Filtra per processo / PID in Wireshark

Esiste un modo per filtrare / seguire un flusso TCP / SSL basato su un particolare ID di processo utilizzando Wireshark ?

Non vedo come. Il PID non arriva sul filo (in generale), inoltre Wireshark ti consente di guardare cosa c'è sul filo, potenzialmente tutte le macchine che comunicano sul filo. Gli ID di processo non sono univoci su macchine diverse, comunque.

Nel caso in cui tu stia cercando un modo alternativo e l'ambiente che utilizzi sia Windows, Network Monitor 3.3 di Microsoft è una buona scelta. Ha la colonna del nome del processo. Puoi aggiungerlo facilmente a un filtro utilizzando il menu contestuale e applicare il filtro .. Come al solito la GUI è molto intuitiva ...

È possibile abbinare i numeri di porta da WireShark a numeri di porta, ad esempio, netstat che ti dirà il PID di un processo in ascolto su quella porta.

Usa Microsoft Message Analyzer v1.4

Passa a ProcessId dal selettore di campi.

Etw
-> EtwProviderMsg
--> EventRecord
---> Header
----> ProcessId

Fare clic con il tasto destro e Aggiungi come colonna

Su Windows esiste una build sperimentale che fa questo, come descritto nella mailing list, Filtra per nome processo locale

Questa è una cosa importante da poter fare per monitorare dove alcuni processi provano a connettersi e sembra che non ci sia alcun modo conveniente per farlo su Linux. Tuttavia, sono possibili diverse soluzioni alternative, quindi ritengo che valga la pena menzionarle.

Esiste un programma chiamato nonet che consente di eseguire un programma senza accesso a Internet (ho configurato la maggior parte dei lanciatori di programmi sul mio sistema). Usa setguid per eseguire un processo nel gruppo nonet e imposta una regola iptables per rifiutare tutte le connessioni da questo gruppo.

Aggiornamento: ormai uso un sistema ancora più semplice, puoi facilmente avere una configurazione di iptables leggibile con ferm, e basta usare il programma sgper eseguire un programma con un gruppo specifico. Iptables ti consente anche di reindirizzare il traffico in modo da poterlo persino instradare a un'interfaccia separata o un proxy locale su una porta che ti consente di filtrare in WireShark o REGISTRARE i pacchetti direttamente da iptables se non vuoi disabilitare tutta Internet mentre tu stanno controllando il traffico.

Non è molto complicato adattarlo per eseguire un programma in un gruppo e tagliare tutto il resto del traffico con iptables per la durata dell'esecuzione e quindi è possibile catturare il traffico solo da questo processo.

Se mai dovessi venire a scriverlo, posterò un link qui.

In un'altra nota, puoi sempre eseguire un processo in una macchina virtuale e annusare l'interfaccia corretta per isolare le connessioni che fa, ma sarebbe una soluzione piuttosto inferiore ...

Se vuoi seguire un'applicazione ancora da avviare allora è sicuramente possibile:

1. Installa docker (vedi https://docs.docker.com/engine/installation/linux/docker-ce/ubuntu/ )
2. Apri un terminale ed esegui un piccolo contenitore: docker run -t -i ubuntu /bin/bash(cambia "ubuntu" nella tua distribuzione preferita, questo non deve essere lo stesso del tuo sistema reale)
3. Installa la tua applicazione nel contenitore usando lo stesso modo in cui la installeresti in un sistema reale.
4. Avvia WireShark nel tuo sistema reale, vai su Cattura> Opzioni. Nella finestra che si aprirà vedrai tutte le tue interfacce. Invece di scegliere any, wlan0, eth0, ... scegliere la nuova interfaccia virtuale docker0, invece.
5. Inizia a catturare
6. Avvia la tua applicazione nel contenitore

Potresti avere qualche dubbio sull'esecuzione del tuo software in un contenitore, quindi ecco le risposte alle domande che probabilmente vorresti porre:

• La mia applicazione funzionerà all'interno di un contenitore?Quasi certamente sì, ma potrebbe essere necessario imparare un po 'su Docker per farlo funzionare
• La mia applicazione non verrà eseguita lentamente?Trascurabile. Se il tuo programma è qualcosa che esegue calcoli pesanti per una settimana, ora potrebbe richiedere una settimana e 3 secondi
• Cosa succede se il mio software o qualcos'altro si rompe nel contenitore? Questa è la cosa bella dei contenitori. Qualunque cosa stia funzionando all'interno può solo rompere il contenitore corrente e non può danneggiare il resto del sistema.

In alcuni casi non è possibile filtrare per ID processo. Ad esempio, nel mio caso avevo bisogno di sniffare il traffico da un processo. Ma ho trovato nella sua configurazione indirizzo IP della macchina di destinazione, filtro aggiunto ip.dst==someipe voilà. Non funzionerà in ogni caso, ma per alcuni è utile.

Ottieni il numero di porta utilizzando netstat:

netstat -b

E poi usa il filtro Wireshark:

tcp.port == portnumber

L'uso straceè più adatto a questa situazione.

strace -f -e trace=network -s 10000 -p <PID>;

opzioni -fper tracciare anche tutti i processi forkati, -e trace=netwrokper filtrare solo le chiamate di sistema di rete e -sper visualizzare la lunghezza della stringa fino a 10000 caratteri.

Puoi anche tracciare solo determinate chiamate come operazioni di invio, ricezione e lettura.

strace -f -e trace=send,recv,read -s 10000 -p <PID>;

Puoi controllare i numeri di porta con questi esempi di comandi su WireShark: -

tcp.port == 80

tcp.port == 14220