Table des matières

Tcpflow

Fonction

TcpFlow permet de faire des captures comme tcpdump.

Il écrit dans des fichiers (un fichier par connexion émetteur/récepteur/port)

Installation

apt-get install tcpflow

Utilisation

ip l
mkdir -p /tmp/capture

(ici, l'interface est eth0)

tcpflow -o /tmp/capture -i eth0
nohup tcpflow -o /tmp/capture -i eth0 &
pkill tcpflow

Utilisation avec tcpdump

tcpdump -i eth0 -w /tmp/tcpdump.pcap
pkill tcpdump
tcpflow -o /tmp/capture -r /tmp/tcpdump.pcap

Analyse

Fichier pcap (tcpdump)

# show flow
tcpdump -r /tmp/tcpdump.pcap

# show raw data
tcpdump -qns 0 -A -r /tmp/tcpdump.pcap

# show hexa data
tpdump -qns 0 -X -r /tmp/tcpdump.pcap

# show hexa data (filter exclude ssh)
tcpdump -qns 0 -X -r /tmp/tcpdump.pcap 'port not 22'

Fichier tcpflow

Analyser les captures :

  1. fichier report.xml (contient la liste de tous les fichiers de capture avec la taille, l'heure de capture…)
  2. fichier contenant les données : <ip source>.<port source>-<ip destination>.<port destination>
  3. fichier contenant les index : <ip source>.<port source>-<ip destination>.<port destination>.findx

format index: byte-index|timestamp|length

Doc

https://github.com/simsong/tcpflow