☰

Tcpdump: получить флаги фрагментированного пакета

tag-icon • tag-icon networking tcpdump
Tcpdump: получить флаги фрагментированного пакета

Как отличить фрагментированный пакет SYN от фрагментированного пакета FIN с помощью tcpdump?

Бар работает tcpdump -vvv.

Foo сканирует Bar, начиная с фрагментированного пакета SYN nmap -sS -f -p22 bar. ​​Вывод tcpdump:

IP (tos 0x0, ttl 38, id 31142, offset 0, flags [+], proto TCP (6), length 28) foo.45772 > bar.ssh: [|tcp]
IP (tos 0x0, ttl 38, id 31142, offset 8, flags [+], proto TCP (6), length 28) foo > bar: tcp
IP (tos 0x0, ttl 38, id 31142, offset 16, flags [none], proto TCP (6), length 24) foo > bar: tcp

Затем Foo сканирует Bar, начиная с фрагментированного пакета FIN nmap -sF -f -p22 bar. Вывод tcpdump:

IP (tos 0x0, ttl 54, id 3818, offset 0, flags [+], proto TCP (6), length 28) foo.52739 > bar.ssh: [|tcp]
IP (tos 0x0, ttl 54, id 3818, offset 8, flags [+], proto TCP (6), length 28) foo > bar: tcp
IP (tos 0x0, ttl 54, id 3818, offset 16, flags [none], proto TCP (6), length 28) foo > bar: tcp

Как определить флаги фрагментированного пакета с помощью tcpdump?

решение1

Tcpdump не поддерживает дефрагментацию пакетов, поэтому, если вы используете tcpdump для обнаружения вторжений, вы пропустите все фрагментированные сканирования.

Вместо этого используйте tshark.

Связанный контент