Ders 2.18: Kesin paket süzgeçleri: taramalar ve sürprizler
Birkaç dakikalık bir kayıt bile binlerce paket içerir. Süzgeç ifadeleri (tcpdump'ın, Wireshark yakalama süzgeçlerinin ve birçok sensörün paylaştığı pcap-filter dili) kesin sorular sormanı sağlar: yalnızca SYN paketleri, yalnızca bir makinenin yanıtları, gürültü dışındaki her şey. Laboratuvarda Northwind'in web sunucusundan bir kaydı okuyor, yarı açık bir port taramasını buluyor, denediği portları sayıyor, hangilerinin yanıt verdiğini listeliyor ve bilinen trafiği çıkararak kimsenin beklemediği bir şeyi ortaya çıkarıyorsun.
16 dk
Bu derste öğreneceklerin
- pcap-filter ifadeleri yazmak
- TCP bayraklarını eşleştirmek (SYN, SYN-ACK, RST)
- Yarı açık bir taramayı tanımak
- Hangi portların yanıt verdiğini bulmak
- Bilinen trafiği çıkarmak için 'not' kullanmak
Temel terimler
- pcap-filter (BPF) ifadesi
- Paket seçmek için Berkeley Packet Filter koduna derlenen küçük bir dil.
- Temel öğeler
- host, net, port, portrange, tcp/udp/icmp/arp; src ya da dst ile.
- TCP bayrakları
- TCP başlığındaki bitler: SYN, ACK, FIN, RST, PSH, URG.
- Yarı açık (SYN) tarama
- SYN gönderip bir SYN-ACK'ten sonra sıfırlamak; el sıkışmayı hiç tamamlamamak.
- Yakalama ve görüntüleme süzgeci
- BPF neyin yakalanacağını ya da okunacağını seçer; Wireshark'ın görüntüleme süzgeçleri farklı bir sözdizimi kullanır.
← MAC adresleri, Ethernet ve ARP · Tüm dersler · Tehlikeli dosya izinleri →