N3t-Datagrams

• Autor: Sh4v
• |
• Fecha: 2009-12-09
• |
• Categoría: Redes

Tcpdump es una herramienta que se utiliza para analizar el tráfico de nuestra red. Hablando en plata: es un sniffer. Este programa utiliza la librería Libpcap y captura los paquetes TCP/IP que circula por nuestra red, mostrándolos a tiempo real. Van Jacobson, Steven McCanne, Craig Leres y Andrew Tridgell son los desarrolladores de este programa. Este programa corre en sistemas operativos basados en Unix: MacOS, Linux, Solaris, BSD, AIX... La página oficial de este proyecto es www.tcpdump.org

Usuarios de Windows: no os vengáis abajo! Porque también existe una versión para los sistemas operativos de Microsoft. Su nombre es el Windump y en lugar de utilizar la librería libpcap utiliza la winpcap. La página oficial de este proyecto es: www.winpcap.org



En sistemas basados en Debian, lo haremos mediante este llamada a los repositorios (instalará libpcap y tcpdump):



También podemos hacerlo mediante el Gestor de Paquetes Synaptics.

Podemos también instalarlo bajando y compilando el código fuente de libpcap y tcpdump



Empezamos con libpcap. Descomprimimos la carpeta comprimida:



Entramos en el directorio:



Creamos el makefile adecuado a nuestro sistema operativo e instalamos:



Ahora el TCPDump. Lo descomprimimos con:



Entramos en el directorio y realizamos el mismo proceso que para el lipbcap:





Descargamos winpcap de http://www.winpcap.org/install/default.htm#Developer y lo instalamos. Después descargamos Windump de http://www.winpcap.org/windump/install/bin/windump_3_9_5/WinDump.exe y lo instalamos (no voy a entrar en la instalación en Windows porque creo que es tan sencilla e intuitiva que no requiere mayor explicación que poner los mirrors de descarga).



Lo primero que tenemos que hacer es saber que NIC de red vamos a utilizar. Para los que no sepan que es la NIC, la NIC es la tarjeta de red. Por lo tanto si estamos conectados por cable y queremos auditar la red cableada de la red local, utilizaremos la NIC cableada (aquella que utiliza el RJ45 o el USB para conectarse al router o al switch). Si por el contrario queremos auditar la red inalámbrica, tendremos que usar la NIC o adaptador de red inalámbrico. Para poder utilizarlo, necesitaremos saber el nombre de la interfaz. Esto lo haremos mediante el siguiente comando:



Y nos devolverá la lista de adaptadores de red con información sobre los mismos:



Si no especificamos nuestra interfaz, utilizar por defecto la cableada eth0. En Windows SIEMPRE hay que especificarla. Para averiguar el nombre de nuestra interfaz, utilizaremos el siguiente comando:





Vamos a proceder ya al sniffeo de la red... ups! ¿He dicho sniffeo? Quería decir “análisis” :P. Ejecutamos el comando. Yo por ejemplo, ahora mismo estoy en la universidad (sí, en medio de una clase magistral... lo sé, soy un mal alumno), pero es que es el momento propicio para hacer un análisis de la red. Os preguntaréis por qué. Pues porque estoy conectada vía wifi a la red local de la universidad y al igual que yo hay mucha más gente así que... al ataquerrrr! Y vamos a analizar los paquetes que envían y reciben mis compañeros. Tendremos que loguearnos como root en entornos basados en Unix. Veamos que obtenemos:





Como podéis ver, el programa nos resuelve hasta los nombres de las máquinas. Si quisiéramos evitar esto, añadiríamos el parametro “-n” al comando (tcpdump -i interfaz -n).

También observamos que los paquetes capturados son realmente pequeños. Esto tiene una explicación y es que el TcpDump captura solo los 68 primeros bytes de cada paquete ya que ese es el tamaño de las cabeceras de paquetes basados en protocolos TCP, UDP o IP. Sin embargo puede ser que queramos capturar más bytes de cada paquete o queramos analizar también el tráfico NFS (protocolo de red a nivel de aplicación según el modelo OSI, utilizado para transferencia de archivos en redes locales). Podemos añadir el parámetro “-s cantidad” para cambiar los bytes que queremos capturar (ejemplo: tcpdump -i eth0 -s 1500). ¿Por qué 1500 bytes? Pues porque 1500 bytes es la Unidad Máxima de Transferencia (MTU) que puede tener un datagrama en las redes locales basadas en Ethernet.

También tenemos la opción de imprimir los resultados en un archivo de texto. Esto lo podemos hacer mediante el parámetro “-w archivo” donde archivo será el nombre que le queramos dar al archivo de texto, el cual se guardará en el directorio en el que nos encontremos a la hora de ejecutar el TcpDump (o el WinDump). Para leer el contenido del archivo utilizaremos el parámetro “-r archivo”. Ejemplo:



Otra forma de hacerlo sería añadiendo "| tee capturas.log", grabando en el archivo la informacion sobre los paquetes capturados.



Podemos también aumentar la información capturada de cada paquete añadiendo al inicio del comando “-v”, “-vv”, “-vvv”, “-vvvv” etc... en función de la cantidad de información que queramos. Os dejo una lista de los parametros que soporta el TcpDump (y el WinDump):







En TcpDump podemos distinguir 3 tipos de filtros:

Filtros Type: Las siglas vienen de Host, Net, Port y Mask. Con ellos podremos especificar un puerto, una red, un host o una mascara de subred determinada. Ejemplo:



Podemos combinar estos filtros. Ejemplo:



Filtros Dir: Son filtros de origen y destino. Me explico, con estos filtros, tenemos la posibilidad de elegir que los paquetes que salen y entran en un determinado host. Para ello se utilizan los parámetros “src” (source) y “dst” (destiny). Supongamos que queremos saber que datos salen de una determinada IP (por ejemplo 192.168.2.23), pondríamos el siguiente código:



Pero, y si quisieramos obtener los paquetes que entran y salen de un determinado host? Pues con poner “host nombredelhost” valdría. Pero... ¿Y si quisieramos saber los paquetes que salen de un host y los que salen de otro? Para esto tenemos las expresiones “and” y “or”. Pongamos que queremos saber los paquetes que entran en dos host de nuestra red local (192.168.2.23 y 192.168.2.24), haríamos lo siguiente:



Filtros de Proto: Estos filtros nos serviran para determinar que paquetes queremos capturar en función de su protocolo. Para determinar el protocolo que queremos añadiremos al inicio del comando “ip” (para protocolo ip), “tcp” (para protocolo tcp), “udp” (para protocolo udp), “arp” (para protocolo arp), “rarp” (para protocolo rarp), “ether” (para protoclo ethernet y referenciando a la dirección MAC que se vaya a analizar) y “fddi” (para redes basadas en fddi). De Ether y Fddi solo capturará tramas de paquetes a nivel de la capa de enlace del modelo OSI. También podemos hacer esto añadiendo al comando “proto //protocolo” (ejemplo: proto \\tcp).





También podemos hayar el tráfico icmp:



Podemos combinar todos los filtros para obtener un sinfín de posibilidades.



Esto lo copio tal cual está en la wikipedia ya que creo que no tiene mucha más explicación:


_________________________________________________________________________________
Todavía no hay comentarios. ¡Anímate y se el primero!

Nombre:

Web:

Comentario: