Ya vimos en la primera parte de esta serie dedicada a Herramientas para la interpretación de capturas de red, el uso de Windump y TCPDump y la primera parte de la creación y establecimiento de filtros .pcap.
En la segunda hemos avanzado bastante en los filtros e interpretadas algunas capturas. Seguimos ahora con la herramienta de captura Tshark. Los comandos, aplicación de filtros y formateo de datos, preferencias de columnas, etc.
Introducción a Tshark.
Tshark no es otra cosa que la herramienta de captura de tráfico de red Wirehsark pero en línea de comandos. Se sitúa en un nivel intermedio entre capturadores como Windump o TCPDump y Wireshark que vermos más adelante.
Sin más dilación comenzamos a usar Tshark.
Listamos las interfaces:
[email protected]:~# tshark -D 1. eth0 2. usbmon1 (USB bus number 1) 3. usbmon2 (USB bus number 2) 4. any (Pseudo-device that captures on all interfaces) 5. lo
Ejecutamos Tshark usando la interface eth0:
[email protected]:~# tshark -i1 Running as user "root" and group "root". This could be dangerous. Capturing on eth0 0.000000 192.168.1.5 -> 82.159.204.86 TCP 6895 > http [FIN, ACK] Seq=1 Ack=1 Win=64167 Len=0 0.000752 82.159.204.86 -> 192.168.1.5 TCP http > 6895 [ACK] Seq=1 Ack=2 Win=64581 Len=0 0.462409 Dell_89:85:5b -> Broadcast ARP Who has 192.168.1.29? Tell 192.168.1.239 2.261727 3Com_dd:e9:07 -> Broadcast ARP Who has 192.168.1.1? Tell 192.168.1.56 6.260476 3Com_dd:e9:07 -> Broadcast ARP Who has 192.168.1.1? Tell 192.168.1.56 6.913459 Dell_d3:4f:0c -> Broadcast ARP Who has 192.168.1.28? Tell 192.168.1.237 7.211227 MS-NLB-PhysServer-01_00:00:00:00 -> Broadcast MS NLB MS NLB heartbeat ^C7 packets captured
Condicionando las capturas:
Podemos condicionar las capturas atendiendo, por ejemplo, a criterios de tiempo o de cantidad de paquetes capturados, haciendo que Tshark finalice la captura cuando deseemos:
- -c termina la captura hasta n paquetes
- -aduration n termina la captura hasta n segundos
- –afilesize n termina la captura hasta n Kb. (cuando salvemos a fichero la captura).
- -afiles n termina la captura hasta n ficheros (en caso de múltiples capturas)
Ejemplos:
- La captura termina después de 10 segundos: tshark -i1 -aduration:10
- La captura termina despues de salvar 200 Kb. en el fichero: tshark -i1 -afilesize:200 -w fichero.pcap
- La captura termina después de 10 paquetes capturados: tshark -i1 -c 10