TCPDUMP

Tcpdump ist ein Kommandozeilenwerkzeug zur Analyse von Netzwerkverkehr. Es bietet die Möglichkeit, Pakete direkt von einer Netzwerkschnittstelle oder aus einer Datei zu erfassen und auszuwerten. Das Tool ist besonders auf Unix-ähnlichen Systemen weit verbreitet und wird oft eingesetzt, um Netzwerkprobleme zu diagnostizieren, den Netzwerkverkehr zu untersuchen und Sicherheitsanalysen durchzuführen.

Gründe für die Verwendung von Tcpdump:

• Netzwerkdiagnose und -überwachung

• Protokoll- und Fehleranalyse

• Netzwerkforensik

• Sicherheitsüberprüfungen und Intrusion Detection

Gefährliche Einstellungen

Im Betrieb als Root kann Tcpdump den gesamten Netzwerkverkehr einsehen und schreiben. Dies birgt Risiken, insbesondere in unsicheren Umgebungen:

• Promiscuous Mode: Tcpdump erfasst alle Pakete, die es sieht, was Angreifern ermöglichen könnte, vertraulichen Datenverkehr zu überwachen.

• Unverschlüsselte Protokolle: Wenn Tcpdump in Netzwerken verwendet wird, in denen unverschlüsselte Protokolle wie HTTP oder Telnet genutzt werden, können Angreifer leicht vertrauliche Daten wie Passwörter abfangen.

Man sollte Tcpdump mit Bedacht und nur in sicheren Umgebungen einsetzen.

Grundlegende Befehle und Optionen

Tcpdump bietet eine Vielzahl von Schaltern zur Anpassung der Erfassungen und zur Steuerung des Outputs. Im Folgenden sind die wichtigsten Schalter aufgeführt:

Schalter	Beschreibung
-D	Listet alle verfügbaren Interfaces auf.
-i <Interface>	Wählt ein spezifisches Interface für die Paketaufzeichnung.
-n	Deaktiviert die Namensauflösung von Hostnamen und Ports.
-nn	Deaktiviert sowohl die Namensauflösung von Hostnamen als auch von Ports.
-e	Zeigt Ethernet-Header an.
-X	Zeigt den Paketinhalt in Hex und ASCII.
-v, -vv, -vvv	Erhöht die Ausführlichkeit der Ausgabe.
-c <Anzahl>	Beendet die Erfassung nach einer bestimmten Anzahl von Paketen.
-s <Snaplength>	Legt fest, wie viele Bytes eines Pakets erfasst werden.
-S	Zeigt absolute Sequenznummern an.
-q	Zeigt weniger Protokollinformationen.
-r <Datei>	Liest Pakete aus einer Datei (PCAP-Format).
-w <Datei>	Schreibt Pakete in eine Datei (PCAP-Format).

Beispiel: Schnittstellen auflisten

Um alle verfügbaren Netzwerkschnittstellen aufzulisten:

$ sudo tcpdump -D

Ausgabe:

1.eth0 [Up, Running, Connected]
2.any (Pseudo-device that captures on all interfaces) [Up, Running]
3.lo [Up, Running, Loopback]
...

Beispiel: Pakete auf einer spezifischen Schnittstelle erfassen

Um den Netzwerkverkehr auf eth0 zu erfassen, verwendet man:

$ sudo tcpdump -i eth0

Um die Namensauflösung zu deaktivieren:

$ sudo tcpdump -i eth0 -nn

Beispiel: Ethernet-Header und Paketinhalt anzeigen

Um Ethernet-Header und den Inhalt der Pakete in Hex und ASCII darzustellen, kombiniert man die Optionen:

$ sudo tcpdump -i eth0 -e -X

Paketerfassung auf eine Datei schreiben

Um die Erfassung in einer Datei zu speichern (PCAP-Format):

$ sudo tcpdump -i eth0 -w capture.pcap

Pakete aus einer Datei lesen

Um gespeicherte Pakete aus einer PCAP-Datei zu analysieren:

$ sudo tcpdump -r capture.pcap

Schritt-für-Schritt: Tcpdump in Penetrationstests

1. Enumeration: Vor der Erfassung ist es ratsam, verfügbare Schnittstellen zu prüfen und sicherzustellen, dass die richtige Schnittstelle ausgewählt wird. Verwenden Sie den Befehl sudo tcpdump -D, um die Schnittstellen aufzulisten.

2. Initiale Erfassung: Beginnen Sie mit einer einfachen Erfassung auf der Zielschnittstelle:

   $ sudo tcpdump -i eth0 -nn

   Dies erfasst Pakete auf eth0, ohne Hostnamen oder Ports aufzulösen.

3. Speichern der Erfassung: Falls Sie eine längere Analyse durchführen oder das Ergebnis später mit Tools wie Wireshark analysieren möchten, speichern Sie die Pakete in eine Datei:

   $ sudo tcpdump -i eth0 -w output.pcap

4. Analyse der PCAP-Datei: Um später eine detaillierte Analyse der aufgezeichneten Pakete durchzuführen, laden Sie die Datei mit:

   $ sudo tcpdump -r output.pcap

5. Paketerfassung filtern: Durch Filter wie tcp, udp, icmp oder Portnummern lassen sich nur relevante Pakete erfassen. Zum Beispiel, um nur HTTP-Verkehr (Port 80) zu erfassen:

   $ sudo tcpdump -i eth0 tcp port 80

6. Erhöhte Ausführlichkeit: Für detailliertere Ausgaben wie Sequenznummern, Flags und Optionen:

   $ sudo tcpdump -i eth0 -nnvvS