Newsgroup: it.comp.os.linux.software
Titolo: sniffer per linux

ho giï¿œ provato dsniff e tcpdump, ho letto qua e la documentazioni varie...
Insomma voglio solo visualizzre le varie informazioni che transitano dal 
mio compute verso internet.
Un esempio pratico?

 Un esempio pratico?
 
 
cioè voglio ad esempio monitorare i dati in transito sulla porta 80.
Se ad esempio mi collego a 
www.io.it
, voglio vedere, tra le varie cose, 
  la risposta del server:
 
HTTP 1.1...
Content-type: ...
Content-lenght: ...
Connection: closed
 
<DOCTYPE html>
<html>
<head>
...
</head>
<body>
...
 
Si può?
Ho letto i manuali?
Si li ho letti :-)

 Si li ho letti :-)
 
 
perchè tcpdump (dsniff non lo conosco) non va bene ?
 

   la risposta del server:
 
Wireshark
http://www.youtube.com/watch?v=1fqBYcBhrwc
 
 
-- 
Bye, Lem
Ceterum censeo ISLAM esse delendum
_________________________________________________________________
Non sprecare i cicli idle della tua CPU, né quelli della tua GPU.
 
http://www.worldcommunitygrid.org/index.jsp
 
http://www.rnaworld.de/rnaworld/
 
http://home.edges-grid.eu/home/
 
 
http://www.gpugrid.net/
 

 Si li ho letti
 
In questo caso, come ti hanno già chiesto, perché tcpdump non va bene?
 
Vedi anche tcpflow.

 perchè tcpdump (dsniff non lo conosco) non va bene ?
 
direi di si, però non vedo l'esempio pratico (è quello che ho chiesto).
 
Ho provato
 
sudo tcpdump -i eth0 -w file tcp port 80
 
ma sembra che rimane semplicemente in ascolto.
L'output dov'è?
 
Ho provato
 
cat file
 
ma mi escono solo alcuni caratteri binari


 
tra le interfacce dovrebbe comparire la mia scheda di rete.
Non compare...


sudo tcpflow -i eth0
tcpflow[6321]: listening on eth0
 
E quindi?
Pardon non ho ancora molta esperienza con questi strumenti...
Vi ho chiesto un esempio...

 Non compare...
 
Ma qualcuna compare? Altrimenti:
 
$ sudo setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/bin/dumpcap
 
prima di far partire Wireshark.
 
E se esegui wireshark da root?



-w file,file è il file di output
Il man lo dice chiaramente per quanto riguarda l' opzione -w
 
Write  the  raw  packets to file rather than parsing and printing them 
out.  They can later be printed with the -r
               option.  Standard output is used if file is ``-''.  See 
pcap-savefile(5) for a description of the file format.
 
Per analizzare il file puoi usare ad esempio tcptrace
 
 
 

 Per analizzare il file puoi usare ad esempio tcptrace
 
e anche questo ha tante opzioni... quali sono quelle giuste per quello 
che voglio fare?
 
 


 
ok adesso va
solo che al posto del codice html vedo sta roba
 
}}...W.c:.,\.w...y.....M.|8.H..z.R....d\..{..FAoV.......L.....e......p......*..~.L.......nn....
o..}...............]+..[...>...?.......H*...t6........-..}.GR..}:.......V. 
T.....m.....;......J....~...$..A..sru....5....}1.............V.....Z'.|>..2...
..e.].XW.v.{[(...S......Y..5.....A...n<.......Bi..\*.+..pZh...B.}...[...-.{.h.S.N...j.&.n.S...G.N..z....:D}
,.k.m.^t.z.....ywz.)wvz{...d.OY..........l.}7.|P..T..d<OR.......{.&..R2;("....@$..4.....
 
mi devo impratichire

 solo che al posto del codice html vedo sta roba
 
Cerca meglio. :)



Le opzioni, come hai detto,sono tante
Un esempio:
tcptrace -n  -e  file
 
 
-n - non risolve i nomi
-e - crea tanti file *.dat con contenuto human readable
 
 
Una cosa:
sudo tcpdump -i eth0 -w file tcp port 80
 
come sai,filtra i pacchetti che passano dalla porta 80
attenzione: la porta 80 è usata dal server http non dal client
il browser usa una o più porte, normalmente le porte > 1024, per connettersi
 
quindi:
sudo tcpdump -i eth0 -w file tcp
 
per tutte le porte con tcp
 
 
 


 
che contengono solo gli header http... va a capire qual'è quello giusto

wireshark + rtfm


Fatti uno script in perl o in altro linguaggio che conosci che analizza 
quei file e tira fuori tutte le informazioni che ti interessano