tcpdump vs tcpflow (o "¿Por qué no es tcpdump datos de paquetes ASCII legibles por humanos?")

He utilizado ambos, y concluyo que puedo leer datos html de páginas web con tcpflow pero no puedo hacerlo con tcpdump. Lo mejor que obtengo es un feo texto ASCII con muchos símbolos de época.tcpdump vs tcpflow (o "¿Por qué no es tcpdump datos de paquetes ASCII legibles por humanos?")

Mi entendimiento es que tcpdump no vuelve a armar los paquetes, mientras que tcpflow sí lo hace. Pero si esa fuera la diferencia clave, ¿los datos del paquete de tcpdump no serían legibles aún para humanos, solo en fragmentos más pequeños? ¿El problema es que tcpdump está limitado a ASCII y la mayoría del tráfico de red está codificado en UTF-8?

Soy un novato en el análisis/programación de redes, así que discúlpeme si me falta algo obvio.

Fuente

2011-09-06 Sridhar-Sarnobat

Simplemente use wireshark para leer los archivos de captura de tcpdump, y luego seleccione un paquete en la sesión en cuestión. Puede usar "Analizar"> "Seguir secuencia TCP" para obtener un volcado ASCII de toda la secuencia. –

Para obtener los datos cifrados, se debe usar tcpdump con la opción tcpdump –A (mayúscula a). Transfiere texto sin encabezados y se usa principalmente para páginas web. De ahí obtenemos la página de respuesta fácilmente.

Creo que se está confundiendo entre una capa de aplicación y un paquete de capa de transporte.

No sé acerca de tcpflow pero tcpdump captura todo el paquete (incluido el encabezado y todo lo demás) no solo los datos. Los datos html que mencionas estarían en la parte de datos de un paquete tcp/udp/icmp lo que sea que esté usando y necesita que comprenda la estructura del paquete tcp/udp/icmp también ...

Capturo este paquete en mi máquina y los datos HTML son claramente visibles, necesita escribir el script para obtener desde el resultado con un conocimiento de la estructura del paquete.

16:15:17.968325 IP 172.31.9.84.80 > 172.31.9.177.56559: P 2575928381:2575928808(427)  
ack 65285447 win 1716 <nop,nop,timestamp 21031622 15165633> 
0x0000: 4500 01df 66fd 4000 4006 66d8 ac1f 0954 [email protected]@.f....T 
0x0010: ac1f 09b1 0050 dcef 9989 8c3d 03e4 2d47 ..... P.....=..-G 
0x0020: 8018 06b4 1a2a 0000 0101 080a 0140 eac6  .....*[email protected] 
0x0030: 00e7 68c1 4854 5450 2f31 2e31 2032 3030 ..h.HTTP/1.1.200 
0x0040: 204f 4b0d 0a44 6174 653a 2046 7269 2c20 .OK..Date:.Fri,. 
0x0050: 3130 204a 756c 2032 3030 3920 3130 3a32 10.Jul.2009.10:2 
0x0060: 303a 3136 2047 4d54 0d0a 5365 7276 6572 0:16.GMT..Server 
0x0070: 3a20 4170 6163 6865 2f32 2e30 2e35 3220 :.Apache/2.0.52. 
0x0080: 2852 6564 2048 6174 290d 0a4c 6173 742d (Red.Hat)..Last- 
0x0090: 4d6f 6469 6669 6564 3a20 4672 692c 2031 Modified:.Fri,.1 
0x00a0: 3020 4a75 6c20 3230 3039 2030 393a 3331 0.Jul.2009.09:31 
0x00b0: 3a30 3420 474d 540d 0a45 5461 673a 2022 :04.GMT..ETag:." 
0x00c0: 3266 6231 3333 2d37 372d 6131 3935 3436 2fb133-77-a19546 
0x00d0: 3030 220d 0a41 6363 6570 742d 5261 6e67  00"..Accept-Rang 
0x00e0: 6573 3a20 6279 7465 730d 0a43 6f6e 7465 es:.bytes..Conte 
0x00f0: 6e74 2d4c 656e 6774 683a 2031 3139 0d0a nt-Length:.119.. 
0x0100: 4b65 6570 2d41 6c69 7665 3a20 7469 6d65 Keep-Alive:.time 
0x0110: 6f75 743d 3135 2c20 6d61 783d 3130 300d out=15,.max=100. 
0x0120: 0a43 6f6e 6e65 6374 696f 6e3a 204b 6565 .Connection:.Kee 
0x0130: 702d 416c 6976 650d 0a43 6f6e 7465 6e74 p-Alive..Content 
0x0140: 2d54 7970 653a 2074 6578 742f 6874 6d6c -Type:.text/html 
0x0150: 3b20 6368 6172 7365 743d 4953 4f2d 3838  ;.charset=ISO-88 
0x0160: 3539 2d31 0d0a 0d0a 3c68 746d 6c3e 0a0a 59-1....<html>.. 
0x0170: 3c62 6f64 793e 0a49 6e64 6961 6e20 696e <body>.Indian.in 
0x0180: 7374 6974 7574 6520 6f66 2074 6563 686e stitute.of.techn 
0x0190: 6f6c 6f67 7920 2e2e 2e2e 2e20 7468 6973  ology.......this 
0x01a0: 2069 7320 7468 6520 7465 7374 2070 6167 .is.the.test.pag 
0x01b0: 652e 0a3c 4120 6872 6566 3d22 6164 2e68 e..<A.href="ad.h 
0x01c0: 746d 6c22 3e61 6263 643c 2f41 3e0a 0a3c tml">abcd</A>..< 
0x01d0: 2f62 6f64 793e 0a3c 2f68 746d 6c3e 0a   /body>.</html>.

