Szukam sposobu na zrzucenie pcap danych sieciowych wygenerowanych przez aplikację, w podobny sposób stracezrzuca połączenia systemowe itp. Np .:
net-strace somecommand -args
somecommandzrobiłby coś przez sieć i net-stracezaoszczędziłby zrzut pcap całego ruchu generowanego przez tę aplikację (+ odpowiedzi i związany z tym ruch).
Czy można to osiągnąć?
Problem polega na tym, że aplikacje nie wysyłają pakietów (z wyjątkiem tych, które używają gniazd surowych, takich jak ping), ale używają sieciowego interfejsu API, który powoduje, że jądro wysyła pakiety (i odbiera pokrewne) w ich imieniu.
—
Stéphane Chazelas,
Tak, ale istnieją aplikacje (np. Proxy --ains - proxyychains.sourceforge.net ), które uruchamiają wszystkie dane aplikacji przez proxy. Nie wiem, jak to robią, ale mogą je przechwycić i wysłać przez serwer proxy. Być może jeśli istnieje prosty serwer proxy (uruchamiany lokalnie), który może zrzucić pcap, do uzyskania zrzutu można użyć kombinacji proxy + proxy.
—
gesti
Bardziej prawdopodobne jest, że przechwytują API (z LD_PRELOAD) niż pakiety. To powiedziawszy, może być w stanie wstrzyknąć niektóre setsockopt (SO_MARK) do aplikacji i użyć netfilter do zalogowania pakietów do ulog.
—
Stéphane Chazelas,
Utwórz nową przestrzeń nazw sieci dla aplikacji i przechwytuj cały ruch, ponieważ może być akceptowalne podejście w niektórych przypadkach użycia.
—
Stéphane Chazelas,