Geekflare
Geekflare est soutenu par notre public. Nous pouvons gagner des commissions d'affiliation en achetant des liens sur ce site.
By Vijay Khurana in La mise en réseau  |  Dernière mise à jour : 29 novembre 2022
Partager sur:

Comment capturer et analyser le trafic réseau avec tcpdump?

Scanner de sécurité des applications Web Invicti – la seule solution qui offre une vérification automatique des vulnérabilités avec Proof-Based Scanning™.

tcpdump est un outil de ligne de commande incroyable pour le reniflement de réseau. C'est une norme de l'industrie pour la capture et analyse des paquets TCP / IP.

L'outil tcpdump peut être d'une grande aide lors de la résolution de mise en réseau problèmes. Les paquets peuvent être enregistrés dans un fichier et analysés ultérieurement. C'est une bonne idée d'exécuter cet outil de temps en temps pour surveiller votre réseau.

What does the tcpdump output look like?

tcpdump vous permet d'examiner les en-têtes des paquets TCP / IP. Il imprime une ligne pour chaque paquet et la commande continue à s'exécuter jusqu'à ce que vous appuyiez sur Ctrl + C pour terminer.

Examinons une ligne à partir d'un exemple de sortie:

20:58:26.765637 IP 10.0.0.50.80 > 10.0.0.1.53181: Flags [F.], seq 1, ack 2, win 453, options [nop,nop,TS val 3822939 ecr 249100129], length 0

Chaque ligne comprend

  • Horodatage Unix (20:58:26.765637)
  • protocole (IP)
  • le nom d'hôte ou l'adresse IP source et le numéro de port (10.0.0.50.80)
  • nom d'hôte ou IP de destination et numéro de port (10.0.0.1.53181)
  • Indicateurs TCP (Flags [F.]). Les drapeaux indiquent l'état de la connexion. Cela peut inclure plus d'une valeur, comme dans cet exemple [F.] pour FIN-ACK. Ce champ peut avoir les valeurs suivantes:
    • S - SYN. La première étape de l'établissement de la connexion.
    • F - FIN. Terminaison de la connexion.
    • . - ACK. Paquet d'accusé de réception reçu avec succès.
    • P - POUSSER. Indique au récepteur de traiter les paquets au lieu de les mettre en mémoire tampon.
    • R - RST. La communication s'est arrêtée.
  • Numéro de séquence des données dans le paquet. (seq 1)
  •  Numéro d'acquittement (ack 2)
  • La taille de la fenêtre (win 453). Le nombre d'octets disponibles dans le tampon de réception. Ceci est suivi des options TCP.
  • Longueur de la charge utile de données. (length 0)

Installation

Sur les distributions basées sur Debian, tcpdump peut être installé avec la commande APT:

# apt install tcpdump -y

Sur les distributions basées sur RPM, tcpdump peut être installé avec YUM:

# yum install tcpdump -y

Ou en utilisant DNF si RHEL 8

# dnf install tcpdump -y

tcpdump command options

Vous devez être root pour exécuter tcpdump. Il comprend de nombreuses options et filtres. L'exécution de tcpdump sans aucune option capturera tous les paquets passant par l'interface par défaut.

Pour voir la liste des interfaces réseau disponibles sur le système et sur lesquelles tcpdump peut capturer des paquets.

# tcpdump -D

Or

# Tcpdump --list-interfaces
1.eth0
2.nflog (Linux netfilter log (NFLOG) interface)
3.nfqueue (Linux netfilter queue (NFQUEUE) interface)
4.eth1
5.any (Pseudo-device that captures on all interfaces)
6.lo [Loopback]

Ceci est particulièrement utile sur les systèmes qui n'ont pas de commande pour lister les interfaces.

Pour capturer des paquets passant par une interface spécifique, utilisez le -i drapeau avec le nom de l'interface. Sans le -i l'interface que tcpdump choisira la première interface réseau qu'il rencontre. 

# tcpdump -i eth1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
01:06:09.278817 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 4761, seq 1, length 64
01:06:09.279374 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 4761, seq 1, length 64
01:06:10.281142 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 4761, seq 2, length 64

La solution -v flag augmente les informations que vous voyez sur les paquets, -vv vous donne encore plus de détails.

