Weboldal keresés

ngrep – hálózati csomagelemző Linuxhoz

Az Ngrep (hálózati grep) egy egyszerű, de hatékony hálózati csomagelemző. Ez egy grep-szerű eszköz, amelyet a hálózati rétegre alkalmaznak – egyezteti a hálózati interfészen áthaladó forgalmat. Lehetővé teszi egy kiterjesztett reguláris vagy hexadecimális kifejezés megadását, amely illeszkedik a csomagok adatterheléséhez (az átvitt adatok tényleges információi vagy üzenetei, de nem automatikusan generált metaadatok).

Ez az eszköz különféle típusú protokollokkal működik, beleértve az IPv4/6-ot, a TCP-t, az UDP-t, az ICMPv4/6-ot, az IGMP-t, valamint a Raw-t számos interfészen. Ugyanúgy működik, mint a tcpdump csomagszippantó eszköz.

Az ngrep csomag telepíthető a főbb Linux disztribúciók alapértelmezett rendszertáraiból a csomagkezelő eszköz segítségével, az ábrán látható módon.

sudo apt install ngrep
sudo yum install ngrep
sudo dnf install ngrep

Az ngrep telepítése után megkezdheti a Linux-hálózat forgalmának elemzését a következő példák segítségével.

1. A következő parancs segít az összes ping kérésnek az alapértelmezett működő felületen történő egyeztetésében. Meg kell nyitnia egy másik terminált, és meg kell próbálnia pingelni egy másik távoli gépet. A -q jelző arra utasítja az ngrep-et, hogy csendesen működjön, és ne adjon ki semmilyen más információt a csomagfejléceken és azok hasznos terhelésén kívül.

sudo ngrep -q '.' 'icmp'

interface: enp0s3 (192.168.0.0/255.255.255.0)
filter: ( icmp ) and ((ip || ip6) || (vlan && (ip || ip6)))
match: .

I 192.168.0.104 -> 192.168.0.103 8:0
  ]...~oG[....j....................... !"#$%&'()*+,-./01234567                                                                                                             

I 192.168.0.103 -> 192.168.0.104 0:0
  ]...~oG[....j....................... !"#$%&'()*+,-./01234567                                                                                                             

I 192.168.0.104 -> 192.168.0.103 8:0
  ]....oG[............................ !"#$%&'()*+,-./01234567                                                                                                             

I 192.168.0.103 -> 192.168.0.104 0:0
  ]....oG[............................ !"#$%&'()*+,-./01234567

A Ctrl + C lenyomásával fejezheti be.

2. Ha csak egy adott célwebhelyre (például "google.com") érkező forgalmat szeretné egyeztetni, futtassa a következő parancsot, majd próbálja meg elérni azt egy böngészőből.

sudo ngrep -q '.' 'host google.com'

interface: enp0s3 (192.168.0.0/255.255.255.0)
filter: ( host google.com ) and ((ip || ip6) || (vlan && (ip || ip6)))
match: .

T 172.217.160.174:443 -> 192.168.0.103:54008 [AP]
  ..................;.(...RZr..$....s=..l.Q+R.U..4..g.j..I,.l..:{y.a,....C{5>[email ..                                                                       

T 172.217.160.174:443 -> 192.168.0.103:54008 [AP]
  .............l.......!,0hJ....0.%F..!...l|.........PL..X...t..T.2DC..... ..y...~Y;[email 

3. Ha az interneten szörföl, futtassa a következő parancsot, hogy figyelje, mely fájlokat kéri a böngésző:.

sudo ngrep -q '^GET .* HTTP/1.[01]'

interface: enp0s3 (192.168.0.0/255.255.255.0)
filter: ((ip || ip6) || (vlan && (ip || ip6)))
match: ^GET .* HTTP/1.[01]

T 192.168.0.104:43040 -> 172.217.160.174:80 [AP]
  GET / HTTP/1.1..Host: google.com..User-Agent: Links (2.13; Linux 4.17.6-1.el7.elrepo.x86_64 x86_64; 
  GNU C 4.8.5; text)..Accept: */*..Accept-Language: en,*;q=0.1..Accept-
  Encoding: gzip, deflate, bzip2..Accept-Charset: us-ascii,ISO-8859-1,ISO-8859-2,ISO-8859-3,ISO-8859-4,
  ISO-8859-5,ISO-8859-6,ISO-8859-7,ISO-8859-8,ISO-8859-9,ISO-8859-10,I
  SO-8859-13,ISO-8859-14,ISO-8859-15,ISO-8859-16,windows-1250,windows-1251,windows-1252,windows-1256,
  windows-1257,cp437,cp737,cp850,cp852,cp866,x-cp866-u,x-mac,x-mac-ce,x-
  kam-cs,koi8-r,koi8-u,koi8-ru,TCVN-5712,VISCII,utf-8..Connection: keep-alive....

