reverse-skills-max: initial public release (restored, redacted, hardened)
This commit is contained in:
baradok609hecl1pq6qi
@@ -0,0 +1,113 @@
|
||||
# tcpdump / tshark / mitmproxy 命令速查与操作序列
|
||||
|
||||
工具族分工：tcpdump（捕获 + BPF 捕获过滤）→ tshark/capinfos（pcap 分析与导出）→ mitmproxy（TLS 中间人）。字段名一律用 `tshark -G fields | grep <关键字>` 核验；显示过滤语法随版本演进（4.x 变化见 [[gotchas]]）。
|
||||
|
||||
## 命令族速查
|
||||
|
||||
### tcpdump —— 捕获（BPF 捕获过滤，内核侧生效）
|
||||
|
||||
| 用途 | 命令 |
|
||||
|---|---|
|
||||
| 列接口 | `tcpdump -D` / `dumpcap -D` |
|
||||
| 按 IP 抓 | `sudo tcpdump -i eth0 host 1.2.3.4 -w out.pcap` |
|
||||
| 按端口抓 | `sudo tcpdump -i eth0 port 443 -w out.pcap` |
|
||||
| 组合 + 排除 | `sudo tcpdump -i eth0 '(host A or host B) and not port 53'`（shell 里括号要引号） |
|
||||
| 限包数 | `-c 500` |
|
||||
| 禁反向解析 | `-n`（`-nn` 连端口服务名也不解析） |
|
||||
| 限捕获长度 | `-s 200`（默认 262144 全包长） |
|
||||
| 轮转写盘 | `-C 100 -W 10`（100MB×10 文件）；`-G 60 -w out-%H%M%S.pcap`（按秒切） |
|
||||
| 离线读 | `tcpdump -r out.pcap -n -c 20` |
|
||||
| 抓回环 | `-i lo`（本机自连流量必经） |
|
||||
| 抓所有接口 | `-i any`（多网卡排障先用它） |
|
||||
|
||||
### tshark —— 分析/导出（显示过滤，用户态生效）
|
||||
|
||||
| 用途 | 命令 |
|
||||
|---|---|
|
||||
| 字段导出 | `tshark -r f.pcap -T fields -e ip.src -e ip.dst -e tcp.dstport` |
|
||||
| 显示过滤 | `-Y '<filter>'`（如 `ip.addr == 1.2.3.4`、`tcp.port == 8080`、`dns.qry.name contains "evil"`） |
|
||||
| 会话统计 | `-q -z conv,tcp`（`conv,ip` 按 IP 对） |
|
||||
| 协议层级 | `-q -z io,phs` |
|
||||
| HTTP 请求列表 | `-Y 'http.request' -T fields -e http.host -e http.request.uri` |
|
||||
| SNI 列表 | `-Y 'tls.handshake.type == 1' -T fields -e tls.handshake.extensions_server_name` |
|
||||
| DNS 查询名 | `-Y dns -T fields -e dns.qry.name` |
|
||||
| JSON 输出 | `-T json -e ip.src -e dns.qry.name -Y dns \| jq .`（脚本消费） |
|
||||
| 导出子集 pcap | `-w sub.pcap -Y '<display filter>'` |
|
||||
| 字段名查证 | `tshark -G fields \| grep -P '\t<字段名>\t'` |
|
||||
|
||||
### capinfos / mergecap / editcap —— pcap 管理（同族）
|
||||
|
||||
| 用途 | 命令 |
|
||||
|---|---|
|
||||
| pcap 元信息 | `capinfos f.pcap`（包数/时长/时间戳范围/截断标志） |
|
||||
| 合并 | `mergecap -w all.pcap a.pcap b.pcap` |
|
||||
| 切分 | `editcap -c 100000 big.pcap split`（每 10 万包一个文件） |
|
||||
| 改写时间戳 | `editcap -t +2 f.pcap out.pcap`（漂移校正） |
|
||||
|
||||
### mitmproxy —— TLS 中间人
|
||||
|
||||
| 用途 | 命令 |
|
||||
|---|---|
|
||||
| 常规代理 | `mitmproxy --listen-port 8080 --mode regular` |
|
||||
| 透明代理 | `mitmproxy -p 8080 --mode transparent`（配合 nat REDIRECT 引流） |
|
||||
| 脚本化 | `mitmdump -s script.py`（Python 插件：记录/改写请求） |
