Einführung
Ein Dienstname oder Portbericht fasst eine Netzwerkbeobachtung zusammen. Ein Paketmitschnitt erlaubt, den tatsächlichen Verkehr dahinter zu untersuchen, einschließlich Endpunkten, Verbindungssteuerung und Anwendungsnachrichten.
Du zeichnest einen kleinen autorisierten HTTP-Austausch auf Kalis Loopback-Schnittstelle auf. Speichere eine echte pcap und prüfe sie mit tcpdump unter Verwendung der Prozesssteuerungs- und HTTP-Kenntnisse aus früheren Labs.
Einen kleinen lokalen HTTP-Austausch aufzeichnen
In diesem Schritt zeichnest du eine begrenzte Paketmenge für eine HTTP-Anfrage an den bereitgestellten Übungsdienst auf.
Öffne Kali und wähle den gemeinsamen Arbeitsbereich:
kali
cd /home/labex/project
Der HTTP-Endpunkt ist http://127.0.0.1:8080/capture.txt. Da die Adresse Loopback in Kali ist, nutzt ihr Verkehr die Schnittstelle lo statt der Netzwerkschnittstelle des Hosts. Paketaufzeichnung benötigt in dieser Umgebung erhöhte Rechte. Verwende sudo nur für die Aufzeichnungs- und Analysebefehle, die es benötigen.
tcpdump zeichnet Pakete auf. -i lo wählt Loopback, -c 8 beendet nach acht passenden Paketen, und -w training.pcap schreibt eine binäre Mitschnittdatei. Der in Anführungszeichen stehende Filter tcp port 8080 wählt TCP-Verkehr unter Beteiligung des Übungsdienstports. Das abschließende & startet die Aufzeichnung im Hintergrund, damit du im selben Terminal die Anfrage erzeugen kannst:
sudo tcpdump -i lo -c 8 -w training.pcap 'tcp port 8080' &
Die Shell gibt eine Jobnummer aus. Tcpdump kann melden, dass es lauscht. Gib der Aufzeichnung mit dem zuvor geübten Befehl sleep eine Sekunde zur Initialisierung:
sleep 1
Stelle nun die bereits gelernte curl-Anfrage und speichere ihren Antwortkörper:
curl -sS http://127.0.0.1:8080/capture.txt > captured-response.txt
Anfrage und Antwort erzeugen mehrere TCP-Pakete einschließlich Verbindungsaufbau und Anwendungsdaten. wait wartet auf das Ende der Hintergrundjobs dieser Shell:
wait
Tcpdump sollte nach seiner konfigurierten Paketanzahl stoppen und eine Mitschnittübersicht ausgeben. Eine binäre pcap ist eine strukturierte Paketdatei; lies sie nicht mit cat wie Text. Prüfe die Anwendungsantwort separat:
cat captured-response.txt
Erwartete Ausgabe:
Local capture practice.
Die pcap und der Antwortkörper beschreiben denselben lokalen Austausch in unterschiedlichen Formen. Begrenze diesen Mitschnitt auf die bereitgestellte Schnittstelle und den Endpunkt.
Gespeicherte Pakete lesen und interpretieren
In diesem Schritt liest du den Mitschnitt und verbindest Paketendpunkte mit HTTP-Anfrage und -Antwort.
-r liest einen gespeicherten Mitschnitt statt live zu lauschen. -nn hält Adressen und Ports numerisch, damit Namensabfragen die tatsächlichen Endpunkte nicht verdecken:
sudo tcpdump -nn -r training.pcap
Jede Zeile enthält Zeitstempel, Endpunkte und Transportinformationen. Suche 127.0.0.1 auf beiden Seiten und Port 8080 am Dienstende. Der andere TCP-Port gehört zum Client und kann variieren. TCP-Flags beschreiben sowohl Verbindungssteuerung als auch Anwendungsdatenpakete. Deshalb enthält nicht jede Zeile eine HTTP-Nachricht.
Ergänze -A, um Paketinhalte als ASCII-Text anzuzeigen:
sudo tcpdump -nn -A -r training.pcap
Suche zwischen binär wirkenden Protokollfeldern die Anfrage GET /capture.txt HTTP/1.1 und einen erfolgreichen HTTP-Antwortstatus. Das ist unverschlüsseltes HTTP; verschlüsseltes HTTPS würde in einer einfachen Paketausgabe nicht denselben lesbaren Anwendungsinhalt offenlegen.
Speichere diese lesbare Analyse getrennt von der ursprünglichen pcap:
sudo tcpdump -nn -A -r training.pcap > packet-details.txt
Tcpdumps Beschreibung der Mitschnittdatei kann weiterhin auf der Standardfehlerausgabe erscheinen. Die Paketdetails gehen in die umgeleitete Datei. Suche die Anfragezeile mit grep:
grep 'GET /capture.txt' packet-details.txt
Die passende Zeile verbindet die Paketbelege mit deiner erzeugten Anfrage. Du hast den binären Mitschnitt für spätere Werkzeuge und eine lesbare Ansicht zur schnellen Prüfung bewahrt.
Zusammenfassung
Du hast Mitschnittschnittstelle und Filter gewählt, die Paketanzahl begrenzt, eine Hintergrundaufzeichnung mit einer HTTP-Anfrage koordiniert und die resultierende pcap gelesen. Du hast numerische Endpunkte und TCP-Pakete mit einer echten Anfrage und Antwort verbunden.
