Introduction
Un nom de service ou un rapport de ports résume une observation réseau. Une capture de paquets permet d'examiner le trafic réel derrière ce résumé, notamment les points de connexion, le contrôle de connexion et les messages applicatifs.
Vous capturerez un petit échange HTTP autorisé sur l'interface de boucle locale de Kali. Enregistrez un véritable pcap et examinez-le avec tcpdump, en utilisant les compétences de contrôle des processus et de HTTP des labs précédents.
Capturer un petit échange HTTP local
Dans cette étape, vous capturerez un ensemble limité de paquets pour une requête HTTP vers le service d'entraînement fourni.
Entrez dans Kali et choisissez l'espace de travail partagé :
kali
cd /home/labex/project
Le point de connexion HTTP est http://127.0.0.1:8080/capture.txt. Comme l'adresse est la boucle locale dans Kali, son trafic utilise l'interface lo plutôt que l'interface réseau de l'hôte. La capture de paquets exige des permissions élevées dans cet environnement ; utilisez sudo uniquement pour les commandes de capture et d'analyse qui en ont besoin.
tcpdump capture les paquets. -i lo sélectionne la boucle locale, -c 8 s'arrête après huit paquets correspondants et -w training.pcap écrit un fichier de capture binaire. Le filtre entre apostrophes tcp port 8080 sélectionne le trafic TCP impliquant le port du service d'entraînement. Le & final lance la capture en arrière-plan pour que vous puissiez générer la requête dans le même terminal :
sudo tcpdump -i lo -c 8 -w training.pcap 'tcp port 8080' &
Le shell affiche un numéro de tâche. Tcpdump peut afficher un message indiquant qu'il écoute. Accordez une seconde à l'initialisation de la capture avec la commande sleep déjà pratiquée :
sleep 1
Effectuez maintenant la requête curl déjà enseignée et enregistrez son corps de réponse :
curl -sS http://127.0.0.1:8080/capture.txt > captured-response.txt
La requête et la réponse créent plusieurs paquets TCP, notamment pour l'établissement de la connexion et les données applicatives. wait attend la fin des tâches en arrière-plan de ce shell :
wait
Tcpdump doit s'arrêter après le nombre de paquets configuré et afficher un résumé de capture. Un pcap binaire est un fichier structuré de paquets ; ne le lisez pas avec cat comme s'il s'agissait de texte. Examinez séparément la réponse applicative :
cat captured-response.txt
Résultat attendu :
Local capture practice.
Le pcap et le corps de réponse décrivent le même échange local sous des formes différentes. Limitez cette capture à l'interface et au point de connexion fournis.
Lire et interpréter les paquets enregistrés
Dans cette étape, vous lirez la capture et relierez les points de connexion des paquets à la requête et à la réponse HTTP.
-r lit une capture enregistrée au lieu d'écouter en direct. -nn conserve les adresses et les ports numériques, empêchant les recherches de noms de masquer les points de connexion réels :
sudo tcpdump -nn -r training.pcap
Chaque ligne inclut un horodatage, des points de connexion et des informations de transport. Repérez 127.0.0.1 des deux côtés et le port 8080 côté service. L'autre port TCP appartient au client et peut varier. Les indicateurs TCP décrivent le contrôle de connexion ainsi que les paquets de données applicatives : toutes les lignes ne contiennent donc pas un message HTTP.
Ajoutez -A pour afficher le contenu des paquets en texte ASCII :
sudo tcpdump -nn -A -r training.pcap
Parmi les champs de protocole d'apparence binaire, repérez la requête GET /capture.txt HTTP/1.1 et un état de réponse HTTP de réussite. Il s'agit de HTTP en clair ; HTTPS chiffré n'exposerait pas le même contenu applicatif lisible dans un simple affichage de paquets.
Enregistrez cette analyse lisible séparément du pcap d'origine :
sudo tcpdump -nn -A -r training.pcap > packet-details.txt
La description du fichier de capture par tcpdump peut encore apparaître sur l'erreur standard. Les détails des paquets vont dans le fichier redirigé. Utilisez grep pour localiser la ligne de requête :
grep 'GET /capture.txt' packet-details.txt
La ligne correspondante relie les données de paquets à la requête que vous avez générée. Vous avez conservé la capture binaire pour d'autres outils et une vue lisible pour un examen rapide.
Résumé
Vous avez sélectionné une interface et un filtre de capture, limité le nombre de paquets, coordonné une capture en arrière-plan avec une requête HTTP et lu le pcap obtenu. Vous avez relié les points de connexion numériques et les paquets TCP à une véritable requête et réponse.