|
||||
| 无界面面板 | `mitmweb`（浏览器查看实时流） |
|
||||
|
||||
### NFQUEUE —— 内核态包截获/转发点
|
||||
|
||||
```sh
|
||||
sudo iptables -I FORWARD -j NFQUEUE --queue-num 1 # 转发链
|
||||
sudo iptables -I OUTPUT -j NFQUEUE --queue-num 1 # 本机出站（按需）
|
||||
# 用户态 handler（python NetfilterQueue）逐包 verdict；无 handler 时流量阻塞
|
||||
# 用完必须同时删除两条规则；TLS 中间人走 nat REDIRECT，不经 NFQUEUE（两套规则会互相干扰）
|
||||
```
|
||||
|
||||
## 常用操作序列
|
||||
|
||||
### 1. 沙箱内 C2 回连捕获（隔离 → 抓包 → 验证）
|
||||
|
||||
```
|
||||
[[re-sandbox]] 网络隔离（INetSim / fake DNS / 断网）就绪
|
||||
→ 抓包点：INetSim 主机或沙箱虚拟网卡，tcpdump -i eth0 -w c2.pcap
|
||||
→ 运行样本（沙箱内）→ 验证 ping 8.8.8.8 不通、INetSim 有查询日志、pcap 有流量
|
||||
→ tshark -q -z conv,tcp -z io,phs 出会话与协议分布 → 记入分析笔记
|
||||
```
|
||||
|
||||
### 2. HTTPS 明文解密（mitmproxy CA + 透明引流）
|
||||
|
||||
```
|
||||
mitmproxy -p 8080 --mode transparent（首次生成 ~/.mitmproxy/mitmproxy-ca-cert.pem）
|
||||
→ 沙箱内把 CA 装入信任库（cp ... && update-ca-certificates）
|
||||
→ sysctl net.ipv4.ip_forward=1 + iptables -t nat PREROUTING/OUTPUT REDIRECT --to-port 8080
|
||||
→ 运行目标 → 界面出现明文请求；未出现 = 证书未信任或流量没引过来
|
||||
→ 分析完清理 nat 规则并还原 ip_forward
|
||||
```
|
||||
|
||||
### 3. 大 pcap 分诊（先统计再子集）
|
||||
|
||||
```
|
||||
capinfos 看规模 → tshark -q -z conv,tcp 会话表 → -q -z io,phs 协议分布
|
||||
→ 按目标会话导出子集：tshark -w sub.pcap -Y 'ip.addr == X'
|
||||
→ 子集上 -T fields 提取 URL/SNI/长度 → 喂给 [[re-proto-rev]]
|
||||
```
|
||||
|
||||
### 4. 协议逆向原料导出（字段 → 结构化）
|
||||
|
||||
```
|
||||
tshark -r f.pcap -Y '<协议过滤>' -T fields -e <字段> -E header=y -E separator=, > flows.csv
|
||||
# 自定义协议逐层确认字段名（-G fields 查证），或 -T json 全量输出给 jq 提取
|
||||
```
|
||||
|
||||
## 实现教训（内化）
|
||||
|
||||
- 捕获过滤（-f/BPF）在内核侧丢弃不匹配包，误抓不可逆；显示过滤（-Y）pcap 仍在——宁宽抓窄析
|
||||
- 字段名是硬约束：写错直接报 "Some fields aren't valid" 或取不到值——用 `-G fields` 查，别凭记忆
|
||||
- 统计类结论用 `-q -z` 直接输出，别拿 `-T fields` 手工聚合
|
||||
- 中间人改变流量特征（TLS 指纹/证书/时序），目标有 TLS 指纹校验时会被发现（见 [[re-tls]]）
|
||||
- 先屏显后写盘：`-w` 之前先不带 `-w` 跑几秒确认过滤命中
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 全部在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）；抓包前确认网络隔离就绪
|
||||
- 产物（pcap 路径 + sha256）入档（[[re-triage]] 惯例）；结论写 [[re-analyze/analysis-contract]]
|
||||
- 版本相关行为（显示过滤语法、字段名）以本机 Wireshark 版本为准（见 [[gotchas]]）
|
||||
@@ -0,0 +1,41 @@
|
||||
# tcpdump / tshark / mitmproxy 工具特有坑与边界
|
||||
|
||||
## 捕获层：权限、丢包与轮转
|
||||
|
||||
- **普通用户抓不到包**：需要 CAP_NET_RAW——加 `sudo`，或 Debian 系把用户加入 wireshark 组（`sudo usermod -aG wireshark $USER` 后重登）；WSL1 不支持原生抓包，WSL2 可用
|
||||
