how to use tcpdump Télécharger - how to use tcpdump Télécharger le code source

comment utiliser-tcpdump

La commande Tcpdump est un célèbre outil d'analyse de paquets réseau utilisé pour afficher TCPIP et d'autres paquets réseau transmis sur le réseau connecté au système sur lequel tcpdump a été installé. Tcpdump utilise la bibliothèque libpcap pour capturer les paquets réseau et est disponible sur presque toutes les versions Linux/Unix.

Linux Tcpdump : filtrer les paquets ping ipv6 ntp

Tcpdump : capture les paquets DHCP et DHCPv6

20 exemples avancés de Tcpdump sous Linux

10 Exemples de commandes tcpdump utiles

TCPDUMP

LISEZMOI

Tcpdump est l'un des meilleurs outils d'analyse de réseau jamais conçus pour les professionnels de la sécurité de l'information. Tcpdump s'adresse à tout le monde, aux pirates informatiques et aux personnes qui comprennent moins bien TCP/IP.

OPTIONS

Vous trouverez ci-dessous quelques options de tcpdump (avec des exemples utiles) qui vous aideront à travailler avec l'outil. Ils sont très faciles à oublier et/ou à confondre avec d'autres types de filtres, c'est-à-dire éthérés, alors j'espère que cet article pourra vous servir de référence, comme à moi :)

Le premier d'entre eux est -n, qui demande que les noms ne soient pas résolus, ce qui entraîne les adresses IP elles-mêmes.
Le second est -X, qui affiche à la fois le contenu hexadécimal et ascii dans le paquet.
Le dernier est -S, qui modifie l'affichage des numéros de séquence en absolu plutôt que relatif.

Afficher le contenu du paquet en hexadécimal et en ascii.

 tcpdump -X ....

Identique à -X, mais affiche également l'en-tête Ethernet.

 tcpdump -XX

Afficher la liste des interfaces disponibles

 tcpdump -D

Sortie lisible en ligne (pour visualiser pendant que vous enregistrez ou pour envoyer à d'autres commandes)

 tcpdump -l

Soyez moins verbeux (plus silencieux) avec votre sortie.

 tcpdump -q

Donnez une sortie d’horodatage lisible par l’homme.

 tcpdump -t :

Donnez une sortie d'horodatage lisible au maximum par l'homme.

 tcpdump -tttt :

Écoutez sur l'interface eth0.

 tcpdump -i eth0

Sortie verbeuse (plus de v donne plus de sortie).

 tcpdump -vv

Obtenez seulement un nombre x de paquets, puis arrêtez-vous.

 tcpdump -c

Définissez la longueur d'accrochage (taille) de la capture en octets. Utilisez -s0 pour tout obtenir, sauf si vous capturez intentionnellement moins.

 tcpdump -s

Imprimez les numéros de séquence absolus.

 tcpdump -S

Obtenez également l'en-tête Ethernet.

 tcpdump -e

Décryptez le trafic IPSEC en fournissant une clé de cryptage.

 tcpdump -E

Pour plus d'options, lisez le manuel :

Retrouvez toutes les options ici
Linux Tcpdump : filtrer les paquets ping ipv6 ntp
Tcpdump : capture les paquets DHCP et DHCPv6
20 exemples avancés de Tcpdump sous Linux
10 Exemples de commandes tcpdump utiles

UTILISATION DE BASE

Afficher les interfaces disponibles

 tcpdump -D
tcpdump --list-interfaces

Commençons par une commande de base qui nous permettra d'obtenir du trafic HTTPS :

 tcpdump -nnSX port 443

Rechercher le trafic par IP

 tcpdump host 1.1.1.1

Filtrage par source et/ou destination

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

Recherche de paquets par réseau

 tcpdump net 1.2.3.0/24

Faible rendement :

 tcpdump -nnvvS

Sortie moyenne :

 tcpdump -nnvvXS

Production lourde :

 tcpdump -nnvvXSs 1514

Faire preuve de créativité

Les expressions sont très belles, mais la véritable magie de tcpdump vient de la possibilité de les combiner de manière créative afin d'isoler exactement ce que vous recherchez.

Il existe trois manières de réaliser une combinaison :

ET

 and or &&

OU

 or or ||

SAUF

 not or !

