Tcpdump - Historique des versions

Jc.forton : /* Vision du NAT */

2023-12-25T22:46:58Z

Vision du NAT

← Version précédente		Version du 26 décembre 2023 à 00:46
Ligne 121 :		Ligne 121 :
	\|message\|\|echo request		\|message\|\|echo request
	\|}		\|}
			= Paquet HTTP =
			Dans ce cas nous allons observer, depuis le firewall, un échange HTTP lors d'une [https://en.wikipedia.org/wiki/Basic_access_authentication authentification de type ''Basic''] :
			<pre>
			[root@fw- ~]# tcpdump -i enp0s6 -nn -vv tcp and port 80
			dropped privs to tcpdump
			tcpdump: listening on enp0s6, link-type EN10MB (Ethernet), snapshot length 262144 bytes

			20:15:35.260983 IP (tos 0x2,ECT(0), ttl 63, id 0, offset 0, flags [DF], proto TCP (6), length 433)
			192.168.100.2.52603 > 192.168.20.253.80: Flags [P.], cksum 0x08fb (correct), seq 1:382, ack 1, win 2058, options [nop,nop,TS val 2639168716 ecr 1471888403], length 381: HTTP, length: 381
			GET /secure/ HTTP/1.1
			Host: 192.168.100.200
			User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:121.0) Gecko/20100101 Firefox/121.0
			Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
			Accept-Language: fr,fr-FR;q=0.8,en-US;q=0.5,en;q=0.3
			Accept-Encoding: gzip, deflate
			Connection: keep-alive
			Upgrade-Insecure-Requests: 1
			/.../
			20:15:35.262355 IP (tos 0x2,ECT(0), ttl 64, id 7701, offset 0, flags [DF], proto TCP (6), length 709)
			192.168.20.253.80 > 192.168.100.2.52603: Flags [P.], cksum 0x0321 (correct), seq 1:658, ack 382, win 507, options [nop,nop,TS val 1471888405 ecr 2639168716], length 657: HTTP, length: 657
			HTTP/1.1 401 Unauthorized
			Date: Mon, 25 Dec 2023 19:15:42 GMT
			Server: Apache/2.4.57 (Rocky Linux)
			WWW-Authenticate: Basic realm="Secure vraiment !"
			Content-Length: 381
			Keep-Alive: timeout=5, max=100
			Connection: Keep-Alive
			Content-Type: text/html; charset=iso-8859-1

			<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
			<html><head>
			<title>401 Unauthorized</title>
			</head><body>
			<h1>Unauthorized</h1>
			<p>This server could not verify that you
			are authorized to access the document
			requested. Either you supplied the wrong
			credentials (e.g., bad password), or your
			browser doesn't understand how to supply
			the credentials required.</p>
			</body></html>
			/.../
			20:15:42.860058 IP (tos 0x2,ECT(0), ttl 63, id 0, offset 0, flags [DF], proto TCP (6), length 484)
			192.168.100.2.52606 > 192.168.20.253.80: Flags [P.], cksum 0xa478 (correct), seq 1:433, ack 1, win 2058, options [nop,nop,TS val 3792843510 ecr 1471896002], length 432: HTTP, length: 432
			GET /secure/ HTTP/1.1
			Host: 192.168.100.200
			User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:121.0) Gecko/20100101 Firefox/121.0
			Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
			Accept-Language: fr,fr-FR;q=0.8,en-US;q=0.5,en;q=0.3
			Accept-Encoding: gzip, deflate
			Connection: keep-alive
			Upgrade-Insecure-Requests: 1
			Authorization: Basic YnJ1dGVmb3JjZTpwYXNzd29yZA==
			</pre>
			L'échange est tronqué pour des raison de lisibilité mais on voit clairement l'échange entre le PC est le serveur web.

			Pour résumer
			* le PC demande une ressource sécurisée au serveur web :
			<pre>
			GET /secure/ HTTP/1.1
			</pre>
			* le serveur web précise que la ressource est sécurisé et demande une authentification en précisant le domaine (ici ''Secure vraiment !''):
			<pre>
			HTTP/1.1 401 Unauthorized
			...
			WWW-Authenticate: Basic realm="Secure vraiment !"
			</pre>
			* et enfin, la réponse du PC avec le login / mot de passe [https://en.wikipedia.org/wiki/Basic_access_authentication#Client_side encodé en base64]
			<pre>
			GET /secure/ HTTP/1.1
			...
			Authorization: Basic YnJ1dGVmb3JjZTpwYXNzd29yZA==
			</pre>
			On peut facilement le retrouver en allant sur des site pour décoder le base64...

