成都一飛科技有限公司為您主要提供弱電專(zhuān)業(yè)分包,成都酒店弱電施工,成都學(xué)校弱電工程等相關(guān)的展示和信息更新,歡迎您的收藏。

18981976183

頁(yè)面位置頁(yè)面位置:首頁(yè) > 幾種常見(jiàn)網(wǎng)絡(luò )抓包方式介紹
產(chǎn)品中心

News

新聞中心

產(chǎn)品中心

Product

產(chǎn)品中心

聯(lián)系方式/Contact information

  • 聯(lián)系人聯(lián)系人:周先生
  • 聯(lián)系電話(huà)聯(lián)系電話(huà):18981976183
  • 聯(lián)系地址聯(lián)系地址:四川省成都市時(shí)代數碼廣場(chǎng)A座21樓A3-5號
在線(xiàn)咨詢(xún)

幾種常見(jiàn)網(wǎng)絡(luò )抓包方式介紹

來(lái)源:http://www.808992.com/news954712.html時(shí)間:2023-07-11 15:05:00

無(wú)論作為網(wǎng)絡(luò )運維人員,還是安全滲透工程師,在工作中都會(huì )無(wú)可避免地碰到網(wǎng)絡(luò )抓包的需求。

對網(wǎng)絡(luò )運維人員,網(wǎng)絡(luò )抓包可以:

定位網(wǎng)絡(luò )里的異常設備;

排查網(wǎng)絡(luò )性能瓶頸;

了解真實(shí)的網(wǎng)絡(luò )互聯(lián)狀態(tài)。

對安全滲透工程師,網(wǎng)絡(luò )抓包可以:

有助于逆向分析聯(lián)網(wǎng)型App;

從真實(shí)流量中發(fā)現可利用的漏洞;

定位可能的網(wǎng)絡(luò )后門(mén)和木馬。

以上這些目標,往往無(wú)法僅靠在本機上抓包完成,必須在網(wǎng)絡(luò )層有更方便的抓包解決方案。在古早還使用集線(xiàn)器(Hub)時(shí),由于Hub設備不夠“智能”,它會(huì )把所有的流量轉發(fā)給所有的端口(除了發(fā)出端口之外),所以只要把監聽(tīng)機

器的網(wǎng)卡設置為混雜模式(promiscuous mode),即可收到接在同一個(gè)Hub上其他機器的流量。但這種方式隨著(zhù)Hub退出市場(chǎng),也慢慢不再適用了。

以下介紹幾種在實(shí)驗室環(huán)境和中小型網(wǎng)絡(luò )里的網(wǎng)絡(luò )抓包方式。它們不是企業(yè)級專(zhuān)業(yè)級的解決方案,而更適用于個(gè)人網(wǎng)絡(luò )逆向分析和問(wèn)題定位。

一、網(wǎng)絡(luò )分流器(TAP)

網(wǎng)絡(luò )分流器大多都是無(wú)源型(passive)設備,所以不需要裝任何軟件,不需要有什么額外知識,就能抓到流經(jīng)網(wǎng)線(xiàn)的流量。一款非常小巧便攜的適合個(gè)人使用的網(wǎng)絡(luò )分析器如圖:


上圖東西的全名叫“Throwing Star LAN TAP”,用上述關(guān)鍵字在淘寶可以找到,盛惠50大元。通過(guò)和參照物的對比,可以看出它非常小巧,而且無(wú)需電源供電,只是在接入網(wǎng)絡(luò )時(shí)會(huì )引起短暫的網(wǎng)絡(luò )中斷,基本對網(wǎng)絡(luò )沒(méi)有影響。

它共有4個(gè)RJ45口,形成一個(gè)飛鏢狀(飛鏢的英文就是“Throwing Star”)的十字結構。使用時(shí)把J1-J2串入需要做抓包的網(wǎng)絡(luò )中,J3和J4連接抓包機器。也就說(shuō)J3和J4兩個(gè)口,是分別捕獲流入和流出兩個(gè)方向的流量,再分別復制給監聽(tīng)系統的兩個(gè)網(wǎng)絡(luò )端口的。所以要想同時(shí)捕獲監控鏈路里的所有流量,監控工作臺電腦必須有兩塊用于嗅探的網(wǎng)卡。這個(gè)也并不難實(shí)現,除了默認的有線(xiàn)網(wǎng)卡之外,只要再接一個(gè)USB接口的有線(xiàn)網(wǎng)卡即可。以下為T(mén)AP接入網(wǎng)絡(luò )的場(chǎng)景:



TAP可以直接串在要抓包的設備前面,也可以接到某臺交換設備前面。如果接在交換設備前,得到的流量可能很大,在設置抓包參數時(shí)需要做適當的過(guò)濾。如上圖示意圖,我們使用的抓包機器為 Linux系統,上有兩塊有線(xiàn)網(wǎng)卡,分別連接J3和J4接口。要注意的是,抓包機器這樣接入TAP后,自身是無(wú)法上網(wǎng)的!

在抓包機器上,執行 tshark-D 命令,獲得系統里當前可以抓包的所有接口列表。需要對哪個(gè)接口抓包,可以用 -i 參數指定。如下圖的網(wǎng)卡列表中,排名第一的 "1.enp0s25" 即為系統自帶有線(xiàn)網(wǎng)卡,排名第二的 “2. enx00e04c680039” 是USB接口的有線(xiàn)網(wǎng)卡。如果需要同時(shí)對兩塊網(wǎng)卡做抓包,只需要在 tshark -i 參數后,加入網(wǎng)卡編號即可。所以最后執行的命令為: tshark-i1-i2-w cap2.pcap,就可以把流經(jīng)TAP的全部流量,保存到 cap2.pcap 文件里。

以上步驟雖然是以L(fǎng)inux操作系統的抓包機器來(lái)做示例,但完全可以移植到其他平臺,如Windows平臺甚至可以直接在圖形界面的Wireshark里選定要抓包的網(wǎng)絡(luò )接口,操作上更直觀(guān)可用。從獲得的cap2.pcap抓包文件里再做細致的數據包分析和檢索。

如下圖中查看的端點(diǎn)列表。

以及下圖中的往來(lái)HTTP流量。如果抓包機器上只有一個(gè)網(wǎng)卡,只能連到J3/J4接口之一,則下面這個(gè)截圖里的HTTP流量,在同一時(shí)間內只能獲得請求或者響應單個(gè)方向的流量。

二、有網(wǎng)管功能的小交換機

上面介紹的無(wú)源 TAP固然非常便攜,但如果不樂(lè )意在自己機器上多準備一個(gè)網(wǎng)絡(luò )接口,就無(wú)法同時(shí)抓到雙向的流量。如何解決這個(gè)問(wèn)題呢?最簡(jiǎn)單的方式,是使用具備網(wǎng)管功能的交換機?,F在具備網(wǎng)管功能的交換機并不昂貴,有大量適用于辦公網(wǎng)絡(luò )的小交換機可供選購。在選購的過(guò)程中,請注意它的功能列表是否標有“支持端口鏡像”,如果有,就可以滿(mǎn)足抓包的需求。如我們測試使用的這款tp-link TL-SG2005小交換機:


這類(lèi)設備使用方式取決于不同的品牌和型號,請閱讀相關(guān)說(shuō)明說(shuō)。在我們這款設備中,只需要把監控機器接到某個(gè)網(wǎng)絡(luò )接口(下圖中抓包機器接在端口5上),并訪(fǎng)問(wèn)內置Web控制臺,從Web控制臺上,指定對哪個(gè)或哪幾個(gè)端口進(jìn)行流量鏡像即可(下圖中需要被抓包的機器在端口4上)。 配置示例如下圖:

如上圖設置完成后,即可在端口5所連的抓包機器上,非常方便地對接在端口4所接機器執行抓包監控。

三、用兩塊網(wǎng)卡的Linux方案

hmmm,上面的方法確實(shí)都很不錯啦,但好像都只支持有線(xiàn)連接的設備抓包?如果需要對無(wú)線(xiàn)設備的流量抓包怎么辦呢?這可以通過(guò)各種裝有2個(gè)網(wǎng)卡,搭建自己的無(wú)線(xiàn) AP實(shí)現。預算低的可以選擇樹(shù)莓派這類(lèi)ARM平臺硬件系統,預算充裕的可以選擇帶無(wú)線(xiàn)網(wǎng)卡的各種迷你電腦。自行在這些機器安裝合適的Linux發(fā)行版,并把這些設備配置成“有線(xiàn)-無(wú)線(xiàn)網(wǎng)卡”的網(wǎng)橋/無(wú)線(xiàn)接入點(diǎn),然后直接在這臺機器的網(wǎng)橋接口上進(jìn)行抓包。這種方式可以指定源端機器的詳細信息做過(guò)濾,如IP地址或MAC地方,抓包過(guò)濾可以更定制化更精確。以下我們以裝了基于Debian系統的樹(shù)莓派舉例說(shuō)明大體步驟。

樹(shù)莓派已自帶一塊有線(xiàn)網(wǎng)卡和一塊無(wú)線(xiàn)網(wǎng)卡接口,在系統中分別名為eth0和wlan0。以下用樹(shù)莓派3在官方Raspbian平臺的情況舉例。

首先安裝 (1)網(wǎng)橋管理程序 bridge-utils、(2)軟AP接入點(diǎn)管理程序hostapd、(3)命令行抓包工具tshark 和 (4)隨機數產(chǎn)生工具rng-tools:

sudo apt-get install -y bridge-utils hostapd tshark rng-tools

要啟用網(wǎng)橋功能,需要在內核里把 net.ipv4.ip_forward 置為1。修改 /etc/sysctl.conf ,加入以下這行:

net.ipv4.ip_forward=1

創(chuàng )建一個(gè)網(wǎng)橋br0,編輯 /etc/network/interfaces,把eth0 網(wǎng)卡加入網(wǎng)橋br0,把網(wǎng)橋br0的IP,設置為原來(lái)eth0的IP。

也就是【address 192.168.99.13】這一行,應為 eth0 網(wǎng)卡的原IP地址,其他信息如網(wǎng)關(guān)和dns等請根據實(shí)際情況修改。

auto lo

iface lo inet loopback


auto eth0

iface eth0 inet manual


allow-hotplug wlan0

iface wlan0 inet manual


#創(chuàng )建一個(gè)網(wǎng)橋br0,把eth0加入這個(gè)網(wǎng)橋

#給網(wǎng)橋指定一個(gè)靜態(tài)IP,這里用192.168.99.13,是因為樹(shù)莓派所接網(wǎng)段為192.168.99.0/24,需要根據實(shí)際情況修改

#網(wǎng)橋的靜態(tài)IP建議和原來(lái)的eth0靜態(tài)ip保持一致,雖然不是強制項

auto br0

iface br0 inet static

        bridge_ports eth0

        address 192.168.99.13

        netmask 255.255.255.0

        network 192.168.99.0

        broadcast 192.168.99.255

        gateway   192.168.99.1

        dns-nameservers 8.8.8.8


#如果網(wǎng)橋需要用dhcp方式獲得IP

#iface br0 inet dhcp

把無(wú)線(xiàn)網(wǎng)卡wlan0配置為AP熱點(diǎn),熱點(diǎn)的ssid名為【wifi_ssid】,密碼為【12345678】,編輯文件 /etc/hostapd/hostapd.conf :

# 把wlan0網(wǎng)卡配置為ap熱點(diǎn)

interface=wlan0

driver=nl80211

hw_mode=g

channel=6

ieee80211n=1

wmm_enabled=1

ht_capab=[HT40][SHORT-GI-20][DSSS_CCK-40]

macaddr_acl=0

auth_algs=1

ignore_broadcast_ssid=0

wpa=2

wpa_key_mgmt=WPA-PSK

rsn_pairwise=CCMP

# 接入點(diǎn)名稱(chēng),可按實(shí)際需求修改

ssid=wifi_ssid

# 接入點(diǎn)驗證密碼,可按實(shí)際需求修改

wpa_passphrase=12345678

# 把接入點(diǎn)加入網(wǎng)橋br0

bridge=br0

要持久化以上熱點(diǎn)配置,編輯hostapd服務(wù)文件,執行命令 sudo vi/etc/systemd/system/hostapd.service,把 /etc/systemd/system/hostapd.service 文件的內容設置為:

[Unit] Description=Hostapd Service [Service] Type=forking ExecStart=/usr/sbin/hostapd -B /etc/hostapd/hostapd.conf [Install] #WantedBy=multi-user.target WantedBy=graphical.target Alias=hostapd.service

其中【W(wǎng)antedBy=】一行取決于當前系統的默認啟動(dòng)級別,可以先執行命令 systemctlget-default 確認默認啟動(dòng)級別。根據實(shí)際情況,選擇其中一種。

再把hostapd服務(wù)指定為自啟動(dòng)模式:

sudo update-rc.d hostapd defaults
sudo update-rc.d hostapd enable
service hostapd status

完成后重啟機器, sudo reboot now 。

重啟重新登錄系統后,執行以下命令查看網(wǎng)橋br0的狀態(tài):

$ brctl show br0
bridge name     bridge id               STP enabled     interfaces
br0             8000.b827eb99a031       no              eth0
                                                        wlan0

$ifconfig br0
br0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.99.90  netmask 255.255.255.0  broadcast 192.168.99.255
        inet6 fe80::ba27:ebff:fe99:a031  prefixlen 64  scopeid 0x20<link>

執行以下命令,驗證和查看wlan0網(wǎng)卡上的熱點(diǎn)狀態(tài),在返回的內容里,看到【ssid wifi_ssid】,即為熱點(diǎn)正常啟動(dòng)。

$sudo iw wlan0 info
Interface wlan0
        ifindex 3
        wdev 0x1
        addr b8:27:eb:cc:f5:64
        ssid wifi_ssid
        type AP
        wiphy 0
        channel 6 (2437 MHz), width: 20 MHz, center1: 2437 MHz
        txpower 31.00 dBm

重啟和驗證過(guò)網(wǎng)橋和熱點(diǎn)信息后,掃描所在無(wú)線(xiàn)網(wǎng)絡(luò ),果然看到名為“wifi_ssid”的接入點(diǎn)。從手機的WIFI設置上,選擇加入該無(wú)線(xiàn)網(wǎng)絡(luò ):


此時(shí)只要登錄樹(shù)莓派,執行以下命令行,在 host參數里指定手機的IP地址,即可對該IP的所有流量進(jìn)行精確抓包:

tshark -i br0 -w traffic_from_mobile.pcap 'host 192.168.99.114'

最后得到的 traffic_from_mobile.pcap 文件里就獲得這臺手機的完整流量了。

四、總結

從以上介紹可以看出,網(wǎng)絡(luò )層抓包有各種可選方式,建議根據自己的需求和具體網(wǎng)絡(luò )架構,選擇適用的模式。另外也可以進(jìn)行多種模式的疊加和串接,實(shí)現更靈活的抓包模式。

同時(shí)我們也要提醒一下:網(wǎng)絡(luò )抓包有風(fēng)險!不要貿然實(shí)施未獲授權的抓包,可能會(huì )違法違規,以上方式只建議在實(shí)驗和學(xué)習環(huán)境中使用。

最后,我們也再完整地總結一下上述三種方式的對比:

分流器(TAP)小交換機迷你電腦
成本最低大約50元最低大約200元最低大約220元
復雜程度簡(jiǎn)單簡(jiǎn)單稍微復雜
適用位置靈活有線(xiàn)無(wú)線(xiàn)\
缺陷抓包機器需要兩個(gè)網(wǎng)絡(luò )接口有源,需要額外配置需要一定的動(dòng)手能力

(朱筱丹 | 天存信息)

Ref

  1. J. Bullock, J T. Parker - Wireshark for security professionals
  2. Using a Raspberry Pi 3 as a WiFi Access Point and Bridge
  3. NetworkConfiguration
  4. RPI-Wireless-Hotspot






相關(guān)來(lái)源:Web安全,網(wǎng)絡(luò )抓包,

相關(guān)產(chǎn)品推薦