Exemple d'utilisation :

Trafic provenant de 192.168.1.1 ET destiné aux ports 3389 ou 22

 tcpdump 'src 192.168.1.1 and (dst port 3389 or 22)'

Avancé

Montre-moi tous les paquets URG :

 tcpdump 'tcp[13] & 32 != 0'

Montre-moi tous les paquets ACK :

 tcpdump 'tcp[13] & 16 != 0'

Montre-moi tous les paquets PSH :

 tcpdump 'tcp[13] & 8 != 0'

Montre-moi tous les paquets RST :

 tcpdump 'tcp[13] & 4 != 0'

Montre-moi tous les paquets SYN :

 tcpdump 'tcp[13] & 2 != 0'

Montre-moi tous les paquets FIN :

 tcpdump 'tcp[13] & 1 != 0'

Montre-moi tous les paquets SYN-ACK :

 tcpdump 'tcp[13] = 18'

Afficher tout le trafic avec les indicateurs SYN et RST définis : (cela ne devrait jamais arriver)

 tcpdump 'tcp[13] = 6'

Afficher tout le trafic avec le « bit maléfique » défini :

 tcpdump 'ip[6] & 128 != 0'

Afficher tout le trafic IPv6 :

 tcpdump ip6

Imprimer les paquets capturés en ASCII

 tcpdump -A -i eth0

Afficher les paquets capturés en HEX et ASCII

 tcpdump -XX -i eth0

Capturer et enregistrer des paquets dans un fichier

 tcpdump -w 0001.pcap -i eth0

Lire le fichier de paquets capturés

 tcpdump -r 0001.pcap

Capturer les paquets d'adresses IP

 tcpdump -n -i eth0

Capturez uniquement les paquets TCP.

 tcpdump -i eth0 tcp

Capturer un paquet à partir d'un port spécifique

 tcpdump -i eth0 port 22

Capturer des paquets à partir de l'adresse IP source

 tcpdump -i eth0 src 192.168.0.2

Capturer les paquets à partir de l'adresse IP de destination

 tcpdump -i eth0 dst 50.116.66.139

Capturez tous les colis provenant de xxxx

 tcpdump -n src host x.x.x.x

Capturez n'importe quel paquet provenant ou allant vers xxxx

 tcpdump -n host x.x.x.x

Capturez n'importe quel paquet allant à xxxx

 tcpdump -n dst host x.x.x.x

Capturez tous les colis provenant de xxxx

 tcpdump -n src host x.x.x.x

Capturez tout paquet allant au réseau xxx0/24

 tcpdump -n dst net x.x.x.0/24

Capturez n'importe quel paquet provenant du réseau xxx0/24

 tcpdump -n src net x.x.x.0/24

Capturez n'importe quel paquet avec le port de destination x

 tcpdump -n dst port x

Capturez n'importe quel paquet provenant du port x

 tcpdump -n src port x

Capturez tous les paquets depuis ou vers la plage de ports x à y

 tcpdump -n dst(or src) portrange x-y

Capturez n'importe quelle plage de ports TCP ou UDP x à y

 tcpdump -n tcp(or udp) dst(or src) portrange x-y

Capturez tous les paquets avec dst ip xxxx et le port y

 tcpdump -n "dst host x.x.x.x and dst port y"

Capturez tous les paquets avec l'adresse IP dst xxxx et les ports dst x, z

 tcpdump -n "dst host x.x.x.x and (dst port x or dst port z)"

Capturez ICMP, ARP

 tcpdump -v icmp(or arp)

Capturez les paquets sur l'interface eth0 et sauvegardez-les dans le fichier cap.txt

 tcpdump -i eth0 -w cap.txt

Obtenez le contenu des paquets avec une sortie hexadécimale

 tcpdump -c 1 -X icmp

Afficher le trafic lié à un port spécifique

 tcpdump port 3389 
tcpdump src port 1025

Afficher le trafic d'un protocole

 tcpdump icmp

Rechercher le trafic par IP

 tcpdump host 1.1.1.1

Filtrage par source et/ou destination

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

Recherche de paquets par réseau

 tcpdump net 1.2.3.0/24

Obtenez le contenu des paquets avec une sortie hexadécimale

 tcpdump -c 1 -X icmp

Afficher le trafic lié à un port spécifique

 tcpdump port 3389 
tcpdump src port 1025

Afficher le trafic d'un protocole

 tcpdump icmp

Afficher uniquement le trafic IP6

 tcpdump ip6

Rechercher du trafic à l'aide des plages de ports

 tcpdump portrange 21-23

Rechercher le trafic en fonction de la taille du paquet

 tcpdump less 32 
 tcpdump greater 64 
 tcpdump <= 128
 tcpdump => 128

Lecture/écriture de captures dans un fichier (pcap)

 tcpdump port 80 -w capture_file
tcpdump -r capture_file

Tout est question de combinaisons

Vue de sortie brute

 tcpdump -ttnnvvS

Voici quelques exemples de commandes combinées.

