Использование утилиты Tcpdump

Утилита tcpdump  предназначена для отображения заданной информации из заголовков пакетов. С этой целью утилита переводит сетевую плату в беспорядочный режим и перехватывает все проходящие через нее пакеты без учета их пункта назначения.

Утилита располагает средствами фильтрации, позволяющими пользователю сосре­доточиться только на пакетах, представляющих интерес для него. В частности, можно перехватывать пакеты определенных протоколов: ARP, RARP, TCP, ICMP, UDP и др. Существует также возможность сохранять пакеты в файле для дальнейшего анализа и за­гружать их из файла (включая файлы других анализаторов пакетов). Разумеется, для выполнения всех этих действий нужно иметь привилегии суперпользователя.

По окончании обработки пакетов утилита сообщает значения двух счетчиков. Первый из них — это число пакетов, прошедших через фильтр и обработанных утилитой. Второй — число пакетов, удаленных ядром из-за нехватки свободного места в буфере.

В состав Red Hat входит утилита tcpdump версии 3.6.2-9. Недавно появилась версия 4.0.0, которую можно загрузить с Web-узла www.tcpdump.org. Утилита поддержива­ет большое число опций, хотя и без всяких опций она перехватывает огромный объем информации. Синтаксис вызова утилиты таков:

Всевозможные опции и флаги утилиты описаны далее. Аргумент выражение задает правило фильтрации пакетов и состоит из одного или нескольких примитивов сравнения. Каждый примитив — это идентификатор (имя или число) с предшествующим квалификатором (одним или несколькими). Существуют три вида квалификаторов, опре­деляющих тип, направление и протокол пакета. Квалификаторы типа указывают, к како­му виду объектов относится идентификатор: к узлу, сети или протоколу (например, host nanoo или net  192 .168 .1). Квалификатор направления указывает, относится л тификатор к адресу отправителя и/или получателя. Поддерживаются квалификато{ dst, src or dst и src and dst. Квалификаторы протокола задают конкретн: токол. Возможные значения таковы: ether, f ddi, tr, ip, ipv6, arp, rarp, d tcp и udp. Всего утилита распознает более тридцати возможных комбинаций ki каторов. Полный их список приведен на man-странице утилиты. С помощью one and (&&), or (| |) и not (!) можно создавать более сложные правила фильтрации.

Преобразовывать сетевые и широковещательные адреса в доменные имена.

Завершить работу после получения указанного числа пакетов.

Записать в стандартный выходной поток скомпилированный код сравнения пакетов в текстовом виде и завершить работу.

Записать в стандартный выходной поток код сравнения пакетов в виде фрагмента программы на языке С.

Записать в стандартный выходной поток код сравнения пакетов в виде десятичных чисел.

Отображать в каждой выводимой строке заголовок канального уровня.

Использовать заданные алгоритм и ключ для дешифровки ESP-пакетов протокола IPSec. Возможные варианты алгоритмов таковы: des-cbc, 3des-cbc, blowfish-cbc, гсЗ-cbc, castl28-cbc и none.

Отображать «внешние» Internet-адреса в числовом, а не символическом виде.

Загрузить правило фильтрации из указанного файла. Выражение, заданное в командной строке будет игнорироваться.

Задает интерфейс для прослушивания. По умолчанию выбирается функционирующий интерфейс с самым низким номером (исключая интерфейс обратной связи); обычно это eth0.

Буферизовать строки, записываемые в стандартный выходной поток. Это удобно, если нужно видеть данные в процессе перехвата. Воспользуйтесь, например, командой tcpdump -l | tee dat.

Загрузить определения модуля SMI MIB из указанного файла.

Не преобразовывать адреса узлов в имена.

Не преобразовывать номера протоколов или портов в имена.

Не добавлять доменное расширение к именам узлов.

Не запускать оптимизатор кода сравнения пакетов.

Не переводить интерфейс в беспорядочный режим.

Отображать минимум информации о протоколах.

Загрузить пакеты из указанного файла.

Предполагать, что пакеты ESP/АН основаны на старых спецификациях.

Читать из каждого пакета указанное число байтов данных (по умолчанию – 68).

