Jak mogę przechwycić ruch sieciowy z jednego procesu?

Chciałbym zbadać ruch sieciowy obsługiwany przez pojedynczy proces, ale proste przechwytywanie sieci nie będzie działać, ponieważ mam do czynienia z tak zajętym systemem (wiele innych ruchów odbywa się w tym samym czasie). Czy istnieje sposób na izolowanie tcpdumplub wiresharkprzechwytywanie ruchu sieciowego pojedynczego określonego procesu? (Używanie netstatjest niewystarczające.)

Rzeczywiście istnieje sposób, używając filtrów Wireshark . Ale nie można filtrować bezpośrednio według nazwy procesu lub PID (ponieważ nie są to wielkości sieciowe).

Najpierw powinieneś dowiedzieć się, jakie protokoły i porty są używane przez twój proces ( polecenie netstat w poprzednim komentarzu działa dobrze).

Następnie użyj Wireshark, aby odfiltrować port wejściowy (lub wyjściowy) z tym, który właśnie pobrałeś. To powinno odizolować przychodzący i wychodzący ruch Twojego procesu.

Aby rozpocząć i monitorować nowy proces:

strace -f -e trace=network -s 10000 PROCESS ARGUMENTS

Aby monitorować istniejący proces ze znanym PID:

strace -p $PID -f -e trace=network -s 10000

• -f jest przeznaczony do „śledzenia nowych procesów”
• -e definiuje filtr
• -s ustawia limit ciągów na więcej niż 32
• -p pobiera identyfikator procesu, aby dołączyć

Wiem, że ten wątek jest trochę stary, ale myślę, że może to pomóc niektórym z was:

Jeśli twoje jądro na to pozwala, przechwytywanie ruchu sieciowego pojedynczego procesu można bardzo łatwo uruchomić, uruchamiając wspomniany proces w izolowanej sieciowej przestrzeni nazw i używając wireshark (lub innych standardowych narzędzi sieciowych) również we wspomnianej przestrzeni nazw.

Konfiguracja może wydawać się nieco złożona, ale gdy ją zrozumiesz i zapoznasz się z nią, znacznie ułatwi ci to pracę.

Aby to zrobić:

• utwórz testową przestrzeń nazw sieci:

  ip netns add test
  

• utwórz parę wirtualnych interfejsów sieciowych (veth-a i veth-b):

  ip link add veth-a type veth peer name veth-b
  

• zmień aktywną przestrzeń nazw interfejsu veth-a:

  ip link set veth-a netns test
  

• skonfiguruj adresy IP wirtualnych interfejsów:

  ip netns exec test ifconfig veth-a up 192.168.163.1 netmask 255.255.255.0
  ifconfig veth-b up 192.168.163.254 netmask 255.255.255.0
  

• skonfiguruj routing w testowej przestrzeni nazw:

  ip netns exec test route add default gw 192.168.163.254 dev veth-a
  

• aktywuj ip_forward i ustal regułę NAT, aby przekazywać ruch przychodzący z utworzonej przestrzeni nazw (musisz dostosować interfejs sieciowy i adres IP SNAT):

  echo 1 > /proc/sys/net/ipv4/ip_forward
  iptables -t nat -A POSTROUTING -s 192.168.163.0/24 -o <your internet interface, e.g. eth0> -j SNAT --to-source <your ip address>
  

  (Jeśli wolisz, możesz także użyć reguły MASQUERADE)

• wreszcie możesz uruchomić proces, który chcesz przeanalizować w nowej przestrzeni nazw, a także wireshark:

  ip netns exec test thebinarytotest
  ip netns exec test wireshark
  

  Będziesz musiał monitorować interfejs veth-a.

netstat -taucp | grep <pid or process name>

To pokaże połączenia, które tworzy aplikacja, w tym używany port.

Pomysł: czy można powiązać aplikację z innym adresem IP? Jeśli tak, możesz użyć zwykłych podejrzanych ( tcpdump itp.)

Narzędzia dla aplikacji, które nie są w stanie powiązać z innym adresem IP:

http://freshmeat.net/projects/fixsrcip

fixsrcipjest narzędziem do wiązania wychodzących gniazd klienta TCP i UDP ( IPv4 ) z określonymi źródłowymi adresami IP na hostach z wieloma bazami

http://freshmeat.net/projects/force_bind

force_bindpozwala na wymuszenie powiązania dla określonego adresu IP i / lub portu. Działa zarówno z IPv4, jak i IPv6 .

