ngrep - Network Packet Analyzer fyrir Linux
Ngrep (net grep) er einfaldur en öflugur netpakkagreiningartæki. Það er grep-líkt tól sem er notað á netlagið - það passar við umferð sem fer yfir netviðmót. Það gerir þér kleift að tilgreina útbreidda reglubundna eða sextánstekna tjáningu til að passa við gagnahleðslu (raunverulegar upplýsingar eða skilaboð í sendum gögnum, en ekki sjálfvirkt mynduð lýsigögn) pakka.
Þetta tól vinnur með ýmsum gerðum af samskiptareglum, þar á meðal IPv4/6, TCP, UDP, ICMPv4/6, IGMP auk Raw á fjölda viðmóta. Það starfar á sama hátt og tcpdump pakkasniffing tól.
Hægt er að setja upp pakkann ngrep frá sjálfgefnum kerfisgeymslum í almennum Linux dreifingum með því að nota pakkastjórnunartól eins og sýnt er.
$ sudo apt install ngrep $ sudo yum install ngrep $ sudo dnf install ngrep
Eftir að ngrep hefur verið sett upp geturðu byrjað að greina umferð á Linux netinu þínu með því að nota eftirfarandi dæmi.
1. Eftirfarandi skipun mun hjálpa þér að passa við allar ping-beiðnir á sjálfgefna vinnuviðmótinu. Þú þarft að opna aðra útstöð og reyna að pinga aðra ytri vél. -q fáninn segir ngrep að vinna hljóðlega, að gefa ekki út neinar upplýsingar aðrar en pakkahausa og hleðslu þeirra.
$ sudo ngrep -q '.' 'icmp' interface: enp0s3 (192.168.0.0/255.255.255.0) filter: ( icmp ) and ((ip || ip6) || (vlan && (ip || ip6))) match: . I 192.168.0.104 -> 192.168.0.103 8:0 ]...~oG[....j....................... !"#$%&'()*+,-./01234567 I 192.168.0.103 -> 192.168.0.104 0:0 ]...~oG[....j....................... !"#$%&'()*+,-./01234567 I 192.168.0.104 -> 192.168.0.103 8:0 ]....oG[............................ !"#$%&'()*+,-./01234567 I 192.168.0.103 -> 192.168.0.104 0:0 ]....oG[............................ !"#$%&'()*+,-./01234567
Þú getur ýtt á Ctrl + C til að hætta því.
2. Til að passa aðeins við umferð sem fer á tiltekna áfangastað, til dæmis ‘google.com’, keyrðu eftirfarandi skipun og reyndu síðan að fá aðgang að henni úr vafra.
$ sudo ngrep -q '.' 'host google.com'
interface: enp0s3 (192.168.0.0/255.255.255.0)
filter: ( host google.com ) and ((ip || ip6) || (vlan && (ip || ip6)))
match: .
T 172.217.160.174:443 -> 192.168.0.103:54008 [AP]
..................;.(...RZr..$....s=..l.Q+R.U..4..g.j..I,.l..:{y.a,....C{5>[email
T 172.217.160.174:443 -> 192.168.0.103:54008 [AP]
.............l.......!,0hJ....0.%F..!...l|.........PL..X...t..T.2DC..... ..y...~Y;[email
3. Ef þú ert að vafra um vefinn skaltu keyra eftirfarandi skipun til að fylgjast með hvaða skrár vafrinn þinn biður um:.
$ sudo ngrep -q '^GET .* HTTP/1.[01]' interface: enp0s3 (192.168.0.0/255.255.255.0) filter: ((ip || ip6) || (vlan && (ip || ip6))) match: ^GET .* HTTP/1.[01] T 192.168.0.104:43040 -> 172.217.160.174:80 [AP] GET / HTTP/1.1..Host: google.com..User-Agent: Links (2.13; Linux 4.17.6-1.el7.elrepo.x86_64 x86_64; GNU C 4.8.5; text)..Accept: */*..Accept-Language: en,*;q=0.1..Accept- Encoding: gzip, deflate, bzip2..Accept-Charset: us-ascii,ISO-8859-1,ISO-8859-2,ISO-8859-3,ISO-8859-4, ISO-8859-5,ISO-8859-6,ISO-8859-7,ISO-8859-8,ISO-8859-9,ISO-8859-10,I SO-8859-13,ISO-8859-14,ISO-8859-15,ISO-8859-16,windows-1250,windows-1251,windows-1252,windows-1256, windows-1257,cp437,cp737,cp850,cp852,cp866,x-cp866-u,x-mac,x-mac-ce,x- kam-cs,koi8-r,koi8-u,koi8-ru,TCVN-5712,VISCII,utf-8..Connection: keep-alive....