Depuis une IP spécifique et destiné à un port spécifique

 tcpdump -nnvvS src 10.5.2.3 and dst port 3389

D'un réseau à l'autre

 tcpdump -nvX src net 192.168.0.0/16 and dst net 10.0.0.0/8 or 172.16.0.0/16

Trafic non ICMP allant vers une adresse IP spécifique

 tcpdump dst 192.168.0.2 and src net and not icmp

Trafic provenant d'un hôte qui n'est pas sur un port spécifique

 tcpdump -vv src mars and not dst port 22

Isolez les indicateurs TCP RST.

 tcpdump 'tcp[13] & 4!=0'
tcpdump 'tcp[tcpflags] == tcp-rst'

Isolez les indicateurs TCP SYN.

 tcpdump 'tcp[13] & 2!=0'
tcpdump 'tcp[tcpflags] == tcp-syn'

Isolez les paquets dont les indicateurs SYN et ACK sont définis.

 tcpdump 'tcp[13]=18'

Isolez les indicateurs TCP URG.

 tcpdump 'tcp[13] & 32!=0'
tcpdump 'tcp[tcpflags] == tcp-urg'

Isolez les indicateurs TCP ACK.

 tcpdump 'tcp[13] & 16!=0'
tcpdump 'tcp[tcpflags] == tcp-ack'

Isolez les indicateurs TCP PSH.

 tcpdump 'tcp[13] & 8!=0'
tcpdump 'tcp[tcpflags] == tcp-psh'

Isolez les indicateurs TCP FIN.

 tcpdump 'tcp[13] & 1!=0'
tcpdump 'tcp[tcpflags] == tcp-fin'

Commandes que j'utilise presque quotidiennement

Ensemble SYN et RST

 tcpdump 'tcp[13] = 6'

Rechercher des agents utilisateurs HTTP

 tcpdump -vvAls0 | grep 'User-Agent:'
tcpdump -nn -A -s1500 -l | grep "User-Agent:"

En utilisant egrep et plusieurs correspondances, nous pouvons obtenir l'agent utilisateur et l'hôte (ou tout autre en-tête) à partir de la requête.

 tcpdump -nn -A -s1500 -l | egrep -i 'User-Agent:|Host:'

Capturez uniquement les paquets HTTP GET et POST uniquement les paquets qui correspondent à GET.

 tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'

Extraire les URL de requête HTTP

 tcpdump -s 0 -v -n -l | egrep -i "POST /|GET /|Host:"

Extraire les mots de passe HTTP dans les requêtes POST

 tcpdump -s 0 -A -n -l | egrep -i "POST /|pwd=|passwd=|password=|Host:"

Capturer les cookies du serveur et du client

 tcpdump -nn -A -s0 -l | egrep -i 'Set-Cookie|Host:|Cookie:'

Capturez tous les paquets ICMP

 tcpdump -n icmp

Afficher les paquets ICMP qui ne sont pas ECHO/REPLY (ping standard)

 tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

Capturer les e-mails SMTP/POP3

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

Dépannage des requêtes et réponses NTP

 tcpdump dst port 123

Capturez les informations d'identification et les commandes FTP

 tcpdump -nn -v port ftp or ftp-data

Rotation des fichiers de capture

 tcpdump  -w /tmp/capture-%H.pcap -G 3600 -C 200

Capturez le trafic IPv6

 tcpdump -nn ip6 proto 6

IPv6 avec UDP et lecture à partir d'un fichier de capture préalablement enregistré.

 tcpdump -nr ipv6-test.pcap ip6 proto 17

Détecter l'analyse des ports dans le trafic réseau

 tcpdump -nn

EXEMPLE D'UTILISATION

Exemple de filtre affichant les tests de script Nmap NSE

Sur la cible :

 nmap -p 80 --script=http-enum.nse targetip

Sur le serveur :

 tcpdump -nn port 80 | grep "GET /"
  
     GET /w3perl/ HTTP/1.1
     GET /w-agora/ HTTP/1.1
     GET /way-board/ HTTP/1.1
     GET /web800fo/ HTTP/1.1
     GET /webaccess/ HTTP/1.1
     GET /webadmin/ HTTP/1.1
     GET /webAdmin/ HTTP/1.1

Capturez les paquets de début et de fin de chaque hôte non local

 tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

Capturer les requêtes et réponses DNS

Filtrage DNS avec Tcpdump

 tcpdump -i wlp58s0 -s0 port 53

Capturez les paquets de données HTTP

 tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

Principaux hôtes par paquets

 tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20

Capturez tous les mots de passe en clair

 tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -l -A | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd=|password=|pass:|user:|username:|password:|login:|pass |user '

tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -lA | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd= |password=|pass:|user:|username:|password:|login:|pass |user '

