buang koneksi tcp tanpa tcpdump

Pada kotak centos, saya ingin membuang koneksi tcp - Saya ingin melihat apakah server mencoba mengirim permintaan ke IP tertentu. Biasanya tcpdump akan melakukan trik - tetapi tcpdump tidak diinstal, dan menginstal perangkat lunak bukanlah suatu pilihan (karena kebijakan perusahaan). Saya khawatir netstat tidak akan menunjukkan kepada saya satu permintaan.

Jadi saya bertanya-tanya apa pilihan lain yang saya miliki. Saya memiliki akses root di server.

Tentunya Anda punya python?

from socket import * 
from struct import unpack 
import sys 

INTERFACE = "eth0"
TARGET = "8.8.8.8" 

if __name__ == "__main__": 
  sock = socket(AF_PACKET, SOCK_DGRAM, 0x0800) 
  sock.bind((INTERFACE, 0x0800)) 
  while True: 
    data = sock.recvfrom(1500, 0)[0] 
    ip = inet_ntop(AF_INET, data[12:16]) 
    if ip == TARGET: 
      print "GOT TARGET" 
      sys.exit(1)

Ini akan keluar dengan "GOT TARGET" yang memberikan alamat IP pertandingan yang cocok kembali. Karena TCP harus mengirim sesuatu kembali saat jabat tangan, ini harus menangkap apa pun dari alamat target tertentu. Tidak peduli apakah protokolnya adalah TCP atau UDP (saya juga tidak memeriksa).

Jangan lupa untuk mengubah TARGET dan INTERFACE.

Saya benar-benar mencoba untuk mendapatkan tcpdump. Yang sedang berkata, beberapa alternatif untuk melihat apakah ada koneksi tertentu untuk IP adalah:

strace:

[kbrandt@ny-kbrandt01: ~] strace -e trace=network nc 1.2.3.4 1234
...
socket(PF_INET, SOCK_STREAM, IPPROTO_TCP) = 3
connect(3, {sa_family=AF_INET, sin_port=htons(1234), sin_addr=inet_addr("1.2.3.4")}, 16) = -1 EINPROGRESS (Operation now in progress)

lsof:

[kbrandt@ny-kbrandt01: ~] nc 1.2.3.4 1234 &
[1] 11434
[kbrandt@ny-kbrandt01: ~] lsof -p 11434
....
nc      11434 kbrandt    3u  IPv4 4543149      0t0     TCP 10.7.0.78:58886->1.2.3.4:search-agent (SYN_SENT)

netstat:

[kbrandt@ny-kbrandt01: ~] nc 1.2.3.4 1234 &
[1] 11486
[kbrandt@ny-kbrandt01: ~] sudo netstat -a -p | grep 11486
tcp        0      1 10.7.0.78:58891             1.2.3.4:search-agent        SYN_SENT    11486/nc

Iptables memiliki kemampuan debug dan yang dapat digunakan untuk analisis lalu lintas juga.

Solusinya dijelaskan pada URL di bawah ini.

Aturan debugging di Iptables

Sebaiknya baca juga URL berikut untuk mengatur pencatatan hasil penelusuran ke file pilihan Anda.

http://backreference.org/2010/06/11/iptables-debugging/

Saya tidak akan menganggap solusi ini sama dengan tcpdump, tetapi dapat dilakukan dengan menggunakan instalasi minimal Centos. Anda harus berhati-hati untuk tidak mengisi disk dengan log, karena tcpdump jauh lebih efisien dalam penggunaan disk. Matikan logging ketika tidak diperlukan.

Anda dapat menggunakan yang berikut ini sebagai templat dasar dalam skrip Anda.

# Logging
log(){
SOURCE=a.b.c.d (IP address)
$IPT -A INPUT   -s $SOURCE -m limit --limit 50/minute -j LOG --log-level 7 --log-prefix "In: "
$IPT -A OUTPUT  -s $SOURCE -m limit --limit 50/minute -j LOG --log-level 7 --log-prefix "Out: "
$IPT -A FORWARD -s $SOURCE -m limit --limit 50/minute -j LOG --log-level 7 --log-prefix "Fw: "
$IPT -t nat -A POSTROUTING -m limit --limit 50/minute -j LOG --log-level 7 --log-prefix "Nat: "
}
#log  (remove comment to enable)

trace(){
iptables -t raw -A PREROUTING -p tcp  -j TRACE
iptables -t raw -A OUTPUT     -p tcp  -j TRACE
}
#trace (remove comment to enable)

Jika Anda memerlukan perangkat lunak khusus untuk melakukan pekerjaan Anda, dan tidak diizinkan, Anda tidak membuat kasus bisnis yang baik atau menjual ide-ide Anda kepada orang yang tepat ... atau Anda tidak mengendalikan sistem ini .. .