Par défaut, tcpdump résout les adresses IP en noms d'hôte et utilise également des noms de service au lieu de numéros de port. Si le DNS est cassé ou si vous ne voulez pas que tcpdump effectue des recherches de nom, utilisez le -n option. 

# tcpdump -n
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
04:19:07.675216 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186733178:2186733278, ack 204106815, win 37232, length 100
04:19:07.675497 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 100, win 65535, length 0
04:19:07.675747 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 100:136, ack 1, win 37232, length 36
04:19:07.675902 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 136, win 65535, length 0
04:19:07.676142 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 136:236, ack 1, win 37232, length 100

Pour capturer uniquement un ensemble de lignes, disons 5, utilisez le -c drapeau:

#tcpdump -c 5
04:19:07.675216 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186733178:2186733278, ack 204106815, win 37232, length 100
04:19:07.675497 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 100, win 65535, length 0
04:19:07.675747 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 100:136, ack 1, win 37232, length 36
04:19:07.675902 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 136, win 65535, length 0
04:19:07.676142 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 136:236, ack 1, win 37232, length 100
5 packets captured

La sortie tcpdump par défaut utilise les horodatages Unix. Pour capturer des paquets avec un horodatage lisible par l'homme:

# tcpdump -tttt
2020-07-06 04:30:12.203638 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186734102:2186734138, ack 204107103, win 37232, length 36
2020-07-06 04:30:12.203910 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 36, win 65535, length 0
2020-07-06 04:30:12.204292 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 36:72, ack 1, win 37232, length 36
2020-07-06 04:30:12.204524 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 72, win 65535, length 0
2020-07-06 04:30:12.204658 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 72:108, ack 1, win 37232, length 36

tcpdump filter expressions

Les expressions de filtre sélectionnent les en-têtes de paquets qui seront affichés. Si aucun filtre n'est appliqué, tous les en-têtes de paquet sont affichés. Les filtres couramment utilisés sont port, hôte, src, dst, tcp, udp, icmp.

filtre de port

Utilisez le filtre de port pour afficher les paquets arrivant sur un port spécifique:

# Tcpdump -i eth1 -c 5 port 80
23:54:24.978612 IP 10.0.0.1.53971 > 10.0.0.50.80: Flags [SEW], seq 53967733, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 256360128 ecr 0,sackOK,eol], length 0
23:54:24.978650 IP 10.0.0.50.80 > 10.0.0.1.53971: Flags [S.E], seq 996967790, ack 53967734, win 28960, options [mss 1460,sackOK,TS val 5625522 ecr 256360128,nop,wscale 6], length 0
23:54:24.978699 IP 10.0.0.1.53972 > 10.0.0.50.80: Flags [SEW], seq 226341105, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 256360128 ecr 0,sackOK,eol], length 0
23:54:24.978711 IP 10.0.0.50.80 > 10.0.0.1.53972: Flags [S.E], seq 1363851389, ack 226341106, win 28960, options [mss 1460,sackOK,TS val 5625522 ecr 256360128,nop,wscale 6], length 0

filtre d'hôte

Pour capturer tous les paquets arrivant ou partant de l'hôte avec l'adresse IP 10.0.2.15:

# tcpdump host 10.0.2.15
03:48:06.087509 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 3862934963:3862934999, ack 65355639, win 37232, length 36
03:48:06.087806 IP 10.0.2.2.50225 > 10.0.2.15.22: Flags [.], ack 36, win 65535, length 0
03:48:06.088087 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 36:72, ack 1, win 37232, length 36
03:48:06.088274 IP 10.0.2.2.50225 > 10.0.2.15.22: Flags [.], ack 72, win 65535, length 0
03:48:06.088440 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 72:108, ack 1, win 37232, length 36

Pour capturer des paquets d'un type de protocole spécifique, par exemple, icmp, sur l'interface eth1:

# tcpdump -i eth1 icmp
04:03:47.408545 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 75, length 64
04:03:47.408999 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 2812, seq 75, length 64
04:03:48.408697 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 76, length 64
04:03:48.409208 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 2812, seq 76, length 64
04:03:49.411287 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 77, length 64

Combinaison d'expressions de filtre

Vous pouvez combiner ces expressions de filtre avec les opérateurs AND, OR et NOT. Cela vous permettra d'écrire des commandes qui peuvent isoler les paquets plus précisément:

Paquets provenant d'une adresse IP spécifique et destinés à un port spécifique:

# tcpdump -n -i eth1 src 10.0.0.1 and dst port 80
00:18:17.155066 IP 10.0.0.1.54222 > 10.0.0.50.80: Flags [F.], seq 500773341, ack 2116767648, win 4117, options [nop,nop,TS val 257786173 ecr 5979014], length 0
00:18:17.155104 IP 10.0.0.1.54225 > 10.0.0.50.80: Flags [S], seq 904045691, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 257786173 ecr 0,sackOK,eol], length 0
00:18:17.157337 IP 10.0.0.1.54221 > 10.0.0.50.80: Flags [P.], seq 4282813257:4282813756, ack 1348066220, win 4111, options [nop,nop,TS val 257786174 ecr 5979015], length 499: HTTP: GET / HTTP/1.1
00:18:17.157366 IP 10.0.0.1.54225 > 10.0.0.50.80: Flags [.], ack 1306947508, win 4117, options [nop,nop,TS val 257786174 ecr 5983566], length 0

Pour capturer tous les paquets sauf ICMP, utilisez l'opérateur NOT:

# tcpdump -i eth1 not icmp

Saving packet headers to a file

Étant donné que la sortie de tcpdump peut faire défiler l'écran assez rapidement, vous pouvez stocker les en-têtes de paquets dans un fichier avec l'option -w. Les fichiers pour enregistrer la sortie utilisent le format pcap et ont une extension de .pcap.

PCAP signifie capture de paquets. La commande suivante enregistre 10 lignes de sortie sur l'interface eth1 dans icmp.pcap.

# tcpdump -i eth1 -c 10 -w icmp.pcap
tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
10 packets captured
10 packets received by filter
0 packets dropped by kernel

Vous pouvez lire ce fichier avec -r drapeau:

tcpdump -r icmp.pcap
reading from file icmp.pcap, link-type EN10MB (Ethernet)
05:33:20.852732 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 33, length 64
05:33:20.853245 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 3261, seq 33, length 64
05:33:21.852586 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 34, length 64
05:33:21.853104 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 3261, seq 34, length 64
05:33:22.852615 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 35, length 64

Viewing packet details

Jusqu'à présent, nous n'avons vu que les en-têtes de paquets, pour afficher le contenu des paquets, utilisez -A option. Cela imprime le contenu du paquet en ASCII, ce qui peut être utile pour le dépannage du réseau. Aussi -X L'indicateur peut être utilisé pour afficher la sortie au format hexadécimal. Cela peut ne pas être d'une grande aide si la connexion est cryptée.

# tcpdump -c10 -i eth1 -n -A port 80
23:35:53.109306 IP 10.0.0.1.53916 > 10.0.0.50.80: Flags [P.], seq 2366590408:2366590907, ack 175457677, win 4111, options [nop,nop,TS val 255253117 ecr 5344866], length 499: HTTP: GET / HTTP/1.1
E..'..@.@.%.
...
..2...P..M.
uE............
.6.}.Q.bGET / HTTP/1.1
Host: 10.0.0.50
Connection: keep-alive
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
If-Modified-Since: Tue, 04 Mar 2014 11:46:45 GMT

Conclusion

tcpdump est facile à configurer, et une fois que vous comprenez la sortie, les différents indicateurs et filtres, il peut être utilisé pour résoudre les problèmes de réseau et sécuriser votre réseau.

Merci à nos commanditaires
Plus de bonnes lectures sur le réseautage
Alimentez votre entreprise
Certains des outils et services pour aider votre entreprise à se développer.
  • invicti
    Invicti utilise Proof-Based Scanning™ pour vérifier automatiquement les vulnérabilités identifiées et générer des résultats exploitables en quelques heures seulement.
    Essayez Invicti
  • Données lumineuses
    Web scraping, proxy résidentiel, proxy manager, web unlocker, moteur de recherche et tout ce dont vous avez besoin pour collecter des données Web.
    Essayez Brightdata
  • Semrush
    Semrush est une solution de marketing numérique tout-en-un avec plus de 50 outils de référencement, de médias sociaux et de marketing de contenu.
    Essayez Semrush
  • Intruder
    Intruder est un scanner de vulnérabilités en ligne qui détecte les failles de cybersécurité de votre infrastructure, afin d'éviter des violations de données coûteuses.
    Essayez Intruder