- **抓包点不在流量必经路径**：交换机端口/无线网卡不保证把流量镜像给本机——本机抓包只能看到本机收发；跨主机目标在网关/虚拟网卡（virbr0/vboxnet0）抓；物理旁路用 tap 或交换机镜像口
|
||||
- **轮转切文件丢会话**：`-C`/`-G` 轮转只按大小/时间切，不感知会话边界——长抓包后会话可能被腰斩，先 capinfos 核对时长再下结论
|
||||
- **接口选错静默无流量**：VM 桥接/多网卡宿主常见——先用 `tcpdump -i any` 确认流量在哪个接口出现
|
||||
|
||||
## 过滤层：语法与字段名
|
||||
|
||||
- **捕获过滤 ≠ 显示过滤**：`host`/`port`/`net` 是 BPF 语法，只能用于 `tcpdump -i` 与 `tshark -f`；`-Y` 与 Wireshark 过滤框用字段语法（`ip.addr == ...`/`tcp.port == ...`）——混用报 filter error 或静默无结果
|
||||
- **字段名易错三例**：`tcp.dport` 不存在（合法名 `tcp.dstport`/`tcp.srcport`/`tcp.port`，`tshark -e tcp.dport` 直接报错）；`ip.addr` 匹配源或目标任一端，单侧用 `ip.src`/`ip.dst`；Wireshark 3.x 起协议名 `ssl` 全部改 `tls`（`tls.handshake.*` 而非 `ssl.*`）
|
||||
- **BPF 括号被 shell 吃掉**：`( )` 在 shell 里是子 shell——过滤表达式整体加引号
|
||||
- **过滤语法版本差异**：4.0 起 AND 优先级高于 OR（旧写法需加括号）；仅空白分隔（如 `ip.addr 10.0.0.1`）为语法错误；集合元素须逗号分隔；`ip.addr==1.2.3.4` 无空格写法在 3.x 同样合法
|
||||
|
||||
## 中间人层：TLS 解密边界
|
||||
|
||||
- **证书不信任则无明文**：证书固定/自有 CA/内置证书库的客户端，mitmproxy 解不开——先评估目标证书校验强度（[[re-tls]]）；固定证书场景放弃中间人，改抓 SNI 与元数据
|
||||
- **透明代理只覆盖命中的端口**：REDIRECT 规则按 dport 匹配，漏配端口的流量原样直连；QUIC/HTTP3（UDP 443）不在 TCP REDIRECT 范围内，需要 QUIC 专用中间人或降级目标
|
||||
- **TLS 1.3 ECH 隐藏 SNI**：加密 ClientHello 场景下 SNI 过滤失效（DoH/DoT 同理，见 SKILL.md 坑）——靠端点 IP 与信标周期补线索
|
||||
- **NFQUEUE 与透明代理互相干扰**：NFQUEUE 需要用户态 handler 逐包 verdict（无 handler 流量阻塞）；mitmproxy 透明模式走 nat REDIRECT 不消费 NFQUEUE——两套规则并存时行为不可预测，只保留需要的一套
|
||||
|
||||
## pcap 分析层：数据质量
|
||||
|
||||
- **截断包缺负载**：snaplen 过小时长度字段在但负载缺失，字段导出出现空值——先 capinfos 看 "Capture length" 与包长是否一致
|
||||
- **时间戳漂移**：抓包机时钟不准则会话时序失真——跨源关联（INetSim/系统日志）时核对各自时间基准
|
||||
- **巨大 pcap 卡死**：几十 GB 直接开 GUI 必卡——capinfos → 统计 → 子集三步走（见 [[commands]] 序列 3）
|
||||
- **半路抓包缺握手**：TLS 解密、会话重建都依赖完整握手——抓包点要在客户端同一侧从头抓
|
||||
|
||||
## 版本差异
|
||||
|
||||
- **Wireshark/tshark 4.x**：显示过滤空白要求收紧（仅空白分隔在 4.0 起为语法错误，3.6 起弃用）；AND 优先级高于 OR（旧写法需加括号）；协议名 `ssl` 已于 3.x 改名 `tls`，4.x 不再兼容旧名；4.2+ 持续新增字段与导出格式
|
||||
- **tcpdump/libpcap**：默认 snaplen 262144（1.x 起）；`-C` 单位 MB、`-G` 单位秒——单位写错会多写/少写轮转文件
|
||||
- **mitmproxy**：新版统一 `--mode regular|transparent` 显式指定（旧版 `--transparent` 独立参数形式随版本移除，以本机 `mitmproxy --help` 为准）；CA 在 `~/.mitmproxy/`，旧版本 CA 文件名有差异，信任库导入前先 `ls ~/.mitmproxy/` 核对
|
||||
- **字段名跨版本漂移**：升级 Wireshark 后旧过滤/导出脚本失效，先 `tshark -G fields` 对一遍再跑
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 全部在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）
|
||||
- 捕获产物 sha256 与路径入档；过滤与统计结论记入分析笔记（[[re-triage]] / [[re-analyze/analysis-contract]]）
|
||||
Reference in New Issue
Block a user