☰

Конвертация файлов .pcap в .txt с помощью tshark

tag-icon • tag-icon networking permissions sudo wireshark tcpdump
Конвертация файлов .pcap в .txt с помощью tshark

Я пытаюсь преобразовать мои файлы захвата пакетов .pcap, созданные tcpdump, в текстовый формат. Я получаю ошибку разрешения всякий раз, когда пытаюсь преобразовать файл .pcap или даже просто перенести ">" stdout tcpdump в текстовый файл.

Метод 1:

генерировать файлы захвата пакетов с помощью

sudo tcpdump -i wlan0 -w /var/log/tcpdump/tcpdump-log-06-03-2015.pcap

попытайтесь преобразовать файл .pcap с помощью

sudo tshark -V -r tcpdump-log-06-03-2015.pcap > tcpdump-log-06-03-2015.txt

Но я получаю ошибку об отказе в доступе, подобную этой:

bash: tcpdump-log-06-03-2015.txt: Permission denied

Метод 2:

генерировать файлы захвата пакетов с помощью

sudo tcpdump -i wlan0 > /var/log/tcpdump/tcpdump-log-06-03-2015.txt

Я получаю похожую ошибку «Отказано в доступе»:

bash: /var/log/tcpdump/tcpdump-log-06-03-2015.txt: Permission denied

Поскольку я запускаю обе команды как sudo, я решил, что с правами проблем не возникнет.

Я отключил apparmor для tcpdump, выполнив эту команду:

sudo apparmor_parser -R /etc/apparmor.d/usr.sbin.tcpdump

Может ли кто-нибудь пролить свет на то, почему это происходит? Или предложить лучший способ создания читаемого текстового вывода для tcpdump?

решение1

Проблема в том, что часть перенаправления ваших команд выполняется от вашего имени, а не от имени root.
Поэтому, если вы хотите сохранить каталог назначения таким, какой он есть, вам нужно заставить эту часть работать и от имени root. В качестве альтернативы вы можете сделать каталог назначения таким, к которому у вас есть доступ на запись.

Пример, показывающий, почему это не работает (обратите внимание на разрешения для полученного файла):

$ sudo tcpdump -n -tttt -r eth1-2015-04-16-17-01-35.bin > vvvbbb.txt
reading from file eth1-2015-04-16-17-01-35.bin, link-type EN10MB (Ethernet)
$ ls -l vvvbbb.txt
-rw-rw-r-- 1 doug doug 5418673 Jun  2 16:53 vvvbbb.txt

Пример работающего метода (снова обратите внимание на права доступа к полученному файлу):

$ sudo su
# tcpdump -n -tttt -r eth1-2015-04-16-17-01-35.bin >vvvbbb.txt
reading from file eth1-2015-04-16-17-01-35.bin, link-type EN10MB (Ethernet)
# ls -l vvvbbb.txt
-rw-r--r-- 1 root root 5418673 Jun  2 16:57 vvvbbb.txt
# exit
exit
$

Пример другого метода, который будет работать, но также выдает сообщение на терминал, что может быть нежелательным:

$ sudo tcpdump -n -tttt -r eth1-2015-04-16-17-01-35.bin | sudo tee vvvbbb.txt
... delete tons of spew to terminal ...
$ ls -l vvv*.txt
-rw-r--r-- 1 root root 5418673 Jun  2 17:01 vvvbbb.txt

Примечание: здесь я использовал tcpdump вместо tshark, но только потому, что у меня не установлен tshark.

Связанный контент