zastosowanie jest bardzo pomocne, ponieważ dzięki niemu nie tracimy czasu na konwertowanie adresów IP na nazwy hostów.

Kolejnym ważnym parametrem, z którym wywołujemy program to “-v”. Pozwala on na dokładniejszą analizę pakietów. Jeśli chcemy uzyskać coraz dokładniejszą analizę, możemy zwiększać parametr pisząc “-vv” lub “-vvv”. Przykładowo będzie to wyglądało następująco:

Jeśli można wywołać program z dokładną analiza pakietu, to także można spowodować, by wyświetlił się nam, coraz dokładniejszy czas pakietu. Służy do tego parametr “-t” tak jak w poprzednim przykładzie, możemy stosować ten parametr w postaci “-tt”, “-ttt” oraz “-tttt” co pozwoli nam na coraz dokładniejsze badanie czasu.

Zajmijmy się teraz wnętrzem pakietu, które można zobaczyć w postacie heksadecymalnej (szesnastkowej) używając parametru “x” przykładowo:

przykładowa zawartość pakietu może wyglądać następująco:

Analogicznie, aby zobaczyć pakiet w postaci ASCII należy użyć parametry “-X” (duże X)

Tcpdump może oprócz nasłuchiwania całego interfejsu sieciowego, przejść na tryb nasłuchiwania poszczególnych portów, protokołów albo ruchu pomiędzy danymi komputerami w sieci itd. Zacznijmy od pierwszej metody. Aby ustawić tcpdump na nasłuchiwanie konkretnego portu należy go uruchomić w następujący sposób:

(zamiast portu 80 możemy wpisać dowolny inny port)

Kolejna rzeczą, którą wymieniłem jest nasłuchiwanie konkretnego protokółu sieciowego:

(zamiast protokółu icmp możemy wpisać dowolny inny)

Ostania czynnością jest ruch pomiędzy dwoma stacjami:

Wyżej wymieniony przykład nasłuchuje cały ruch pomiędzy komputerem o numerze IP: 10.0.1.247, a komputerem o adresie 10.0.1.248

Podam jeszcze jeden przykład metody nasłuchiwania sieci za pomocą tcpdump, a później przejdziemy już do analizowania logów. Poniższy przykład pokazuje jak możemy podsłuchiwać dany port na zdefiniowanym komputerze w sieci:

To chyba tyle na temat najczęściej stosowanych parametrów z jakimi można wywołać ten program. Jeśli chcesz się dokładnie zapoznać ze wszystkimi parametrami jakie posiada tcpdump, wpisz w konsoli “man tcpdump”.

Przechodzimy teraz do analizy logów. Omówienie tutaj dwa przykłady logów. Pierwszym będzie log z użycia programu ping, który korzysta z protokołu diagnostycznego ICMP, drugim zaś log z komunikatora internetowego.

Log1:

Interpretacja:

13:29:50.686670 – czas podany w postaci HH:MM:SS:MS
10.0.1.247 – nadawca
212.77.100.101 – odbiorca
> – kierunek w którym płyną pakiety
icmp – protokół z którego korzystamy
request – zapytanie
replay – odpowiedz na zapytanie.

Log2:

Interpretacja:

13:37:46.832958 – czas podany w postaci HH:MM:SS:MS
tos – typ usługi
ttl (time to live) – potęga cyfry 2 która określa długość zycia pakietu
id – jest to nic innego jak ID pakietu
[DF] – flaga don’t framgent (nie fragmentuj)
length: 77 – wielkość pakietu podana w bajtach maksymalna wielkość pakietu w sieciach ethernet wynosi 1500 bajtów
> – kierunek przepływu pakietów
10.0.1.247.43533 – adres nadawcy wraz z portem na którym wysyła
217.17.41.85.8074 – adres odbiorcy wraz z portem na którym odbiera pakiet
883011855:883011880 – numer sekwencyjny
ack – potwierdzenie następnego numeru pakietu danych
win – (window size) wielkość okna podana w bajtach
nop – jest to pusta opcja
timestamp – jak sama nazwa wskazuje, jest to stempel czasu dla pakietu

Pod nagłówkiem widzimy zawartość przesyłanego pakietu w postaci heksadecymalnej.

Tagi: lan, linux, root, siec, sniffer, sniffing, tcp