tcpdump: wie bekomme ich eine grepable Ausgabe?

Ich versuche, ein Problem zu beheben, bei dem auf einer Appliance nur tcpdump verfügbar ist. Ich möchte tcpdump verwenden, um den Webdatenverkehr zu filtern und nur den Datenverkehr anzuzeigen, der bestimmte Zeichenfolgen enthält.

Ich mache folgendes:

tcpdump -nei eth0 -X | grep "something interesting"

Die Ausgabe ist ein Hexview mit 16 Bytes pro Zeile. Ich kann diese Daten nicht erfassen, da die Daten in mehreren Zeilen dargestellt werden.

Gibt es eine Möglichkeit für tcpdump, die erfassten Daten in einer einzelnen Zeile darzustellen? Dies würde es möglich machen, grep zu verwenden, um interessante Pakete zu finden.

Für diejenigen wie Sie, die dies nicht können ngrep, ist hier beschrieben, wie awkdie tcpdumpAusgabe von Paketinhalten grepable gemacht wird.

Zuerst einige Beispielausgaben von tcpdump -x, um die bevorstehende Aufgabe zu präsentieren:

$ tcpdump -xr dump.pcap 2>/dev/null
12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370
        0x0000:  4500 018e 0000 4000 fa11 7625 0a11 0e5d
        0x0010:  efc2 0109 c741 c741 017a 6f28 1120 2020
        0x0020:  3337 3030 3039 3031 3835 3635 3430 3130
...

Und dies ist das kopier- und einfügbare awkSkript, an das Sie die Ausgabe weiterleiten können

awk '{ if (match($0, /^[0-9]/, _)) { printf (NR == 1 ? "%s " : "\n%s "), $0; fflush() } else { sub(/^\s+0x[0-9a-z]+:\s+/, " "); gsub(" ", ""); printf "%s", $0 } } END { print ""; fflush() }'

Um die folgende, grepable Ausgabe zu erhalten

12:04:59.590664 IP 10.17.14.93.51009 > 239.194.1.9.51009: UDP, length 370 4500018e00004000fa1176250a...
12:04:59.590798 IP 10.17.14.113.51011 > 239.194.1.11.51011: UDP, length 370 4500018e00004000fa11760f...
...

Unten ist eine kommentierte Version des obigen Skripts:

awk '
{
    # if this is a header line
    if (match($0, /^[0-9]/, _)) 
    {
        # print the header, but:

        # except for the first line,
        # we need to insert a newline,
        # as the preceding data lines
        # have been stripped of theirs

        # we also append a space to
        # separate header info from the
        # data that will get appended
        printf (NR == 1 ? "%s " : "\n%s "), $0
        # enforce line-buffering
        fflush()
    }
    # otherwise it is a data line
    else 
    {
        # remove the data address
        sub(/^\s+0x[0-9a-z]+:\s+/, " ");
        # remove all spaces
        gsub(" ", "");
        # print w/o newline
        printf "%s", $0 
    }
}
END
{
    # print final newline, as
    # the preceding data lines
    # have been stripped of theirs
    print ""
    # enforce line-buffering
    fflush()
}'

Aus der tcpdumpManpage:

-A      Print each packet (minus its link level header) in ASCII.  Handy
        for capturing web pages.

Stellen Sie sicher, dass Sie auch die -s 0Option verwenden, um sicherzustellen, dass das gesamte Paket angezeigt wird.

Vielleicht möchten Sie einen Blick auf ngrepBefehl werfen :

ngrep -W single -d eth0 'regex to match' 'port 80'

Wo:

• -W single Gibt die Formatierung einzelner Zeilen an
• regex to match bedeutet, dass nur Pakete ausgegeben werden, die eine bestimmte Zeichenfolge enthalten.
• 'port 80' ist ein pcap-Filter, mit dem nur Pakete von oder nach Port 80 abgehört werden können

Der Grund, warum Ihre Ausgabe hex ist, ist das -XFlag. Versuchen:

tcpdump -ni eth1 | grep something_interesting

Sie erhalten eine lesbare Ausgabe direkt auf das CLI.

Ich konnte das awk-Skript nicht dazu bringen, das zu tun, was ich wollte, und ngrep funktionierte auf einem Ethernet über USB nicht. Deshalb schrieb ich ein kleines C-Programm, um die von tcpdump ausgegebenen Zeilen zu verbinden, damit sie grepable sind. Es ist unter https://gitlab.com/dargaud/TcpDumpJoin