Exemple DHCP

 tcpdump -v -n port 67 or 68

Requêtes GET en texte clair

 tcpdump -vvAls0 | grep 'GET'

Rechercher les en-têtes d'hôte HTTP

 tcpdump -vvAls0 | grep 'Host:'

Rechercher des cookies HTTP

 tcpdump -vvAls0 | grep 'Set-Cookie|Host:|Cookie:'

Rechercher des connexions SSH

 tcpdump 'tcp[(tcp[12]>>2):4] = 0x5353482D'

Rechercher le trafic DNS

 tcpdump -vvAs0 port 53

Rechercher du trafic FTP

 tcpdump -vvAs0 port ftp or ftp-data

Trouver le trafic NTP

 tcpdump -vvAs0 port 123

Capturer les e-mails SMTP/POP3

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

Mode tampon de ligne

 tcpdump -i eth0 -s0 -l port 80 | grep 'Server:'

Trouver du trafic avec un bit maléfique

 tcpdump 'ip[6] & 128 != 0'

Filtrer sur les champs de protocole (ICMP) et spécifiques au protocole (type ICMP)

Tcpdump : filtrer les paquets avec les indicateurs TCP

tcpdump -n icmp et 'icmp[0] != 8 et icmp[0] != 0'

La même commande peut être utilisée avec un décalage de champ d'en-tête prédéfini (icmptype) et des valeurs de champ de type ICMP (icmp-echo et icmp-echoreply) :

 tcpdump -n icmp and icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply

Filtrer sur le champ TOS

 tcpdump -v -n ip and ip[1]!=0

Filtrer sur le champ TTL

 tcpdump -v ip and 'ip[8]<2'

Filtrer sur les drapeaux TCP (SYN/ACK)

 tcpdump -n tcp and port 80 and 'tcp[tcpflags] & tcp-syn == tcp-syn'

Dans l'exemple ci-dessus, tous les paquets avec l'indicateur TCP SYN défini sont capturés. D'autres indicateurs (ACK, par exemple) peuvent également être définis. Les paquets pour lesquels seuls les indicateurs TCP SYN sont définis peuvent être capturés

 tcpdump tcp and port 80 and 'tcp[tcpflags] == tcp-syn'

Attrapez les paquets TCP SYN/ACK (généralement, les réponses des serveurs) :

 tcpdump -n tcp and 'tcp[tcpflags] & (tcp-syn|tcp-ack) == (tcp-syn|tcp-ack)'
tcpdump -n tcp and 'tcp[tcpflags] & tcp-syn == tcp-syn' and 'tcp[tcpflags] & tcp-ack == tcp-ack'

Attraper les paquets ARP

 tcpdump -vv -e -nn ether proto 0x0806

Filtrer sur la longueur des paquets IP

 tcpdump -l icmp and '(ip[2:2]>50)' -w - |tcpdump -r - -v ip and '(ip[2:2]<60)'

Remarque : à cause d'un bug dans tcpdump, la commande suivante ne récupère pas les paquets comme prévu :

 tcpdump -v -n icmp and '(ip[2:2]>50)' and '(ip[2:2]<60)'

Filtrer sur le contenu encapsulé (ICMP dans PPPoE)

 tcpdump -v -n icmp

Queiter

 tcpdump -q -i eth0
tcpdump -t -i eth0
tcpdump -A -n -q -i eth0 'port 80'
tcpdump -A -n -q -t -i eth0 'port 80'

Imprimez uniquement les paquets utiles du trafic HTTP

 tcpdump -A -s 0 -q -t -i eth0 'port 80 and ( ((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12:2]&0xf0)>>2)) != 0)'

Vider le trafic SIP

 tcpdump -nq -s 0 -A -vvv port 5060 and host 1.2.3.4

Vérification du contenu des paquets

 tcpdump -i any -c10 -nn -A port 80

Vérification du contenu des paquets

 sudo tcpdump -i any -c10 -nn -A port 80

Références et wikis géniaux

Capturez les paquets ICMP avec Tcpdump

Débogage des paquets SSH avec Tcpdump

Utilisation de Tcpdump pour filtrer les paquets DNS

Apprendre le guide rapide de tcpdump

Filtrage DNS avec Tcpdump

Filtrage des paquets CDP LLDP avec Tcpdump

Aide-mémoire Tcpdump (exemples avancés de base)

FIN!

Développer