En guide till Wireshark Command Line Interface tshark

Du kan se en lista över alla tillgängliga alternativ. I den här artikeln kommer vi att täcka de flesta argumenten i detalj, och du kommer att förstå kraften i denna terminalorienterade Wireshark-version.

Välja nätverksgränssnitt:

För att genomföra live-fångst och analys i detta verktyg måste vi först ta reda på vårt arbetsgränssnitt. Typ tshark -D och tshark listar alla tillgängliga gränssnitt.

Observera att inte alla listade gränssnitt fungerar. Typ ifconfig för att hitta arbetsgränssnitt på ditt system. I mitt fall är det enp0s3.

Fånga trafik:

För att starta live fångstprocessen använder vi tshark kommandot med ”-i”-Alternativ för att starta fångningsprocessen från arbetsgränssnittet.

Använda sig av Ctrl + C för att stoppa live-fångsten. I ovanstående kommando har jag skickat den fångade trafiken till Linux-kommandot huvud för att visa de första fångade paketen. Eller så kan du också använda “-c ”Syntax för att fånga“n ” antal paket.

Om du bara går in tshark, som standard kommer det inte att fånga trafik på alla tillgängliga gränssnitt och inte heller lyssna på ditt arbetsgränssnitt. Istället kommer det att fånga paket i det första listade gränssnittet.

Du kan också använda följande kommando för att kontrollera flera gränssnitt:

Under tiden är ett annat sätt att leva fånga trafik att använda numret bredvid de listade gränssnitten.

I närvaro av flera gränssnitt är det dock svårt att hålla reda på deras listade nummer.

Fångar filter:

Fångningsfilter minskar den inspelade filstorleken avsevärt. Tshark använder Berkeley Packet Filter-syntax -f “”, Som också används av tcpdump. Vi använder alternativet “-f” för att bara fånga paket från port 80 eller 53 och använda “-c” för att endast visa de första 10 paketen.

Spara fångad trafik i en fil:

Det viktigaste att notera i skärmdumpen ovan är att informationen som visas inte sparas, därför är den mindre användbar. Vi använder argumentet ”-w”För att spara den fångade nätverkstrafiken till test_capture.pcap i / tmp mapp.

Medan, .pcap är filtillägget Wireshark. Genom att spara filen kan du granska och analysera trafiken i en maskin med Wireshark GUI senare.

Det är bra att spara filen i /tmp eftersom den här mappen inte kräver några körrättigheter. Om du sparar den i en annan mapp, även om du kör tshark med root-behörigheter, kommer programmet att neka tillstånd av säkerhetsskäl.

Låt oss gräva på alla möjliga sätt genom vilka du kan:

• tillämpa gränser för att fånga data, så att de går ut tshark eller automatiskt stoppa fångningsprocessen och
• mata ut dina filer.

Autostop-parameter:

Du kan använda-a”-Parameter för att inkludera tillgängliga flaggor som varaktighet filstorlek och filer. I följande kommando använder vi parametern autostop med varaktighet flagga för att stoppa processen inom 120 sekunder.

På samma sätt, om du inte behöver dina filer för att vara extra stora, filstorlek är en perfekt flagga för att stoppa processen efter vissa KB-gränser.

Viktigast, filer flagga låter dig stoppa inspelningsprocessen efter ett antal filer. Men detta kan bara vara möjligt efter att du har skapat flera filer, vilket kräver körning av en annan användbar parameter, capture output.

Capture Output Parameter:

Capture output, aka ringbuffer argument “-b”, Kommer med samma flaggor som autostop. Användningen / utgången är dock lite annorlunda, dvs.e., flaggorna varaktighet och filstorlek, eftersom det låter dig byta eller spara paket till en annan fil efter att ha nått en viss tidsgräns i sekunder eller filstorlek.

Kommandot nedan visar att vi fångar upp trafiken genom vårt nätverksgränssnitt enp0s3, och fånga trafik med fångstfiltret “-f”För tcp och dns. Vi använder ringbuffertalternativ “-b” med a filstorlek flagga för att spara varje fil i storlek 15 Kb, och använd även autostoppargumentet för att ange antalet filer som används filer alternativ så att det stoppar fångningsprocessen efter att ha genererat tre filer.

Jag har delat min terminal i två skärmar för att aktivt övervaka skapandet av tre .pcap-filer.

