Hoy les traigo un pequeño tutorial de tcpdump, este grandioso sniffer de tráfico de red para Linux!
Tcpdump es un sniffer de tráfico de red open source licenciado bajo Licencia 3-clause BSD (http://opensource.org/licenses/BSD-3-Clause) que hace uso de las bibliotecas PCAP para funcionar, por supuesto, también licenciadas como código abierto.
Un sniffer es un paquete de software que permite leer el tráfico que pasa por nuestra tarjeta de red, y trabajarlo de alguna forma. tcpdump lee dicho tráfico, y nos permite ver y analizar diferentes parámetros, así como también filtrar paquetes y tramas dependiendo de ciertos patrones y condiciones complejas.
Cabe aclarar también que tcpdump es uno de los sniffers más conocidos, y es un capturador de paquetes de línea de comandos 🙂
Instalando tcpdump
En Debian, tcpdump se instala de la siguiente manera:
aptitude install tcpdump
Podremos apreciar que el comando también instala las bibliotecas pcap, puesto que son una dependencia de practicamente todos los sniffers abiertos.
Sintaxis y modificadores
Una sintaxis simple del comando es la siguiente:
tcpdump [OPCIONES] [PATRON]
Donde OPCIONES hace referencia a modificadores de línea de comando, mientras que PATRON se refiere a los patrones y condiciones de filtrado de tráfico de red.
Algunas opciones interesantes
Algunas opciones extraidas de la gran lista de modificadores de tcpdump (ver man tcpdump) podríamos considerar a las siguientes:
-i <iface>
Permite especificar la interfaz de red en la que vamos a atender el tráfico.
-c <numero>
Permite limitar la cantidad de paquetes capturados en un número determinado.
-n
Evita la resolución de puertos y direcciones ip a nombres.
-e
Muestra las cabeceras ethernet además del paquete ip.
-t
No imprime la estampa de tiempo de captura de cada paquete.
-x
Muestra el contenido hexadecimal de la trama capturada.
-xx
Idem a -x, pero además muestra el contenido de la cabecera Ethernet.
-X
Muestra el contenido hexadecimal y en ASCII de la trama capturada.
-XX
Idem a -X, pero además el contenido incluye los datos de la cabecera Ethernet.
-A
Solo muesta el contenido ASCII del paquete capturado.
-s <numero>
Muestra solo los primeros <numero> bytes desde el principio del paquete.
-vv
Muestra información adicional, incluyendo parámetros de las cabeceras de protocolo.
-w file
Permite guardar la salida en un archivo con formato pcap.
-r file
Permite leer los paquetes previamente capturados y almacenados en un archivo pcap.
Veamos algunos ejemplos:
Capturamos comúnmente:
diego@sol:~$ sudo tcpdump -nn -i eth0 -c 3
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
01:32:21.770711 IP 64.233.186.125.5222 > 192.168.2.102.46875: Flags [P.], seq 3172999621:3173000004, ack 184506593, win 902, options [nop,nop,TS val 2254316366 ecr 4881100], length 383
01:32:21.770762 IP 192.168.2.102.46875 > 64.233.186.125.5222: Flags [.], ack 383, win 2423, options [nop,nop,TS val 4887258 ecr 2254316366], length 0
01:32:21.771378 IP 192.168.2.102.46875 > 64.233.186.125.5222: Flags [P.], seq 1:152, ack 383, win 2423, options [nop,nop,TS val 4887258 ecr 2254316366], length 151
diego@sol:~$ sudo tcpdump -nn -r /tmp/captura.pcap -A
reading from file /tmp/captura.pcap, link-type EN10MB (Ethernet)
01:38:43.885290 IP 192.168.2.102 > 8.8.8.8: ICMP echo request, id 7140, seq 379, length 64
E..TO~@.@......f...........{...T............................ !"#$%&'()*+,-./01234567
01:38:43.962307 IP 8.8.8.8 > 192.168.2.102: ICMP echo reply, id 7140, seq 379, length 64
E..T......`........f.......{...T............................ !"#$%&'()*+,-./01234567
01:38:44.890018 IP 192.168.2.102 > 8.8.8.8: ICMP echo request, id 7140, seq 380, length 64
E..TO.@.@......f...........|...T............................ !"#$%&'()*+,-./01234567
Conclusiones:
Hemos visto algunos de los modificadores del comando tcpdump. Otras variantes y opciones podemso analizarlas en en man:
man tcpdump
En otro artículo podremos analizar las expresiones de filtro de paquetes con las que tcpdump se vuelve una verdadera navaja suiza en el mundo de los sniffers de trafico abiertos!
Les dejo además un breve video en el que podrán ver algunos ejemplos del uso de tcpdump.
Hoy veremos de qué puede servirnos un sniffer de tráfico de red como wireshark/tshark o tcpdump para analizar algunos segmentos TCP particulares: los inicios de conexión TCP SYN. Analizar los mensajes SYN y SYN-ACK en Leer más…
HTTP es uno de los protocolos TCP/IP de capa de aplicación más utilizado en Internet: Sitios web y API’s REST hacen uso de este protocolo, por lo que es importante entender cómo funciona. Cuando visitamos Leer más…
Respondiendo una consulta que me hizo un alumno del curso de iptables, hoy aprenderemos el concepto de NAT (Network Address Translation), y las diferencias entre SNAT y DNAT Este contenido complementa nuestro curso de IPTables. Leer más…
e pasa por nuestra tarjeta de red, y trabajarlo de alguna forma. tcpdump lee dicho tráfico, y nos permite ver y analizar diferentes parámetros, así como también filtrar paquetes y tramas dependiendo de ciertos patrones y condiciones complejas.