|
Tcpdump - logowanie połączeń www do pliku
|
| shibby |
Dodano 02-06-2010 20:16
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
Pada wiele pytań jak logowań połączenia www innych userów do pliku. Na Openwrt jest dostępny odpowiedni do tego pakiet o nazwie urlsnarf jednak pod tomato/ddwrt nie.
Otóż okazuje się, że nie jest on potrzebny. Jedynym wymaganiem jest możliwość instalowania optware oraz miejsce na przechowywanie logów.
Instalacja wymaganych pakietów
Cytat ipkg update
ipkg install tcpdump bash
Skrypt
Cytat wget http://tomato.groov.pl/Exp/http_loger -O /opt/bin/http_loger
chmod +x /opt/bin/http_loger
Teraz edytujemy plik /opt/bin/http_loger
i ustawiamy miejsce przechowywania logów oraz swoją podsieć wraz z maską np:
Cytat dir=/mmc/tcpdump
lan="192.168.0.0/24"
Zapisujemy i skrypt gotowy.
Teraz wystarczy dodać jego wywołanie do shedulera minutę po północy, każdego dnia.
Można też zrobić to dodając do skryptu firewall (po zamontowaniu partycji /opt).
Cytat logger http_loger start ...
cru a http_loger "1 0 * * * /opt/bin/http_loger"
/opt/bin/http_loger
Słowo na koniec
Wynik skryptu nie jest może czytelny ale zawiera wszystko co potrzebne a wiec datę, godzinę, ip lokalne oraz ip zdalne + port 80.
Przeciez nie chodzi o to by inwigilować współużytkowników a jedynie logować połączenia by w razie czego (czyt. wizyty policji) móc się bronić i wskazać faktycznego sprawcę ewentualnego zamieszania.
Całość prezentuje się następująco:
Cytat [root@groov /]$ tail -f /mmc/tcpdump/06-2010/tcpdump02_06_2010.log
20:03:45.992212 192.168.0.4.4432 > 195.93.178.6.80:
20:03:48.387207 192.168.0.4.4433 > 195.93.178.6.80:
20:03:48.396849 192.168.0.4.4434 > 91.206.173.228.80:
20:03:48.400547 192.168.0.4.4435 > 91.206.173.228.80:
20:03:48.404641 192.168.0.4.4436 > 91.206.173.228.80:
20:03:50.136044 192.168.0.4.4437 > 195.93.178.6.80:
20:03:50.418293 192.168.0.4.4438 > 91.206.173.230.80:
20:03:50.797575 192.168.0.4.4439 > 91.206.173.230.80:
20:03:53.396419 192.168.0.4.4440 > 195.93.178.6.80:
uwaga: jeżeli chcemy by adresy ip byly rozwiązywane do nazw należy w skrypcie odszukać dwie linie zaczynające się od tcpdump i zamiast parametrów -qni wpisać -qi. Parametr "n" zabrania rozwiązywaniu ip do nazw.
uwaga2: to pierwszy tego typu skrypt. W miarę możliwości będę starał się go poprawiać i uaktualniać.
Pozdrawiam
Edytowany przez shibby dnia 09-06-2010 09:17
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| eRd |
Dodano 02-06-2010 23:43
|
OL Maniac
Posty: 1090
Dołączył: 11/03/2007 13:15
|
Bardzo fajna sprawa. Brawo shibby za to, że dzielisz się swoją wiedzą z innymi i za tutoriale dla laików takich jak ja, które dają dużo radości 
Oby tak dalej !
WRT54GL v 1.1 Tomato Firmware 1.28.0005 108 ND VPN + 11 użyszkodników na kablu + 1 wifi 
Netgear WNR3500L v1 @500MHz Tomato Firmware 1.28.0000 MIPSR2-108 K26 USB BTgui-VPN
PAP2T soft 5.1.6 LS / IPFON
Zotac HD-ID11 (ION2), |
| |
|
|
| RooTer |
Dodano 03-06-2010 01:00
|
User
Posty: 60
Dołączył: 14/06/2008 13:16
|
Nadal trudno to porównywać do urlsnarf'a który rozumie jednak http, a nie zgaduje, że TCP 80 to połączenie http. Shibby, może warto spróbować zebrać binarki z openwrt i dać gotową "paczkę" w postaci .tar dla tomato?