Gå till din / tmp och använd följande kommando i den andra terminalen för att övervaka uppdateringar efter varannan sekund.

Nu behöver du inte memorera alla dessa flaggor. Skriv istället ett kommando tshark -i enp0s3 -f “port 53 eller port 21” -b filstorlek: 15 -a i din terminal och tryck Flik. Listan över alla tillgängliga flaggor kommer att finnas på din skärm.

Läsning .pcap-filer:

Viktigast är att du kan använda en-r”-Parameter för att läsa test_capture.pcap-filer och rör den till huvud kommando.

Informationen som visas i utdatafilen kan vara lite överväldigande. För att undvika onödiga detaljer och få en bättre förståelse för någon specifik destinations-IP-adress använder vi -r möjlighet att läsa paketfångade filer och använda en ip.addr filter för att omdirigera utdata till en ny fil med “-w”Alternativ. Detta gör att vi kan granska filen och förfina vår analys genom att använda ytterligare filter.

Välja fält att mata ut:

Kommandona ovan ger en sammanfattning av varje paket som innehåller olika rubrikfält. Tshark låter dig också visa angivna fält. För att ange ett fält använder vi “-T-fält”Och extrahera fält enligt vårt val.

Efter "-T-fält”-Omkopplaren använder vi alternativet“ -e ”för att skriva ut de angivna fälten / filtren. Här kan vi använda Wireshark Display-filter.

Fånga krypterad handskakningsdata:

Hittills har vi lärt oss att spara och läsa utdatafiler med olika parametrar och filter. Vi lär oss nu hur HTTPS initierar session tshark. Webbplatserna som nås via HTTPS istället för HTTP säkerställer en säker eller krypterad dataöverföring över kabeln. För säker överföring startar en kryptering av Transport Layer Security en handskakningsprocess för att starta kommunikationen mellan klienten och servern.

Låt oss fånga och förstå TLS-handskakningen med tshark. Dela din terminal i två skärmar och använd a wget kommando för att hämta en html-fil från https: // www.wireshark.org.

I en annan skärm kommer vi att använda tshark för att fånga de första 11 paketen med hjälp av "-c”-Parameter. När vi utför analyser är tidsstämplar viktiga för att rekonstruera händelser, därför använder vi ”-t annons”, På ett sätt som tshark lägger till tidsstämpel vid sidan av varje fångat paket. Slutligen använder vi värdkommandot för att fånga paket från den delade värden IP-adress.

Detta handskakning är ganska likt TCP-handskakningen. Så snart TCP-trevägshandskakningen avslutas i de första tre paketen följer det fjärde till nionde paketet en något liknande handskakningsritual och inkluderar TLS-strängar för att säkerställa krypterad kommunikation mellan båda parter.

Visar hela paketet:

Den enda nackdelen med ett kommandoradsverktyg är att det inte har ett GUI, eftersom det blir väldigt praktiskt när du behöver söka mycket internettrafik, och det erbjuder också en paketpanel som visar alla paketdetaljer inom en omedelbar. Det är dock fortfarande möjligt att inspektera paketet och dumpa hela paketinformationen som visas i GUI Packet Panel.

För att inspektera ett helt paket använder vi ett ping-kommando med alternativet “-c” för att fånga ett enda paket.

I ett annat fönster använder du kommandot tshark med en ytterligare flagga för att visa hela paketdetaljer. Du kan se olika avsnitt, som visar ramar, Ethernet II, IPV och ICMP-detaljer.

Slutsats:

Den mest utmanande aspekten av paketanalys är att hitta den mest relevanta informationen och ignorera de värdelösa bitarna. Även om grafiska gränssnitt är enkla kan de inte bidra till automatiserad nätverkspaketanalys. I den här artikeln har du lärt dig de mest användbara tshark-parametrarna för att fånga, visa, spara och läsa nätverkstrafikfiler.

Tshark är ett mycket praktiskt verktyg som läser och skriver de fångningsfiler som stöds av Wireshark. Kombinationen av visnings- och inspelningsfilter bidrar mycket när du arbetar på avancerade användningsfall. Vi kan utnyttja tsharks förmåga att skriva ut fält och manipulera data enligt våra krav på djupgående analys. Med andra ord är det kapabelt att göra praktiskt taget allt som Wireshark gör. Viktigast av allt är att den är perfekt för fjärranslutning av paket med ssh, vilket är ett ämne för en annan dag.