tcpdump: come ottenere un output tangibile?

Sto cercando di risolvere un problema in cui ho solo tcpdump disponibile su un dispositivo. Voglio utilizzare tcpdump per filtrare il traffico Web e visualizzare solo il traffico contenente determinate stringhe.

Faccio quanto segue:

tcpdump -nei eth0 -X | grep "something interesting"

L'output è una hexview con una riga pr di 16 byte. Non posso grep questi dati, poiché i dati sono presentati su più righe.

C'è un modo per tcpdump di presentare i dati acquisiti su una sola riga? Ciò consentirebbe di utilizzare grep per trovare pacchetti interessanti.

Per quelli come te che non possono usare ngrep, ecco come utilizzare awkper rendere tcpdumptangibile l' output del contenuto dei pacchetti.

Prima alcuni esempi di output forniti da tcpdump -x, al fine di presentare l'attività in anticipo:

$ tcpdump -xr dump.pcap 2>/dev/null
12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370
        0x0000:  4500 018e 0000 4000 fa11 7625 0a11 0e5d
        0x0010:  efc2 0109 c741 c741 017a 6f28 1120 2020
        0x0020:  3337 3030 3039 3031 3835 3635 3430 3130
...

E questo è lo script copia e incolla a awkcui puoi convogliare l'output

awk '{ if (match($0, /^[0-9]/, _)) { printf (NR == 1 ? "%s " : "\n%s "), $0; fflush() } else { sub(/^\s+0x[0-9a-z]+:\s+/, " "); gsub(" ", ""); printf "%s", $0 } } END { print ""; fflush() }'

al fine di ottenere il seguente, tangibile output

12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370 4500018e00004000fa1176250a...
12:04:59.590798 IP 10.17.14.113.51011 > 239.194.1.11.51011: UDP, length 370 4500018e00004000fa11760f...
...

Di seguito è una versione commentata dello script sopra:

awk '
{
    # if this is a header line
    if (match($0, /^[0-9]/, _)) 
    {
        # print the header, but:

        # except for the first line,
        # we need to insert a newline,
        # as the preceding data lines
        # have been stripped of theirs

        # we also append a space to
        # separate header info from the
        # data that will get appended
        printf (NR == 1 ? "%s " : "\n%s "), $0
        # enforce line-buffering
        fflush()
    }
    # otherwise it is a data line
    else 
    {
        # remove the data address
        sub(/^\s+0x[0-9a-z]+:\s+/, " ");
        # remove all spaces
        gsub(" ", "");
        # print w/o newline
        printf "%s", $0 
    }
}
END
{
    # print final newline, as
    # the preceding data lines
    # have been stripped of theirs
    print ""
    # enforce line-buffering
    fflush()
}'

Dalla tcpdumpmanpage:

-A      Print each packet (minus its link level header) in ASCII.  Handy
        for capturing web pages.

Assicurati di utilizzare anche l' -s 0opzione per assicurarti che l'intero pacchetto sia visualizzato.

Puoi dare un'occhiata al ngrepcomando:

ngrep -W single -d eth0 'regex to match' 'port 80'

Dove:

• -W single specifica la formattazione a riga singola
• regex to match significa scaricare solo i pacchetti contenenti determinate stringhe.
• 'port 80' è un filtro pcap per annusare solo i pacchetti da o verso la porta 80

Il motivo per cui l'output è hex è la -Xbandiera. Provare:

tcpdump -ni eth1 | grep something_interesting

Otterrai un output leggibile scaricato direttamente nel cli.

Non sono riuscito a fare in modo che lo script awk facesse quello che volevo e ngrep non avrebbe funzionato su una Ethernet su USB, quindi ho scritto un piccolo programma C per unire le linee emesse da tcpdump in modo che siano comprensibili. È su https://gitlab.com/dargaud/TcpDumpJoin