Doszedłem do podobnego problemu i udało mi się go rozwiązać na podstawie tej odpowiedzi autorstwa ioerror , używając NFLOG, jak opisano tutaj :

# iptables -A OUTPUT -m owner --uid-owner 1000 -j CONNMARK --set-mark 1
# iptables -A INPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# iptables -A OUTPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# dumpcap -i nflog:30 -w uid-1000.pcap

Następnie możesz utworzyć uruchamianie danego procesu z konta użytkownika, które nie robi nic innego - i voila, właśnie odizolowałeś i przechwyciłeś ruch z jednego procesu.

Chciałem tylko wysłać wiadomość z powrotem na wypadek, gdyby pomógł komukolwiek.

Napisałem aplikację C, która robi to, co opisano w świetnej odpowiedzi powyżej felahdab!

Zobacz tutaj: repozytorium nsntrace github

To jest brudny hack, ale sugerowałbym przekierowanie lub cel dziennika z iptables dla danego UID. na przykład:

iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner $USER -m tcp -j LOG 
iptables -t nat -A OUTPUT -p udp -m owner --uid-owner $USER -m udp -j LOG 

Warto również przyjrzeć się czegoś takiego jak „--log-tcp-sekwencja”, „--log-tcp-options”, „--log-ip-options”, „--log-uid” dla tego celu dziennika . Podejrzewam, że to pomoże ci jedynie przetworzyć plik PCAP, który zawiera mnóstwo innych danych.

Cel NFLOG może być przydatny, jeśli chcesz oflagować pakiety, a następnie pewne otagowane pakiety zostaną wysłane przez gniazdo netlink do wybranego procesu. Zastanawiam się, czy byłoby to przydatne do zhakowania czegoś przy użyciu Wireshark i konkretnej aplikacji działającej jako konkretny użytkownik?

Możesz spróbować tracedump - http://mutrics.iitis.pl/tracedump

Robi dokładnie to, co chcesz, możesz podać identyfikator procesu lub uruchomić program.

Spróbuj uruchomić proces jesteś zainteresowany pod strace :

strace ping www.askubuntu.com

Dostarczy ci bardzo szczegółowych informacji o tym, co robi twój proces. Ponieważ proces może otworzyć dowolne porty w dowolnym miejscu, za pomocą predefiniowanego filtra możesz coś przeoczyć.

Innym podejściem byłoby użycie zredukowanej maszyny wirtualnej lub maszyny testowej w sieci i umieszczenie na niej procesu osobno. Następnie możesz po prostu użyć Wireshark, aby złapać wszystko z tego komputera. Będziesz prawie pewien, że przechwytywany ruch będzie istotny.

Opierając się na odpowiedzi autorstwa ioerror , podejrzewam, że możesz użyć, iptables --uid-owneraby ustawić znacznik na ruchu, a następnie możesz poprosić wireshark o przechwycenie tylko ruchu z tym znacznikiem. Możesz być w stanie użyć DSCP (marker usług różnicowych), id przepływu lub markera qos.

W rzeczywistości można użyć tego do wysłania tych pakietów z innego interfejsu, a następnie przechwycenia tylko na tym interfejsie.

błąd wireshark # 1184 to ta funkcja. Nie jest jeszcze zaimplementowany.
Skopiowano od użytkownika cmanynard z ask.wireshark.org

może iptables i ulog mogą działać? Nie, że mam dokładny przepis, ale myślę, że iptables może dopasować procesy, po dopasowaniu możesz użyć uloga.

Myślę, że możesz utworzyć skrypt powłoki, który będzie przechodził przez wykonanie polecenia netstat i zalogowanie go do pliku tekstowego. Coś w stylu (bardzo szorstkie kroki):

echo "press q to quit"
while [ <q is not pressed>]
do
    `netstat -taucp | grep <pid or process name> 1>>logfile.txt`
done

Nie jestem programistą, więc nie mogę tego dopracować. Ale ktoś tutaj może zacząć od miejsca, w którym skończyłem i stworzyć dla ciebie działający skrypt.