Linksys WRT54GS v4 OpenWrt (brcm-2.4)
D-Link DIR320 OpenWrt (brcm47xx)
|
| |
|
|
| shibby |
Dodano 03-06-2010 14:20
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
RooTer oczywiscie ze warto tylko to kupe roboty bo brakuje nie jednej a z 3-4 paczek by urlsnarf zadzialal 
Juz to zaczalem robic ale kiedy skoncze ... ciezko powiedziec.
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| shibby |
Dodano 03-06-2010 18:13
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
Rooter no i wyprosiles zrobilem urlsnarfa dla tomato/ddwrt
Zabieram sie za pisanie tutka
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| waporek |
Dodano 12-05-2011 08:01
|
User
Posty: 50
Dołączył: 30/12/2010 07:58
|
Koledzy a jak zrobic aby logowalo caly ruch w sieci :-) zalezy mi na p2p :-) |
| |
|
|
| p4v3u |
Dodano 15-05-2011 16:50
|
User
Posty: 130
Dołączył: 19/08/2006 15:22
|
hmmm, a jak to rozwiązać, żeby logowało powiedzmy godzinowo, jakoś, ale gdzieś albo do netu, albo do sieci lokalnej, albo gdzieś byle nie na urządzeniu?
pozdrowienia |
| |
|
|
| Mala |
Dodano 09-02-2013 17:06
|
User
Posty: 126
Dołączył: 05/05/2012 10:16
|
coś nie działa
wget http://tomato.groov.pl/Exp/http_loger -O /opt/bin/http_loger
chmod +x /opt/bin/http_loger
otrzymuje komunikat wget: server returnet error:http/1.1 404 Not Found |
| |
|
|
| shibby |
Dodano 09-02-2013 17:11
|
SysOp
Posty: 17143
Dołączył: 15/01/2009 20:30
|
tomato.groov.pl/download/Exp
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 3x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| bandi20 |
Dodano 02-06-2015 17:38
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
a co zrobić jak tcpdump generuje pliki o wielkości 0 ?
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
|
| qrs |
Dodano 03-10-2015 12:41
|
Maxi User
Posty: 749
Dołączył: 02/12/2012 00:55
|
mało szczegółów historii odwiedzanych stron, ale działa
Cytat 12:35:00.095272 laptop.59443 > 46.28.247.94.https:
12:35:00.095293 laptop.59443 > 46.28.247.94.https:
12:35:01.153444 laptop.59444 > 46.28.247.94.https:
12:35:01.153463 laptop.59444 > 46.28.247.94.https:
12:35:01.716475 laptop.45538 > waw02s06-in-f13.1e100.net.https:
12:35:01.716498 laptop.45538 > waw02s06-in-f77.1e100.net.https:
12:35:02.111830 laptop.33900 > waw02s05-in-f33.1e100.net.https:
12:35:02.111853 laptop.33900 > waw02s05-in-f33.1e100.net.https:
12:35:03.826584 laptop.33901 > waw02s05-in-f33.1e100.net.https:
12:35:03.826610 laptop.33901 > waw02s05-in-f33.1e100.net.https:
12:35:03.917401 laptop.33902 > waw02s05-in-f33.1e100.net.https:
12:35:03.917424 laptop.33902 > waw02s05-in-f33.1e100.net.https:
12:35:05.036652 laptop.32826 > lb-in-f189.1e100.net.https:
12:35:05.036678 laptop.32826 > lb-in-f189.1e100.net.https:
12:35:05.112893 laptop.44482 > 46.28.247.93.https:
12:35:05.112919 laptop.44482 > 46.28.247.93.https:
12:35:05.540708 laptop.32996 > vl-in-f94.1e100.net.https:
12:35:05.540733 laptop.32996 > vl-in-f94.1e100.net.https:
12:35:13.283636 telefon.54861 > 195.191.204.215.www:
12:35:13.283659 telefon.54861 > 195.191.204.215.www:
12:35:19.411378 telefon.37390 > 140.205.162.6.www:
12:35:19.411401 telefon.37390 > 140.205.162.6.www:
12:35:29.892972 TV.47495 > ec2-52-8-244-251.us-west-1.compute.amazonaws.com.https:
12:35:29.892996 TV.47495 > ec2-52-8-244-251.us-west-1.compute.amazonaws.com.https:
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
|
| |
|
' target='_blank'>Link