Отображать абсолютные, а не относительные порядковые номера ТСР-пакетов.

Не отображать метку времени в каждой строке.

Отображать неформатированную метку времени в каждой строке.

Принудительно интерпретировать отбираемые пакеты как пакеты заданного типа. Поддерживаются типы cnfp, rpc, rtp, rtcp, snmp и wb.

Отказаться от привилегий суперпользователя, поменяв значения UID и GID на идентификаторы заданного пользователя.

Отображать недекодированные дескрипторы NFS.

Вывод более подробной информации, например полей TTL и TOS IP-пакетов.

Вывод еще более подробной информации, например дополнительных полей ответных пакетов NFS.

Вывод максимально подробной информации.

Записывать необработанные пакеты в файл.

Отображать содержимое каждого пакета (без заголовка канального уровня) в шестнадцатеричном виде.

Отображать   пакеты   не   только   в   шестнадцатеричном   виде,   но и в ASCII-формате.

Будучи вызванной без аргументов, утилита tcpdump прослушивает стандартный ин­терфейс (обычно ethO) и предполагает, что нужно перехватывать любые пакеты, адрес отправителя или получателя которых соответствует адресу текущего узла. В листинге 17.5 показаны результаты работы утилиты для такого случая. Здесь сообщается обо всех па­кетах, адресованных узлу mareen или отправляемых с него. Это, в частности, пакеты протоколов ARP, Telnet и FTP. Чтобы остановить работу утилиты, нажмите <Ctrl+C>.

Пример анализа FTP-Сеанса

Особенностью FTP-Сеанса является использование двух видов соединений между клиентом и сервером.

1) соединение, через которое выполняется идентификация и аутентификация клиента, а также передача команд FTP-Серверу (виртуальный канал управления). Это соединение инициируется клиентом и осуществляется через TCP-Порт 21 (порт ftp) на серверной стороне. Закрывается оно лишь при завершении FTP-Сеанса.

2) соединения, с помощью которых осуществляется передача данных, предусмотренная при выполнении той или иной команды сервером (например, передаются файлы, если выполняются команды передачи файлов, или листинг каталога, если выполняется команда dir). Эти соединения инициируются сервером через TCP-Порт 20 (порт ftp-data) на его стороне каждый раз, когда выполняется соответствующая команда, и закрываются после выполнения этой команды (когда переданы все данные, которые нужно передать при выполнении этой команды).

Рассмотрим пример FTP-Сеанса, зарегистрированного с помощью утилиты tcpdump.

FTP-Клиент выполняется на узле 192.168.0.10, FTP-Сервер — на узле 192.168.0.155.

Клиент, используя один из TCP-Портов в верхнем диапазоне номеров (в данном случае, порт 1406), инициирует TCP-Соединение с сервером (с TCP-Портом 21 узла, на котором выполняется сервер):

Как видно из приведенной строки протокола регистрации, начальное значение поля ‘Sequence Number’, згенерованно клиентским узлом, = 102755.

Сервер подтверждает прием запроса на установление соединения (прием начального значения ‘Sequence Number’, переданного клиентом) и передает клиенту свое начальное значение поля ‘Sequence Number’ (которое равняется 3771347893):

Клиент подтверждает прием начального значения ‘Sequence Number’ от сервера:

Теперь соединение установлено.

Дальше сервер передает клиенту приглашения (маркер), после чего начинается процедура идентификации и аутентификации пользователя. При этом клиент и сервер обмениваются пакетами двух типов: PUSH/ACK и ACK. TCP-Флажок PUSH указывает на наличие в пакете данных. Каждый из пакетов имеет TCP-Флажок ACK, поскольку с каждым переданным после установления соединения пакетом, стороны TCP-Соединения сообщают друг другу о количестве принятых байтов информации.