Jc.forton : /* Réception d'un message ICMP */

2023-12-25T21:57:01Z

Réception d'un message ICMP

@@ Ligne 52 : / Ligne 52 : @@
 :50:15.952666 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84, bad cksum 0 (->f08d)!)
 .168.100.2 > 192.168.100.200: ICMP echo reply, id 2, seq 1, length 64
 </pre>
-On peut voir le paquet source :
+On peut voir le premier paquet :
 <pre>
 :50:15.952573 IP (tos 0x0, ttl 63, id 20778, offset 0, flags [DF], proto ICMP (1), length 84)
 .168.100.200 > 192.168.100.2: ICMP echo request, id 2, seq 1, length 64
 </pre>
-* machine source : 192.168.100.200
+{|class=wikitable
-* machine destination : 192.168.100.2
+! Champ !! Valeur

Jc.forton : /* Introduction */

2023-12-25T21:41:08Z

Introduction

← Version précédente		Version du 25 décembre 2023 à 23:41
Ligne 25 :		Ligne 25 :
	Pour les exemples suivants, nous allons considérer le réseau ci-dessous :		Pour les exemples suivants, nous allons considérer le réseau ci-dessous :
	<pre align=center width=600px>		<pre align=center width=600px>
	NAT		(NAT)
	192.168.100.0/24 \| 192.168.20.0/24		192.168.100.0/24 \| 192.168.20.0/24 < RESEAU
	+--------+ +----+---+ +-----------+		+--------+ +----+---+ +-----------+
	\| PC +----------------------+Firewall+--------------------+Serveur Web\|		\| PC +----------------------+Firewall+--------------------+Serveur Web\| < MACHINES
	+--------+ +----+---+ +-----------+		+--------+ +----+---+ +-----------+
	192.168.100.2 192.168.100.200 \| 192.168.20.254 192.168.20.253		192.168.100.2 192.168.100.200 \| 192.168.20.254 192.168.20.253 < IP
	bridge100 enp0s5 \| enp0s6 enp0s5		bridge100 enp0s5 \| enp0s6 enp0s5 < INTERFACES
	</pre>		</pre>

Jc.forton : /* Introduction */

2023-12-25T21:39:12Z

Introduction

← Version précédente		Version du 25 décembre 2023 à 23:39
Ligne 31 :		Ligne 31 :
	+--------+ +----+---+ +-----------+		+--------+ +----+---+ +-----------+
	192.168.100.2 192.168.100.200 \| 192.168.20.254 192.168.20.253		192.168.100.2 192.168.100.200 \| 192.168.20.254 192.168.20.253
			bridge100 enp0s5 \| enp0s6 enp0s5
	</pre>		</pre>

Jc.forton : /* Réception d'un message ICMP */

2023-12-25T21:38:21Z

Réception d'un message ICMP

← Version précédente		Version du 25 décembre 2023 à 23:38
Ligne 53 :		Ligne 53 :
	18:50:16.955821 IP (tos 0x0, ttl 63, id 20853, offset 0, flags [DF], proto ICMP (1), length 84)		18:50:16.955821 IP (tos 0x0, ttl 63, id 20853, offset 0, flags [DF], proto ICMP (1), length 84)
	</pre>		</pre>

			On peut voir le paquet source :
			<pre>
			18:50:15.952573 IP (tos 0x0, ttl 63, id 20778, offset 0, flags [DF], proto ICMP (1), length 84)
			192.168.100.200 > 192.168.100.2: ICMP echo request, id 2, seq 1, length 64
			</pre>
			* machine source : 192.168.100.200
			* machine destination : 192.168.100.2

Jc.forton : /* Introduction */

2023-12-25T21:36:05Z

Introduction

← Version précédente		Version du 25 décembre 2023 à 23:36
Ligne 16 :		Ligne 16 :
	\| -vv \|\| Sortie verbeuse pour avoir des détails sur les champs des paquets capturés		\| -vv \|\| Sortie verbeuse pour avoir des détails sur les champs des paquets capturés
	\|-		\|-
	\| -i \|\|		\| -i \|\| Permet de spécifier le nom d'une interface
	\|-		\|-
	\| -K \|\|		\| -K \|\| Ne pas vérifier la somme de contrôle des paquets
	\|-		\|-
	\| -A \|\|		\| -A \|\| Affiche le contenu des paquets en ASCII
	\|}		\|}

	Pour les exemples suivants, nous allons considérer le réseau ci-dessous :		Pour les exemples suivants, nous allons considérer le réseau ci-dessous :
	<pre align=center width=600px>		<pre align=center width=600px>
	192.168.100.0/24 ~~NAT~~ 192.168.20.0/24		NAT
	\|		192.168.100.0/24 \| 192.168.20.0/24
	+--------+ +----+---+ +-----------+		+--------+ +----+---+ +-----------+
	\| PC ~~\| \|~~Firewall~~\| \|~~Serveur Web\|		\| PC +----------------------+Firewall+--------------------+Serveur Web\|
	+--------+ +----+---+ +-----------+		+--------+ +----+---+ +-----------+
	192.168.100.2 192.168.100.200\|192.168.20.254 192.168.20.253		192.168.100.2 192.168.100.200 \| 192.168.20.254 192.168.20.253
	</pre>		</pre>

	= Réception d'un message ICMP =		= Réception d'un message ICMP =
	Depuis le serveur web, nous allons ''pinger'' le PC :		Depuis le serveur web, nous allons ''pinger'' le PC :

Jc.forton : Page créée avec « = Introduction = La commande tcpdump permet de voir le trafique qui circule sur une machine. Vous pouvez l'utiliser pour : * vous assurer que certain paquet arrive sur une… »

2023-12-25T19:02:16Z

Page créée avec « = Introduction = La commande tcpdump permet de voir le trafique qui circule sur une machine. Vous pouvez l'utiliser pour : * vous assurer que certain paquet arrive sur une… »

Nouvelle page

= Introduction =
La commande tcpdump permet de voir le trafique qui circule sur une machine. Vous pouvez l'utiliser pour :
* vous assurer que certain paquet arrive sur une machine (eg. ICMP)
* voir les modifications sur les entêtes (eg. NAT, PAT, ...)
* vérifier que le messages ont les bonnes entêtes (eg. header HTTP présent)
*...

tcpdump va littéralement dumper (afficher de manière brute) les entêtes et même le contenu des messages. Vous pouvez également rediriger la sortie dans un fichier pour faire une exploitation graphique grâce à [https://www.wireshark.org/download.html Wireshark]

Voici quelques options intéressantes de tcpdump :
{|class=wikitable width=600px
! Option !! Description
|-
| -nn || Ne convertie pas les adresses IP, les protocoles et numéro de port en noms
|-
| -vv || Sortie verbeuse pour avoir des détails sur les champs des paquets capturés
|-
| -i ||
|-
| -K ||
|-
| -A ||
|}

Pour les exemples suivants, nous allons considérer le réseau ci-dessous :
<pre align=center width=600px>
192.168.100.0/24 NAT 192.168.20.0/24
|
+--------+ +----+---+ +-----------+
| PC | |Firewall| |Serveur Web|
+--------+ +----+---+ +-----------+
192.168.100.2 192.168.100.200|192.168.20.254 192.168.20.253
</pre>
= Réception d'un message ICMP =
Depuis le serveur web, nous allons ''pinger'' le PC :
<pre>
[root@web ~]# ping 192.168.100.2
PING 192.168.100.2 (192.168.100.2) 56(84) bytes of data.
64 bytes from 192.168.100.2: icmp_seq=1 ttl=63 time=0.969 ms
64 bytes from 192.168.100.2: icmp_seq=2 ttl=63 time=1.83 ms
64 bytes from 192.168.100.2: icmp_seq=3 ttl=63 time=1.30 ms
</pre>
Sur le PC :
<pre>
[root@pc ~]# tcpdump -nn -vv -i bridge100 icmp
tcpdump: listening on bridge100, link-type EN10MB (Ethernet), snapshot length 524288 bytes

18:50:15.952573 IP (tos 0x0, ttl 63, id 20778, offset 0, flags [DF], proto ICMP (1), length 84)
192.168.100.200 > 192.168.100.2: ICMP echo request, id 2, seq 1, length 64
18:50:15.952666 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84, bad cksum 0 (->f08d)!)
192.168.100.2 > 192.168.100.200: ICMP echo reply, id 2, seq 1, length 64
18:50:16.955821 IP (tos 0x0, ttl 63, id 20853, offset 0, flags [DF], proto ICMP (1), length 84)
</pre>

Tcpdump - Historique des versions

Jc.forton : /* Vision du NAT */

Jc.forton : /* Réception d'un message ICMP */

Jc.forton : /* Introduction */

Jc.forton : /* Introduction */

Jc.forton : /* Réception d'un message ICMP */

Jc.forton : /* Introduction */

Jc.forton : Page créée avec « = Introduction = La commande tcpdump permet de voir le trafique qui circule sur une machine. Vous pouvez l'utiliser pour : * vous assurer que certain paquet arrive sur une… »

Jc.forton : /* Vision du NAT */

Jc.forton : /* Réception d'un message ICMP */

Jc.forton : /* Introduction */

Jc.forton : /* Introduction */

Jc.forton : /* Réception d'un message ICMP */

Jc.forton : /* Introduction */

Jc.forton : Page créée avec « = Introduction = La commande tcpdump permet de voir le trafique qui circule sur une machine. Vous pouvez l'utiliser pour : * vous assurer que certain paquet arrive sur une… »