tcpdump vs tcpflow (oder "warum ist nicht die tcpdump-ASCII-Paket-Daten-von Menschen lesbar?")

Habe ich auch, und ich schließe daraus, dass ich Lesen kann html-Daten von Webseiten mit tcpflow, aber nicht mit tcpdump. Die beste, die ich bekommen, ist einige hässliche ASCII-text mit viel Zeit Symbole.

Mein Verständnis ist, dass tcpdump nicht wieder zusammenbauen-Pakete, in der Erwägung, dass tcpflow tut. Aber wenn das war der entscheidende Unterschied, nicht die Paket-Daten von tcpdump noch Menschen lesbar - nur in kleineren Mengen? Das problem ist, dass tcpdump ist beschränkt auf ASCII und die meisten Netzwerk-Verkehr ist in UTF-8 kodiert?

Ich bin ein rookie auf Netzwerk-Analyse/Programmierung, so verzeihen Sie mir, wenn ich etwas fehlt offensichtlich.

Nur verwenden Sie wireshark, um zu Lesen tcpdump capture-Dateien, und wählen Sie dann ein Paket in der Sitzung in Frage. Sie können mit "Analysieren" > "Follow TCP-stream", um ein ASCII-dump des gesamten Strom.

InformationsquelleAutor Sridhar-Sarnobat | 2011-09-06

Zu bekommen, dass die verschlüsselten Daten sollte man verwenden, tcpdump mit der option tcpdump –A (Hauptstadt einer). Es überträgt text, ohne überschriften und wird hauptsächlich für web-Seiten. Daher erhalten wir Antwort Seite leicht.

Ich denke, Sie sind immer verwirrt zwischen application layer und transport layer packet.

Ich weiß nicht, über tcpflow aber tcpdump capture das ganze Paket (inklusive header und der andere Kram) nicht nur die Daten.Die html-Daten, die Sie erwähnen würde, werden im Datenteil des tcp - /udp - /icmp-Paket, welches Sie verwenden, und so die es braucht, Sie verstehen den Aufbau der tcp - /udp - /icmp-Paket sowie ...

Ich halte dieses Paket auf meinem Rechner und HTML-Daten deutlich sichtbar ist , müssen Sie ein Skript schreiben, um es von der Leistung mit einem wissen aus Paket-Struktur.

 16:15:17.968325 IP 172.31.9.84.80 > 172.31.9.177.56559: P 2575928381:2575928808(427)     
 ack 65285447 win 1716 <nop,nop,timestamp 21031622 15165633>
0x0000:  4500 01df 66fd 4000 4006 66d8 ac1f 0954    E...f.@[email protected]
0x0010:  ac1f 09b1 0050 dcef 9989 8c3d 03e4 2d47  ..... P.....=..-G
0x0020:  8018 06b4 1a2a 0000 0101 080a 0140 eac6     .....*.......@..
0x0030:  00e7 68c1 4854 5450 2f31 2e31 2032 3030    ..h.HTTP/1.1.200
0x0040:  204f 4b0d 0a44 6174 653a 2046 7269 2c20    .OK..Date:.Fri,.
0x0050:  3130 204a 756c 2032 3030 3920 3130 3a32    10.Jul.2009.10:2
0x0060:  303a 3136 2047 4d54 0d0a 5365 7276 6572    0:16.GMT..Server
0x0070:  3a20 4170 6163 6865 2f32 2e30 2e35 3220    :.Apache/2.0.52.
0x0080:  2852 6564 2048 6174 290d 0a4c 6173 742d    (Red.Hat)..Last-
0x0090:  4d6f 6469 6669 6564 3a20 4672 692c 2031    Modified:.Fri,.1
0x00a0:  3020 4a75 6c20 3230 3039 2030 393a 3331    0.Jul.2009.09:31
0x00b0:  3a30 3420 474d 540d 0a45 5461 673a 2022    :04.GMT..ETag:."
0x00c0:  3266 6231 3333 2d37 372d 6131 3935 3436    2fb133-77-a19546
0x00d0:  3030 220d 0a41 6363 6570 742d 5261 6e67     00"..Accept-Rang
0x00e0:  6573 3a20 6279 7465 730d 0a43 6f6e 7465    es:.bytes..Conte
0x00f0:  6e74 2d4c 656e 6774 683a 2031 3139 0d0a    nt-Length:.119..
0x0100:  4b65 6570 2d41 6c69 7665 3a20 7469 6d65    Keep-Alive:.time
0x0110:  6f75 743d 3135 2c20 6d61 783d 3130 300d    out=15,.max=100.
0x0120:  0a43 6f6e 6e65 6374 696f 6e3a 204b 6565    .Connection:.Kee
0x0130:  702d 416c 6976 650d 0a43 6f6e 7465 6e74    p-Alive..Content
0x0140:  2d54 7970 653a 2074 6578 742f 6874 6d6c    -Type:.text/html
0x0150:  3b20 6368 6172 7365 743d 4953 4f2d 3838     ;.charset=ISO-88
0x0160:  3539 2d31 0d0a 0d0a 3c68 746d 6c3e 0a0a    59-1....<html>..
0x0170:  3c62 6f64 793e 0a49 6e64 6961 6e20 696e    <body>.Indian.in
0x0180:  7374 6974 7574 6520 6f66 2074 6563 686e    stitute.of.techn
0x0190:  6f6c 6f67 7920 2e2e 2e2e 2e20 7468 6973     ology.......this
0x01a0:  2069 7320 7468 6520 7465 7374 2070 6167    .is.the.test.pag
0x01b0:  652e 0a3c 4120 6872 6566 3d22 6164 2e68    e..<A.href="ad.h
0x01c0:  746d 6c22 3e61 6263 643c 2f41 3e0a 0a3c    tml">abcd</A>..<
0x01d0:  2f62 6f64 793e 0a3c 2f68 746d 6c3e 0a          /body>.</html>.

