linux - 从 PCAP 中提取信息

Question

日志格式如下。每个 ** 也有括号。

03/16-08:30:05.350000 ** [1:491:8] INFO FTP Bad login ** [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 192.168.21.101:21 -> 192.168.202.102:4061

我想做的是:

• 提取所有目标 IP
• 提取源IP/目的IP/端口对
• 查看与源 IP 关联的所有事件并从已识别的源 IP 获取所有目的地的计数

我刚刚提取了所有 IP 和端口:

grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\:[0-9]\{3,10\}' alert.pcap | sort | uniq

Answer 1

您在顶部显示的 list 似乎来自 snort 或 suricata 警报文件。在 pcap 文件上使用 grep 不太可能给你想要的东西。

提取所需内容的正确工具可能是 tshark(wireshark 的命令行版本)。

提取目标 IP:

tshark -r file.pcap -T fields -e ip.dst

提取 TCP 源、目标 IP 和端口:

tshark -r file.pcap -T fields -e ip.src -e tcp.srcport -e ip.dst -e tcp.dstport -Y tcp

UDP 相同:

tshark -r file.pcap -T fields -e ip.src -e udp.srcport -e ip.dst -e udp.dstport -Y udp

将上述任何内容通过管道传输到 sort -u 以获得唯一的地址/元组。

另一种选择是以适合加载到电子表格中的格式生成包罗万象的列表，并使用电子表格功能按照您认为合适的方式进行切片和切 block 。一个这样的命令行会产生逗号分隔值格式:

tshark -r file.pcap -E separator=, -T fields -e ip.proto -e ip.src -e tcp.srcport -e udp.srcport -e ip.dst -e tcp.dstport -e udp.dstport -Y "udp or tcp"

这里的 ip.proto 列对于 TCP 是 6，对于 UDP 是 17。仅为每个 IP 子协议(protocol)填充相应的 src/dst 端口列。