Tcpdump একটি পিসিপি ফাইল লিখবে না কেন?

Question

পাইথন রিক বটটি সংযুক্ত হতে পারে না বলে মনে করে ডিবাগিংয়ের প্রক্রিয়ায়, আমি ভেবেছিলাম "আমি জানি, আমি কেবল এটি টিসিপিডম্প্প করব এবং দেখছি এটি কী করছে" " সুতরাং আমি tcpdump দৌড়েছিলাম যেমন আমি সাধারণত করি এবং এটি বলে যে এটি প্যাকেটগুলি ক্যাপচার করেছে, তবে ক্যাপ ফাইলটি আসলে লিখেনি।

akraut@lance ~/pcaps $ sudo tcpdump -w pyhole -s 0 "port 6667"
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C17 packets captured
17 packets received by filter
0 packets dropped by kernel
4294966881 packets dropped by interface
akraut@lance ~/pcaps $ ls -la
total 8
drwxr-xr-x 2 akraut akraut 4096 Feb  6 11:50 .
drwxr-xr-x 8 akraut akraut 4096 Feb  6 11:50 ..
akraut@lance ~/pcaps $ 

Comments

আপনি যদি এটি একটি পরম পথ দিয়ে দেন তবে কি হবে?

— ম্যাসিমো

বটটি কি সংযুক্ত হচ্ছে eth0? যদি এটি লুপব্যাক বা অন্য কোনও ইন্টারফেস ব্যবহার করে তবে ফাইলে ডাম্প দেওয়ার কোনও ট্র্যাফিক থাকবে না।

— ক্রিস এস

@ ক্রিস-এস যদি এটি দেখায় 17 packets received by filterতবে এর অর্থ এটি কিছু ট্র্যাফিক গ্রহণ করেছে?

— আকরাট

@ মাসিমো চেষ্টা করেছেন। / ব্লাহ এবং / ব্লাহ উভয়ই নির্দিষ্ট করে এবং একটিও ফাইল লেখেনি।

— আকরাট

Answer 1

আপনি স্ট্রেসের সাথে tcpdump এর আচরণ পরীক্ষা করে দেখতে পারেন, এটি ক্রুটিংয়ের মতো অদ্ভুত কিছু করছে কিনা, এটি যদি স্নিগু বা অন্য কোনও বিতরণে রয়েছে যা বাইনারিগুলিতে মামলা করতে পারে।

Comments

অই হ্যাঁ. এই বিল্ডটির দিকে তাকালে, এটি প্রাইভেস এবং ক্রুটটি মধ্যে ফেলা হবে /var/lib/tcpdump। এবং দেখুন, আমার সমস্ত ক্যাপ ফাইল রয়েছে।

— আকরাট

Answer 2

ঠিক আছে, আমি রহস্য সমাধান করেছি। ফন্টুর টিসিপিডাম্প এবং মিসিং পিসিপি ফাইলের রহস্য উন্মোচন করার সময় আমার সাথে অনুসরণ করুন ।

কী চলছে এবং প্রাসঙ্গিক লাইনগুলি দেখতে আমি স্ট্রেস ব্যবহার করেছি:

chroot("/var/lib/tcpdump")              = 0
chdir("/")                              = 0
--- SNIP ---
open("/tmp/lol.wat", O_WRONLY|O_CREAT|O_TRUNC, 0666) = -1 ENOENT (No such file or directory)

তাই ...

lance ~ # ls /var/lib/tcpdump/
blah  blah.cap  irc.cap  pyhole

দেখ! সমস্ত ক্যাপ ফাইল তৈরি করার চেষ্টা করেছি!

ব্যবহারের পতাকাগুলি একবার দেখার পরে tcpdump ডিফল্টরূপে নির্মিত হয়, আমি এটি দেখতে পেলাম:

lance ~ # grep tcpdump /usr/portage/profiles/use*desc
use.local.desc:net-analyzer/tcpdump:chroot - Enable chrooting when dropping privileges

তাহলে কেন এটি এইভাবে? আমার তত্ত্বটি এরকম কিছু হয়:

1. কাঁচা নেটওয়ার্ক ট্র্যাফিকের সাথে যোগাযোগ করে এমন অনেক অ্যাপ্লিকেশনকে রুট হিসাবে চালাতে হয়।
2. কাঁচা নেটওয়ার্ক ট্র্যাফিকের বুনোতে বিভিন্ন ধরণের বৈধ ও অবৈধ মান রয়েছে।
3. এই অ্যাপ্লিকেশনগুলির জন্য অনেকগুলি শোষণ বিদ্যমান। (ওয়্যারশার্ক, ইথেরিয়াল, টিসিপিডাম্প, ইত্যাদি)
4. অতএব, tcpdump নেটওয়ার্ক ইন্টারফেসে অ্যাক্সেস গ্রাট করে রুট করার সময়, জেল হয়ে যায় /var/lib/tcpdump, তারপরে রুট সুবিধাগুলি ফেলে এবং ক্যাপচার শুরু করে।

ফলস্বরূপ, যখন আমি নির্দিষ্ট করেছি ./blahবা blahএটি ভাল কাজ করেছে। কিন্তু /tmp/blahনেই কারণ /var/lib/tcpdump/tmpঅস্তিত্ব নেই।

এই সমস্তগুলির একটি ঝরঝরে পাশের বৈশিষ্ট্য হ'ল: সিসিড পতাকাটি যখন টিসিপিডাম্প সেটইউইড ইনস্টল করতে ব্যবহার করেন, আপনি ব্যবহারকারীদের tcpdumpসুডো বা রুট অ্যাক্সেস না দিয়ে গ্রুপের সাথে অ্যাক্সেস দিতে পারেন। সম্ভাব্য ব্যবহারগুলির মধ্যে আপনার নেটওয়ার্ক ইঞ্জিনিয়ার বা গবেষকদের জন্য একটি ক্যাপচার বক্স অন্তর্ভুক্ত রয়েছে।

আমি কেবল চাই যে জেন্টু / ফান্টুর ইনস্টলেশন সম্পর্কে একটি বার্তা থাকত যা এই সব বলেছিল।

tl; dr: জেন্টু / ফান্টু আপনার পিসিএপ ফাইলগুলি ভিতরে রাখে /var/lib/tcpdump।

Answer 3

বাক্য গঠনটি সঠিক: আমি এটি চেষ্টা করেছি (পোর্ট ৮০ হলেও) এবং এটি ব্যবহার করছে একই বিকল্পগুলি দিয়ে বর্তমান চলমান ডিরেক্টরি ডিরেক্টরিতে একটি পিসিএপ ফাইল তৈরি করেছে।

আপনার মূল ডিরেক্টরিতে কী এমন কিছু থাকতে পারে যা আপনি রুট হিসাবে লিখতে চেষ্টা করছেন (সুডোর কারণে)? আপনি কি এনএফএস-মাউন্ট হোম ডিরেক্টরিগুলি রুট-স্কোয়াশিংয়ের সাথে ব্যবহার করছেন এটি সম্ভব? sudo touch ~akraut/pcaps/foo?

আপনি কি পিসিপিটি / টিএমপি / বা কিছু লিখতে চেষ্টা করতে পারেন?

Comments

সঙ্গে sudo tcpdump -w /tmp/blah -s 0 "port 6667"এটা কাজের মত দেখায়, কিন্তু যদি আমি sudo su -প্রথম তারপর চালানোর tcpdump -w /tmp/blah -s 0 "port 6667"এটি "এমন কোনো ফাইল অথবা ডাইরেক্টরি" বলেছেন রুট হিসাবে। রহস্য আরও গভীর হয় ...

— আকরাট

দেখে মনে হচ্ছে জাস্টিন আপনাকে উত্তর খুঁজে পেতে সহায়তা করেছে। আপনি কী ডিস্ট্রো ব্যবহার করছেন তা আমি জিজ্ঞাসা করতে পারি এবং that ডিস্ট্রোর জন্য এটি একটি আদর্শ tcpdump ইনস্টলেশন কিনা?

— সিজেসি

আমি ফান্টু চালাচ্ছি, যা জেন্টুর একটি বৈকল্পিক। হ্যাঁ, ডিফল্টরূপে এটি chroot "ব্যবহার" পতাকা সেট করে ((চ্ছিক সংকলন-সময় কার্যকারিতা সক্ষম / অক্ষম করার একটি জেন্টো পদ্ধতি)। আমি শীঘ্রই এখানে পোস্ট করার জন্য আরও দীর্ঘতর রচনা আপ প্রস্তুত করেছি।

— আকরাট