Las últimas 7-8 líneas describen los datos html.

utilice -s0 para capturar fotogramas completos y -X para imprimir en formato ASCII legible para humanos.

Para obtener los datos cifrados, uno debe usar TCPDUMP con la opción -A (mayúscula a). Transfiere texto sin encabezados y se usa principalmente para páginas web. De ahí obtenemos la página de respuesta fácilmente.

Por ejemplo:

solicito index.html a 172.31.9.84 en el puerto 80

Entonces solicité GET/index.html (una página de ejemplo que contiene sólo texto “Instituto Indio de Tecnología esto es la página de prueba”)

en este momento en que los paquetes capturados tengo algo como:

Request: 

18:10:42.387426 IP 172.31.9.177.42943 > 172.31.9.84.80: 
P 1:15(14) ack 1 win 46 <nop,nop,timestamp 6644101 353753635> 
[email protected]@........T...P^R.Mb.L.....ke..... 
.ea....#GET /index.html 

Response: 

18:10:42.388127 IP 172.31.9.84.80 > 172.31.9.177.42943: P 1:53(52) 
ack 15 win 1448 <nop,nop,timestamp 353758368 6644101> 
[email protected]@.8m..T.. ..P..b.L.^R.[....d...... 
.....ea.<html> 

<body> 
Indian institute of technology this is the test page 
</body> 
</html>

Fuente

2011-11-27 23:19:28

Muchas gracias Udit. Sí, me estaba confundiendo entre las dos capas del modelo OSI. –

Mejor aún, use 'tcpdump -w' para registrar los paquetes por completo en un archivo, y luego' tcpdump -r' para restaurarlos y encuentre las mejores opciones de línea de comando por iteración para ver los detalles que desea ver. –

'Los datos html que mencionas estarían en la parte de datos de un paquete tcp/udp/icmp ¿En serio? ¿Crees que es probable que visite un sitio web que responde con HTML encapsulado en ... ¿paquetes ICMP? Improbable. 'necesita escribir un script para obtenerlo del resultado con un conocimiento de la estructura del paquete' No es cierto. Simplemente puedes usar Wireshark. –

al tratar de obtener datos HTTP usando tcpdump, verá c lear texto en ASCII si aplica la opción -A. Sin embargo, los datos HTTP casi siempre se comprimen con el modo gzip u otro. Se puede ver en las cabeceras:

Content-Encoding: gzip, comprimir, bzip2

Por lo tanto, es la salida de tcpdump en la pantalla varios bytes y son los datos comprimidos !!! Tendrá que usar tshark o wireshark para ver datos planos. Entonces tu problema no es UTF8.

Puede probar la visualización de datos de tcpdump inhabilitando el módulo de desinflado en el servidor web Apache.

Espero que esta ayuda.

Fuente

2013-03-20 23:15:01

Eso ayuda. Gracias Eriberto. –

tcpdump vs tcpflow (o "¿Por qué no es tcpdump datos de paquetes ASCII legibles por humanos?")

Respuesta

Cuestiones relacionadas