4. A forrás- vagy célporton (25) (SMTP) átmenő összes tevékenység megtekintéséhez futtassa a következő parancsot.

sudo ngrep port 25

5. Ha a hálózati alapú rendszernapló-forgalmat az "hiba" szó előfordulása miatt szeretné figyelni, használja a következő parancsot.

 
sudo ngrep -d any 'error' port 514

Fontos, hogy ez az eszköz a „/etc/services” könyvtárban tárolt szolgáltatásportneveket (Unix-szerű rendszereken, például Linuxon) portszámokká tudja konvertálni. Ez a parancs megegyezik a fenti paranccsal.

sudo ngrep -d any 'error' port syslog

6. Futtathatja az ngrep-et egy HTTP-szerveren is (a 80-as port), amely az összes kérést a célállomáshoz illeszti, ahogy az ábra mutatja.

sudo ngrep port 80

interface: eth0 (64.90.164.72/255.255.255.252)
filter: ip and ( port 80 )
####
T 67.169.59.38:42167 -> 64.90.164.74:80 [AP]
  GET / HTTP/1.1..User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; X11; Linux i
  686) Opera 7.21  [en]..Host: www.darkridge.com..Accept: text/html, applicat
  ion/xml;q=0.9, application/xhtml+xml;q=0.9, image/png, image/jpeg, image/gi
  f, image/x-xbitmap, */*;q=0.1..Accept-Charset: iso-8859-1, utf-8, utf-16, *
  ;q=0.1..Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0..Cookie: SQ
  MSESSID=5272f9ae21c07eca4dfd75f9a3cda22e..Cookie2: $Version=1..Connection:
  Keep-Alive, TE..TE: deflate, gzip, chunked, identity, trailers....
##

Amint a fenti kimeneten látható, az összes HTTP-fejléc átvitel a véres részletességében jelenik meg. Ennek ellenére nehéz elemezni, ezért nézzük meg, mi történik, ha a -W byline módot alkalmazza.

sudo ngrep -W byline port 80

interface: eth0 (64.90.164.72/255.255.255.252)
filter: ip and ( port 80 )
####
T 67.169.59.38:42177 -> 64.90.164.74:80 [AP]
GET / HTTP/1.1.
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; X11; Linux i686) Opera ...
Host: www.darkridge.com.
Accept: text/html, application/xml;q=0.9, application/xhtml+xml;q=0.9 ...
Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1.
Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0.
Cookie: SQMSESSID=5272f9ae21c07eca4dfd75f9a3cda22e.
Cookie2: $Version=1.
Cache-Control: no-cache.
Connection: Keep-Alive, TE.
TE: deflate, gzip, chunked, identity, trailers.

7. Ha egy időbélyeget szeretne nyomtatni ÉÉÉÉ/HH/NN ÓÓ:PP:SS.UUUUUU minden egyes csomagegyeztetéskor, használja a -t jelzőt.

sudo ngrep -t -W byline port 80

interface: enp0s3 (192.168.0.0/255.255.255.0)
filter: ( port 80 ) and ((ip || ip6) || (vlan && (ip || ip6)))
####
T 2018/07/12 16:33:19.348084 192.168.0.104:43048 -> 172.217.160.174:80 [AP]
GET / HTTP/1.1.
Host: google.com.
User-Agent: Links (2.13; Linux 4.17.6-1.el7.elrepo.x86_64 x86_64; GNU C 4.8.5; text).
Accept: */*.
Accept-Language: en,*;q=0.1.
Accept-Encoding: gzip, deflate, bzip2.
Accept-Charset: us-ascii,ISO-8859-1,ISO-8859-2,ISO-8859-3,ISO-8859-4,ISO-8859-5,utf-8.
Connection: keep-alive.

8. Annak elkerülése érdekében, hogy a felügyelt interfész promiscuous módba kerüljön (ahol elfog és beolvas minden hálózati csomagot, amely teljes egészében érkezik), adja hozzá a -p jelzőt.

sudo ngrep -p -W byline port 80

9. Egy másik fontos lehetőség a -N, amely akkor hasznos, ha nyers vagy ismeretlen protokollokat figyel meg. Azt mondja az ngrepnek, hogy jelenítse meg az alprotokoll számát az egykarakteres azonosítóval együtt.

sudo ngrep -N -W byline

További információért tekintse meg az ngrep kézikönyvoldalt.

man ngrep

ngrep Github adattár: https://github.com/jpr5/ngrep

Ez minden! Az Ngrep (hálózati grep) egy hálózati csomagelemző, amely a tcpdump-hoz hasonlóan értelmezi a BPF-szűrő logikáját. Szeretnénk megtudni az Ön véleményét az ngrepről a megjegyzések részben.