4. Til að sjá alla virkni sem fer yfir uppruna eða ákvörðunarhöfn 25 (SMTP), keyrðu eftirfarandi skipun.
$ sudo ngrep port 25
5. Til að fylgjast með allri nettengdri syslog umferð fyrir tilviki orðið \villa\, notaðu eftirfarandi skipun.
$ sudo ngrep -d any 'error' port 514
Mikilvægt er að þetta tól getur breytt þjónustugáttarheitum sem geymd eru í \/etc/services (á Unix-líkum kerfum eins og Linux) í gáttanúmer. Þessi skipun jafngildir skipuninni hér að ofan.
$ sudo ngrep -d any 'error' port syslog
6. Þú getur líka keyrt ngrep á móti HTTP netþjóni (gátt 80), það mun passa við allar beiðnir við áfangastýringuna eins og sýnt er.
$ sudo ngrep port 80 interface: eth0 (64.90.164.72/255.255.255.252) filter: ip and ( port 80 ) #### T 67.169.59.38:42167 -> 64.90.164.74:80 [AP] GET / HTTP/1.1..User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; X11; Linux i 686) Opera 7.21 [en]..Host: www.darkridge.com..Accept: text/html, applicat ion/xml;q=0.9, application/xhtml+xml;q=0.9, image/png, image/jpeg, image/gi f, image/x-xbitmap, */*;q=0.1..Accept-Charset: iso-8859-1, utf-8, utf-16, * ;q=0.1..Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0..Cookie: SQ MSESSID=5272f9ae21c07eca4dfd75f9a3cda22e..Cookie2: $Version=1..Connection: Keep-Alive, TE..TE: deflate, gzip, chunked, identity, trailers.... ##
Eins og þú sérð í úttakinu hér að ofan eru allar sendingar HTTP hausa sýndar í grófum smáatriðum. Það er samt erfitt að flokka, svo við skulum fylgjast með hvað gerist þegar þú notar -W byline ham.
$ sudo ngrep -W byline port 80 interface: eth0 (64.90.164.72/255.255.255.252) filter: ip and ( port 80 ) #### T 67.169.59.38:42177 -> 64.90.164.74:80 [AP] GET / HTTP/1.1. User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; X11; Linux i686) Opera ... Host: www.darkridge.com. Accept: text/html, application/xml;q=0.9, application/xhtml+xml;q=0.9 ... Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1. Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0. Cookie: SQMSESSID=5272f9ae21c07eca4dfd75f9a3cda22e. Cookie2: $Version=1. Cache-Control: no-cache. Connection: Keep-Alive, TE. TE: deflate, gzip, chunked, identity, trailers.
7. Til að prenta tímastimpil í formi ÁÁÁÁ/MM/DD HH:MM:SS.UUUUUU í hvert skipti sem pakki er samsvörun, notaðu -t fána.
$ sudo ngrep -t -W byline port 80 interface: enp0s3 (192.168.0.0/255.255.255.0) filter: ( port 80 ) and ((ip || ip6) || (vlan && (ip || ip6))) #### T 2018/07/12 16:33:19.348084 192.168.0.104:43048 -> 172.217.160.174:80 [AP] GET / HTTP/1.1. Host: google.com. User-Agent: Links (2.13; Linux 4.17.6-1.el7.elrepo.x86_64 x86_64; GNU C 4.8.5; text). Accept: */*. Accept-Language: en,*;q=0.1. Accept-Encoding: gzip, deflate, bzip2. Accept-Charset: us-ascii,ISO-8859-1,ISO-8859-2,ISO-8859-3,ISO-8859-4,ISO-8859-5,utf-8. Connection: keep-alive.
8. Til að forðast að setja viðmótið sem fylgst er með í lauslætisham (þar sem það grípur og les hvern netpakka sem kemur í heild sinni), bætið við -p fánanum.
$ sudo ngrep -p -W byline port 80
9. Annar mikilvægur valkostur er -N sem er gagnlegt ef þú ert að fylgjast með hráum eða óþekktum samskiptareglum. Það segir ngrep að birta undirsamskiptanúmerið ásamt eins stafs auðkenni.
$ sudo ngrep -N -W byline
Fyrir frekari upplýsingar, sjáðu ngrep man síðuna.
$ man ngrep
ngrep Github geymsla: https://github.com/jpr5/ngrep
Það er allt og sumt! Ngrep (net grep) er netpakkagreiningartæki sem skilur BPF síurökfræði á sama hátt tcpdump. Okkur langar að vita hugsanir þínar um ngrep í athugasemdahlutanum.