Следующие две строки отвечают передаче сервером приглашения клиенту и подтверждение приема приглашения клиентом:

Дальше клиент передает серверу имя пользователя, а сервер клиенту — запрос пароля:

Следующие строки иллюстрируют передачу клиентом серверу пароля, а сервером клиенту — сообщение об успешной аутентификации пользователя:

Дальше начинается собственно работа клиента с сервером. В данном случае клиент передает серверу одну команду (это команда dir), выполняя которую, сервер инициирует дополнительное TCP-Соединение с клиентом, через которое передает ему соответствующие данные. Прежде, чем открыть новое соединение, сервер через канал управления спрашивает у клиента номер порта, через который может с ним связаться (в данном случае — это порт 1407). О результате выполнения команды, сервер сообщает клиенту через канал управления:

На данном этапе выполнения – команды закончены. Сервер разрывает установленное дополнительное соединение, передавая клиенту пакет с установленным TCP-Флажком FIN (на что клиент отвечает тем же):

Завершающий обмен данными, связанными с выполнением команды:

В конце концов, клиент передает серверу последнюю команду (quit), после чего сервер инициирует завершение соединения:

Рассмотрим ряд более сложных примеров (результаты работы утилиты приводить не будем, так как это не принципиально). Вот как можно отобразить все пакеты, передавае­мые между двумя узлами (папоо и bria):

Если нужно отобразить все IP-пакеты, передаваемые между узлом gabo и остальными узлами (кроме узла gene), введите такую команду:

Следующая команда перехватывает весь FTP-трафик, проходящий через шлюз gwrouter (обратите внимание на одинарные кавычки, защищающие скобки от интер­претации):

Утилита tcpdump — чрезвычайно мощный анализатор пакетов. Она работает на самом низком уровне, на котором это возможно, и является основой для ряда других анализаторов, например Ethereal. Более подробная информация о примитивах сравнения и примеры использования различных опций приведены на man-странице утилиты.

Короткая справка относительно некоторых опций TCP-Заголовков

Maximum Segment Size (MSS). Определяет максимальный размер IP-Датаграм, которыми стороны TCP-Соединения могут обмениваться без применения фрагментации. Эта опция может присутствовать в TCP-Заголовках только во время установления соединения (обмена сообщениями типа SYN и SYN/ACK). Если одна из сторон соединения или обе проигнорируют эту опцию, принимается значение 536 байт (см. RFC 793, RFC 1122).

No Operation (NOP). Не переносит никакой информации. Используется для выравнивания размера TCP-Заголовка и размещение опций в нем (см. RFC 793).

Selective Acknowledgment Permitted (SackOK). Сообщает сторону TCP-Соединения о допустимости селективного подтверждения приема. В этом режиме сторона TCP-Соединения имеет возможность подтверждать прием пакетов, даже если не приняты некоторые из тех, что отправлены раньше (для передачи информации подтверждения в этом случае применяется опция Selective Acknowledgment Data). Эта опция может присутствовать в TCP-Заголовках только во время установления соединения (причем она должна быть как в сообщении типа SYN, так и в сообщении типа SYN/ACK) (см. RFC 2018).

Timestamp. Предназначенная для измерения времени передачи пакетов между сторонами TCP-Соединения. Содержит два поля, в одно из которых записывается время отправки пакета, а во второе – время отправки пакета, прием которого подтверждается данным (см. RFC 1323).

Window Scale (WSCALE). Определяет масштабный коэффициент для поля TCP-Заголовка ‘Window Size’.  Может быть в TCP-Заголовках только во время установления соединения (обмена сообщениями типа SYN и SYN/ACK) (см. RFC 1323).

Твитнуть

15 комментариев на «“Использование утилиты Tcpdump”»

1. Nazar Lee:

   24 Март 2010 в 22:09

   Тяжеловатая прога. В свое время не один день потратил на её освоение! Сейчас же, все летает. Спасибо!

   Ответить
2. Алексей:

   31 Март 2010 в 20:42

   Сложновато, что-то для быстрого усвоения, нужно пробовать…

   Ответить
3. Фима:

   9 Апрель 2010 в 16:01

   Спасибо за подробное описание! Сам бы точно не разобрался!

   Ответить
4. pupkin2:

   10 Ноябрь 2010 в 7:44

   carerakjan ну уж и не такая большая проблема.
   когда приперает во много раз хуже вещи решаешь )

   Ответить