Утилита chaosreader (http://chaosreader.sourceforge.net) позволяет выделить пользовательские данные из лога tcpdump.
Например, можно сохранить переданные по FTP файлы, картинки запрошенные по HTTP, сообщения электронной почты переданные по SMTP,
ключи переданные в SSH сессии.
Дополнительно поддерживается выделение данные из дампа трафика различных туннелей, 802.11b и PPPoE.
Передав утилите chaosreader на вход накопленный дамп, на выходе получим html файл с анализом пересылок
и ссылками на встретившиеся в сессии файлы.
Собираем лог:
tcpdump -s9000 -w output1
Анализируем лог и выделяем все встретившиеся файлы:
chaosreader -ve output1
Анализируем только ftp и telnet трафик:
chaosreader -p 20,21,23 output1
Запускаем в режиме сниффера, сбрасывающего накопленные сессии 5 раз по 2 минуты каждая:
chaosreader -S 2,5
В комплект входит утилита replay, позволяющая вторично проиграть сценарий перехваченного telnet, rlogin, IRC, X11 или VNC сеансов.
Другие похожие утилиты:
* pcapsipdump (http://sourceforge.net/projects/psipdump) - выделение из потока SIP и RTP данных
для последующего прослушивания, каждая SIP сессия сохраняется в отдельный файл.
* smbsniff (http://www.hsc.fr/ressources/outils/smbsniff) - позволяет сохранять переданные по SMB/CIFS
протоколу файлы, присутствующие в перехваченном трафике;
* Tcpreplay(http://tcpreplay.synfin.net) - набор утилит для повторного инициирования сессий
на основе перехваченного трафика.
Оригинал: http://www.opennet.ru/tips/info/1968.shtml
Похожие статьи:
Прочитано: 12 017 раз(а)
(голосов:
2, среднее:
5,00 из 5)
Загрузка...
Отправить на почту
Эта статья размещена admin 03.03.2009 в 19:44 в рубриках FreeBSD, Networks. Метки: tcpdump.
Вы можете оставить отзыв или trackback с вашего собственного сайта. Отслеживайте все отзывы и комментарии к этой статье при помощи новостной ленты RSS.
lehisnoe сказал:
Есть в портах:
03.03.2009, 20:57— security/chaosreader
— net-mgmt/tcpreplay
lehisnoe сказал:
Кстати, я бы указывал -s0 вместо -s9000 в парамах tcpdump’a, т.к. цитата из man tcpdump:
04.03.2009, 09:44«… Setting snaplen to 0 means use the required length to catch whole packets.»