Den letzten 7-8 Zeilen beschreiben die html-Daten.

verwenden -s0 erfassen ganze Rahmen und der -X drucken in der obigen ASCII-lesbaren format.

Bekommen, dass verschlüsselte Daten sollte man verwenden, TCPDUMP mit der option –A (großes a). Es überträgt text, ohne überschriften und wird hauptsächlich für web-Seiten. Daher erhalten wir Antwort-Seite problemlos.

ZB:

Bitte ich index.html zu 172.31.9.84 auf port 80

Dann bat ich GET/index.html (ein Beispiel Seite, die nur text enthält "Indian institute of technology dies ist die test-Seite")

In diesem moment, wenn ich gefangen Pakete bekam ich etwas wie:

Request:

18:10:42.387426 IP 172.31.9.177.42943 > 172.31.9.84.80:
P 1:15(14) ack 1 win 46 <nop,nop,timestamp 6644101 353753635>
E..B.G@[email protected]^R.Mb.L.....ke.....
.ea....#GET /index.html

Response:

18:10:42.388127 IP 172.31.9.84.80 > 172.31.9.177.42943: P 1:53(52) 
ack 15 win 1448 <nop,nop,timestamp 353758368 6644101>
E..h..@[email protected]..   ..P..b.L.^R.[....d......
.....ea.<html>

<body>
Indian institute of technology this is the test page
</body>
</html>

Vielen Dank Udit. Ja, ich war immer verwirrt zwischen den beiden Schichten des OSI-Modells.
Noch besser, verwenden Sie tcpdump -w zum protokollieren der Pakete vollständig in einer Datei und später tcpdump -r um Sie wiederherzustellen, und finden Sie die besten Kommandozeilen-Optionen, die von iteration zu sehen, die details, die Sie sehen wollen.
The html data which you are mentioning would be in the data part of a tcp/udp/icmp packet Wirklich? Sie denken, es ist wahrscheinlich, dass er den Besuch einer website, die antwortet mit HTML gekapselt in... ICMP-Pakete? Unwahrscheinlich. you need to write script to get it from the output with a knowledge of packet structure Nicht wahr. Sie können einfach verwenden Sie Wireshark.
Warum gibt es eine Menge von Punkten in der Mitte? ex: @[email protected]

InformationsquelleAutor Udit Gupta

2

Beim Versuch, HTTP-Daten mit tcpdump sehen Sie Klartext im ASCII-wenn Sie die option-A an. Aber, ein HTTP-Daten ist fast immer mit gzip komprimiert-Modus oder andere. Sie können es sehen in den Kopfzeilen:

Content-Encoding: gzip, compress, bzip2

So, tcpdump-Ausgabe auf dem Bildschirm mehrere bytes, und Sie sind die komprimierten Daten!!! Sie verwenden müssen, tshark oder wireshark, um zu sehen, Flachbild-Daten. Dann ist dein problem ist nicht UTF8.

Können Sie testen, tcpdump-Daten Anzeige deaktivieren deflate-Modul in der Apache-web-server.

Hoffe, dass dies helfen.
- Das hilfreich ist. Danke Eriberto.
InformationsquelleAutor Eriberto Mota

Schreibe einen Kommentar

Du musst angemeldet sein, um einen Kommentar abzugeben.