Por que o tcpdump não grava um arquivo pcap?

8

No processo de depuração de um python irc bot que parece não conseguir se conectar, pensei: "Eu sei, vou apenas despejá-lo e ver o que ele está fazendo". Então, eu executei o tcpdump como normalmente faço e ele diz que é pacotes capturados, mas na verdade não grava o arquivo cap.

akraut@lance ~/pcaps $ sudo tcpdump -w pyhole -s 0 "port 6667"
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C17 packets captured
17 packets received by filter
0 packets dropped by kernel
4294966881 packets dropped by interface
akraut@lance ~/pcaps $ ls -la
total 8
drwxr-xr-x 2 akraut akraut 4096 Feb  6 11:50 .
drwxr-xr-x 8 akraut akraut 4096 Feb  6 11:50 ..
akraut@lance ~/pcaps $

networking filesystems tcpdump

— akraut
fonte

O que acontece se você der um caminho absoluto?

— Massimo

O bot está se conectando eth0? Se estiver usando o loopback ou outra interface, não haverá tráfego para despejar no arquivo.

— Chris S

1

@ Chris-s Se mostrar, 17 packets received by filterisso não significa que capturou algum tráfego?

— akraut 6/02/12

@Massimo Tentei especificar ./blah e / blah e nenhum dos dois escreveu um arquivo.

— Akraut 6/02/12

11

Você pode querer verificar o comportamento do tcpdump com strace, para ver se ele está fazendo algo estranho como chrooting, se está no gentoo ou em outra distribuição que pode ajudar os binários.

— Justin Lynn
fonte

Ah sim. Olhando para o ebuild, ele parece soltar privs e chroot /var/lib/tcpdump. E eis que estão todos os meus arquivos cap.

— akraut

10

Ok, eu resolvi o mistério. Siga-me enquanto desvendamos o TCPDump do Funtoo e o Mistério do arquivo pcap ausente .

Usei o strace para ver o que está acontecendo e as linhas relevantes são:

chroot("/var/lib/tcpdump")              = 0
chdir("/")                              = 0
--- SNIP ---
open("/tmp/lol.wat", O_WRONLY|O_CREAT|O_TRUNC, 0666) = -1 ENOENT (No such file or directory)

Assim...

lance ~ # ls /var/lib/tcpdump/
blah  blah.cap  irc.cap  pyhole

Ei, olha! Todos os arquivos cap que tentei criar!

Depois de dar uma olhada nas bandeiras de uso com as quais o tcpdump é construído, por padrão, vejo o seguinte:

lance ~ # grep tcpdump /usr/portage/profiles/use*desc
use.local.desc:net-analyzer/tcpdump:chroot - Enable chrooting when dropping privileges

Então, por que fazer dessa maneira? Minha teoria é mais ou menos assim:

Muitos aplicativos que interagem com o tráfego bruto da rede precisam ser executados como raiz.
O tráfego de rede bruto possui uma grande variedade de valores válidos e inválidos em estado selvagem.
Existem muitas explorações para esses aplicativos. (Wireshark, Ethereal, tcpdump, et al)
Portanto, o tcpdump obtém acesso à interface de rede enquanto root, se /var/lib/tcpdumpaprisiona e depois remove privilégios de root e inicia a captura.

Como resultado, quando eu especifiquei ./blahou blahfuncionou bem. Mas /tmp/blahnão porque /var/lib/tcpdump/tmpnão existe.

Um recurso interessante de tudo isso é: ao usar o sinalizador suid para instalar o tcpdump SetUID, você pode conceder aos usuários acesso ao tcpdumpgrupo sem fornecer a eles sudo ou acesso root. Os usos possíveis incluem uma caixa de captura para seus engenheiros ou pesquisadores de rede.

Eu só gostaria que o Gentoo / Funtoo tivesse uma mensagem na instalação dizendo tudo isso.

tl; dr: O Gentoo / Funtoo coloca seus arquivos pcap no /var/lib/tcpdump.

— akraut
fonte

3

A sintaxe está correta: eu apenas tentei (ainda que na porta 80) e gerou um arquivo pcap no diretório de trabalho atual, considerando as mesmas opções que você está usando.

Poderia ter algo a ver com o seu diretório pessoal, que você está tentando gravar como root (por causa do sudo)? É possível que você esteja usando diretórios pessoais montados em NFS com esmagamento de raiz? sudo touch ~akraut/pcaps/foo?

Você pode tentar escrever o pcap para / tmp / ou algo assim?

— cjc
fonte

Com sudo tcpdump -w /tmp/blah -s 0 "port 6667"isso, parece que está funcionando, mas se eu fizer sudo su -primeiro, em seguida, execute tcpdump -w /tmp/blah -s 0 "port 6667"como root e diz "Não existe esse arquivo ou diretório". Os aprofunda mistério ...

— akraut

1

Parece que Justin ajudou você a encontrar a resposta. Posso perguntar qual a distribuição que você está usando e se essa é uma instalação padrão do tcpdump para essa distribuição?

— 22612 cjc

Estou executando o Funtoo, que é uma variante do Gentoo. Sim, por padrão, ele define o sinalizador chroot "use" (um método do Gentoo para ativar / desativar a funcionalidade opcional em tempo de compilação). Na verdade, preparei um artigo mais longo para publicar aqui em breve.

— akraut