Tcpdump
Introducció
Com ja saps una capçalera TCP/IP té tota aquesta informació:
tcpdump és la principal eina d’anàlisi de xarxa del món, combinant potència i simplicitat en una única interfície de línia d’ordres. L’objectiu principal d’aquesta activitat és aprendre a aïllar el trànsit de diverses maneres, com ara per IP, port, protocol o aplicació per ajudar-te a trobar el que busques.
Exemples
A continuació veurem alguns exemples.
Crea una màquina server a {% link “/cloud/isard/” %}.
Ha de tenir les interficies “Default”, “Wireguard VPN” i “provençana1”.
Configura la interficie “provençana1” amb la IP 10.0.0.X/24 on X és el teu número de PC:
Modifica el nom del host:
Surt i torna a entrar a la màquina.
Interfície
Pots verificar la màquina té 4 interfícies:
Si vols veure tot el tràfic que està passant a la interfície enp1s0, executa aquesta ordre:
)
La interfície enp1s0 és la que proporciona accés a a internet.
Per lo vist rep paquets STP
Torna a executar un altre cop tcpdump filtrant els paquets STP, afegint l’opció -nn per tal que mostri els ports amb un número (no pas amb el nom que es fa servir per identificar-lo):
Obre un altre terminal i fes ping a dns.google:
Pots veure el registre del ping, un paquet d’anada i un de tornada:
)
)
)
)
)
)
)
)Port
Ja saps que per resoldre un domini s’ha de fer una consulta DNS.
I una consulta DNS es fa al port 53/udp i a vegades al port 53/tcp.
A continuació direm a tcpdump que monitorizi totes les interfícies, però només els paquets que utilitzen el port 53:
Des de l’altre terminal:
El resultat de tcpdump:
)
)
)
)Pots veure que el destí del primer paquet és 127.0.0.53.53.
Mira el fitxer /etc/resolv.conf/ i sabras el motiu:
|
També observa que l’origen del primer paquet no és el port 53, sino un port efímer aleatori per sobre del rang ???.
IP
Fins ara hem vist com podem filtrar per interfície i port.
També podem filtrar per IP:
De la mateixa manera que un port pot ser origen o destí, una IP també pot ser origen o destí:
En el primer paquet 1.1.1.1 és el destí, en el segon paquet 1.1.1.1 és l’origen.
Si vols pots ser més precís:
Només tens el paquet de tornada, el que te origen (src) 1.1.1.1:
Protocol
També pots filtrar tràfic per protocol.
Per exemple icmp:
O per tcp:
Un ping no genera paquets TCP
Pots veure paquets TCP al port 80 (HTTP)
O per udp :
)
)
)
)Pots veure paquets UDP de consulta al DNS.
TODO
Fes tot el que posa aquest document: Google docs
Activitat
x.-
- Instal.la Wireshark en la màquina WSL:
-
Baixa un fitxer
pcap. -
Analitza el fitxer amb wireshark