| rubymaria |  |
|
2009-03-24 23:14 - Respuestas: 1 - Tema nº: 2582476
Linux .
Desde mi linux, he hecho este comando tcpdump, para ver el trafico de las interfaz ethernet ... pero no entiendo los resultados ...
[root@localhost bettytoons]# tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
17:10:15.187607 IP 10.177.0.1.bootps > 255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300
17:10:15.189675 IP 200.114.17.56.48012 > dnscache.une.net.co.domain: 57071+ PTR? 255.255.255.255.in-addr.arpa. (46)
17:10:15.202515 IP dnscache.une.net.co.domain > 200.114.17.56.48012: 57071* 0/1/0 (81)
17:10:15.203050 IP 200.114.17.56.42055 > dnscache.une.net.co.domain: 35407+ PTR? 1.0.177.10.in-addr.arpa. (41)
17:10:15.226983 IP dnscache.une.net.co.domain > 200.114.17.56.42055: 35407 NXDomain 0/1/0 (118)
17:10:15.227815 IP 200.114.17.56.42604 > dnscache.une.net.co.domain: 53645+ PTR? 101.249.13.200.in-addr.arpa. (45)
17:10:15.248963 IP dnscache.une.net.co.domain > 200.114.17.56.42604: 53645 1/2/2 (157)
17:10:15.249492 IP 200.114.17.56.46628 > dnscache.une.net.co.domain: 58902+ PTR? 56.17.114.200.in-addr.arpa. (44)
17:10:15.276067 IP dnscache.une.net.co.domain > 200.114.17.56.46628: 58902 ServFail 0/0/0 (44)
17:10:15.276339 IP 200.114.17.56.35861 > lilith.epm.net.co.domain: 58902+ PTR? 56.17.114.200.in-addr.arpa. (44)
17:10:15.413948 IP lilith.epm.net.co.domain > 200.114.17.56.35861: 58902 ServFail 0/0/0 (44)
17:10:15.414213 IP 200.114.17.56.42022 > dnscache.une.net.co.domain: 58902+ PTR? 56.17.114.200.in-addr.arpa. (44)
17:10:15.472213 IP dnscache.une.net.co.domain > 200.114.17.56.42022: 58902 ServFail 0/0/0 (44)
17:10:15.472477 IP 200.114.17.56.38540 > lilith.epm.net.co.domain: 58902+ PTR? 56.17.114.200.in-addr.arpa. (44)
17:10:15.494847 IP lilith.epm.net.co.domain > 200.114.17.56.38540: 58902 ServFail 0/0/0 (44)
17:10:15.495692 IP 200.114.17.56.34816 > dnscache.une.net.co.domain: 46559+ PTR? 254.224.13.200.in-addr.arpa. (45)
17:10:15.510510 IP dnscache.une.net.co.domain > 200.114.17.56.34816: 46559 1/2/2 (151)
17:10:15.958631 IP 10.177.0.1.bootps > 255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300
17:10:16.213942 IP 10.177.0.1.bootps > 255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300
^C
19 packets captured
19 packets received by filter
0 packets dropped by kernel
solo se que el primer parametro es la hora, y los siguientes son las IP ... el > .. es para decir hacia donde va el trafico, ... pero despues de los : ... no entiendo nada :S .. alguien me puede ayudar ????
| |
|
|
| FRaNeR |  |
|
Re: Problema con TcpDump - 2009-04-03 01:15 - Respuesta 2
tcpdump te da información sobre los paquetes que pasan una interfaz de red, y sobre el contenido de estos paquetes.
Vamos a mirar una de las lineas:
17:10:15.187607 IP 10.177.0.1.bootps > 255.255.255.255.bootpc: BOOTP/DHCP, Reply, length 300
Como bien dices el primer campo es la hora.
El segundo campo es la IP y puerto de origen del paquete, y el tercer campo es la IP y puerto de destino del paquete.
Vemos que la ip va seguida de bootps, que es el nombre del servicio asociado al puerto 67 tcp y udp ( se puede ver la relación en /etc/services ), así vemos la IP y puerto de origen,
En este caso la dirección de destino es 255.255.255.255, porque es un paquete que se envía por broadcast , y se envia al puerto bootpc (68 tcp y udp).
Después de los dos puntos tenemos información sobre el contenido del paquete, en el ejemplo nos dice que es una respuesta a una petición DHCP o BOOTP, y también nos informa del tamaño.
Otro paquete:
17:10:15.203050 IP 200.114.17.56.42055 > dnscache.une.net.co.domain: 35407+ PTR? 1.0.177.10.in-addr.arpa. (41)
Este por ejemplo tiene como puerto de destino domain (53 tcp y udp), es una consulta DNS, y también vemos que esta consultando un registro del tipo PTR.
Si en vez de ver los nombres de dominio quires ver las IP's puedes ejecutar tcpdump con el parametro -n, o si tienes varias interfaces puedes usar el parametro -i para elegir cual de ellas usar. El comando man tcpdump te dara mas información de todos los parametros que acepta.
Espero que esta información te sirva de algo.
Un saludo | |
|
|
|