Jika saya ditugaskan untuk melakukan sesuatu dan memerlukan jenis informasi debug / pemecahan masalah yang Anda perlukan dalam kasus ini, saya akan menggunakan alat yang tepat. Itu mungkin tcpdumpatau tshark. Ya, itu adalah bagian dari perangkat lunak, tetapi saya akan menganggapnya utilitas yang lebih penting . Bahkan, mereka adalah utilitas yang dapat diinstal atau dimuat ke dalam sistem sementara dan dihapus tanpa insiden (apakah media yang dapat dilepas merupakan pilihan? ... petunjuk )

Tetapi intinya adalah bahwa solusi kasar untuk kebijakan perusahaan mungkin membutuhkan lebih banyak upaya daripada mendapatkan persetujuan untuk kasus penggunaan ini.

Kyle menawarkan beberapa opsi hebat. Satu lagi adalah menggunakan iptables:

[james@server ~]$ sudo iptables -I OUTPUT -d 1.2.3.4/32
...
[james@server ~]$ sudo iptables -L OUTPUT -n -v
Chain OUTPUT (policy ACCEPT 105 packets, 35602 bytes)
 pkts bytes target  prot opt in  out  source      destination
   87 33484 LOG     all  --  *   *    0.0.0.0/0   1.2.3.4     LOG flags 0 level 4

Ini pada dasarnya adalah aturan akuntansi. Itu tidak secara eksplisit mengizinkan atau menolak lalu lintas, sehingga kebijakan default untuk rantai OUTPUT digunakan (yang default untuk MENERIMA). Namun, paket apa pun yang cocok akan menambah penghitung untuk aturan tersebut.

Anda juga dapat mencatat rincian tentang paket tersebut dengan -j LOGopsi:

[james@server ~]$ sudo iptables -I OUTPUT -d 1.2.3.4/32 -j LOG
...
[james@server ~]@ dmesg | grep 1.2.3.4 | tail -1
IN= OUT=eth0 SRC=192.168.1.1 DST=1.2.3.4 LEN=100 TOS=0x10 PREC=0x00 TTL=64 ...

Log akan menuju ke fasilitas logging kernel, sehingga akan muncul di / var / log / messages tentang turunan Red Hat dan /var/log/kern.log pada turunan Debian. Itu juga akan terlihat di output dmesg, seperti yang ditunjukkan. Tidak seperti tcpdump, bagaimanapun, itu tidak akan mencatat isi lengkap paket, hanya isi header paket.

Karena server Anda terhubung ke IP tertentu, saya kira itu akan ke port yang juga Anda ketahui?

Bagaimanapun, netstatatau ssdirancang untuk melakukan apa yang Anda inginkan. Anda dapat melakukan hal yang sama dengan salah satu perintah:

netstat -n -t | awk '{print $5}' | grep A.B.C.D:n
ss      -n -t | awk '{print $5}' | grep A.B.C.D:n

di mana A.B.C.Dmewakili alamat IPv4, dan n mewakili nomor port yang terhubung ke server Anda di sisi jarak jauh. Sebagai contoh:

ss      -n -t | awk '{print $5}' | grep 10.137.54.22:3389

Atau, jika Anda hanya ingin tahu bahwa koneksi dibuat:

ss      -n -t | awk '{print $5}' | grep -q 10.137.54.22:3389 && echo "CONNECTION MADE"

Jika Anda tidak tahu nomor port yang Anda coba sambungkan, maka pekerjaan itu akan lebih sulit karena TCP akan membuka port di kedua sisi percakapan untuk data dan paket ACK. Dalam hal ini, Anda bisa menerima alamat IP untuk menunjukkan bahwa koneksi telah dibuat, apakah itu ke atau dari.

Akhirnya, Anda dapat mengulang ini ke isi hati Anda untuk digunakan sebagai alat pemantauan Anda:

while true; do
    ss -n -t | awk '{print $5}' | grep -q A.B.C.D:n && \
        echo "CONNECTION MADE" && \
        exit 0
    sleep 1
done