¿Cómo puedo capturar el tráfico de red de un solo proceso?

Me gustaría examinar el tráfico de red manejado por un solo proceso, pero las capturas de red simples no funcionarán ya que estoy lidiando con un sistema tan ocupado (hay mucho tráfico al mismo tiempo). ¿Hay alguna manera de aislar tcpdumpo wiresharkcapturar el tráfico de red de un solo proceso específico? (El uso netstates insuficiente).

De hecho, hay una manera, utilizando los filtros Wireshark . Pero no puede filtrar directamente por nombre de proceso o PID (porque no son cantidades de red).

Primero debe averiguar los protocolos y los puertos utilizados por su proceso (el comando netstat en el comentario anterior funciona bien).

Luego use Wireshark para filtrar el puerto entrante (o saliente) con el que acaba de recuperar. Eso debería aislar el tráfico entrante y saliente de su proceso.

Para iniciar y monitorear un nuevo proceso:

strace -f -e trace=network -s 10000 PROCESS ARGUMENTS

Para monitorear un proceso existente con un PID conocido:

strace -p $PID -f -e trace=network -s 10000

• -f es para "seguir nuevos procesos"
• -e define un filtro
• -s establece el límite de cadenas a más de 32
• -p toma la identificación del proceso para adjuntar a

Sé que este hilo es un poco viejo, pero creo que esto podría ayudar a algunos de ustedes:

Si su kernel lo permite, la captura del tráfico de red de un solo proceso se realiza muy fácilmente ejecutando dicho proceso en un espacio de nombre de red aislado y utilizando Wirehark (u otras herramientas de red estándar) en dicho espacio de nombre también.

La configuración puede parecer un poco compleja, pero una vez que la comprenda y se familiarice con ella, facilitará mucho su trabajo.

Para hacerlo:

• crear un espacio de nombres de red de prueba:

  ip netns add test
  

• cree un par de interfaces de red virtuales (veth-a y veth-b):

  ip link add veth-a type veth peer name veth-b
  

• cambiar el espacio de nombres activo de la interfaz veth-a:

  ip link set veth-a netns test
  

• configurar las direcciones IP de las interfaces virtuales:

  ip netns exec test ifconfig veth-a up 192.168.163.1 netmask 255.255.255.0
  ifconfig veth-b up 192.168.163.254 netmask 255.255.255.0
  

• configurar el enrutamiento en el espacio de nombres de prueba:

  ip netns exec test route add default gw 192.168.163.254 dev veth-a
  

• active ip_forward y establezca una regla NAT para reenviar el tráfico que ingresa desde el espacio de nombres que creó (debe ajustar la interfaz de red y la dirección IP de SNAT):

  echo 1 > /proc/sys/net/ipv4/ip_forward
  iptables -t nat -A POSTROUTING -s 192.168.163.0/24 -o <your internet interface, e.g. eth0> -j SNAT --to-source <your ip address>
  

  (También puede usar la regla MASQUERADE si lo prefiere)

• Finalmente, puede ejecutar el proceso que desea analizar en el nuevo espacio de nombres, y Wirehark también:

  ip netns exec test thebinarytotest
  ip netns exec test wireshark
  

  Tendrás que controlar la interfaz veth-a.

netstat -taucp | grep <pid or process name>

Eso mostrará las conexiones que está haciendo una aplicación, incluido el puerto que se está utilizando.

Solo una idea: ¿es posible vincular su aplicación a una dirección IP diferente? Si es así, puede usar los sospechosos habituales ( tcpdump , etc.)

Herramientas para aplicaciones que no pueden vincularse a otra dirección IP:

http://freshmeat.net/projects/fixsrcip

fixsrcipes una herramienta para vincular zócalos de cliente TCP y UDP salientes ( IPv4 ) a direcciones IP de origen específicas en hosts con alojamiento múltiple

http://freshmeat.net/projects/force_bind

force_bindle permite forzar el enlace en una IP y / o puerto específico. Funciona tanto con IPv4 como con IPv6 .

He encontrado un problema similar y pude resolverlo en base a esta respuesta por ioerror , usando NFLOG como se describe aquí :

# iptables -A OUTPUT -m owner --uid-owner 1000 -j CONNMARK --set-mark 1
# iptables -A INPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# iptables -A OUTPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# dumpcap -i nflog:30 -w uid-1000.pcap

Luego puede crear, ejecutar el proceso en cuestión desde una cuenta de usuario que no hace nada más, y listo, acaba de aislar y capturar el tráfico de un solo proceso.

Solo quería publicar de nuevo en caso de que ayude a alguien.

¡Escribí una aplicación C que hace lo que se describe en la gran respuesta anterior de felahdab!

Ver aquí: nsntrace github repo

Este es un truco sucio, pero sugeriría un objetivo de desvío o de registro con iptables para un UID dado. p.ej:

iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner $USER -m tcp -j LOG 
iptables -t nat -A OUTPUT -p udp -m owner --uid-owner $USER -m udp -j LOG 

También podría valer la pena investigar algo como '--log-tcp-secuencia', '--log-tcp-options', '--log-ip-options', '--log-uid' para ese objetivo de registro . Aunque sospecho que eso solo lo ayudará a publicar un proceso de pcap que incluye una tonelada de otros datos.

El objetivo NFLOG puede ser útil si desea marcar paquetes y luego ciertos paquetes etiquetados se enviarán a través de un socket de enlace de red a un proceso de su elección. Me pregunto si eso sería útil para hackear algo con wireshark y su aplicación específica ejecutándose como un usuario específico.

Puedes probar tracedump - http://mutrics.iitis.pl/tracedump

Hace exactamente lo que desea, puede darle una ID de proceso o un programa para que se ejecute.

Intente ejecutar el proceso que le interesa debajo de strace :

strace ping www.askubuntu.com

Le dará información muy detallada sobre lo que está haciendo su proceso. Como un proceso puede abrir cualquier puerto que desee en cualquier lugar, usando un filtro predefinido puede perder algo.

Otro enfoque sería utilizar una máquina virtual simplificada o una máquina de prueba en su red, y colocar su proceso de forma aislada en esto. Entonces puedes usar Wireshark para atrapar todo desde esa máquina. Estarás bastante seguro de que el tráfico que captures será relevante.

Sobre la base de la respuesta de ioerror , sospecho que puede usar iptables --uid-ownerpara establecer un marcador en el tráfico, y luego puede pedirle a Wirehark que capture solo el tráfico con ese marcador. Es posible que pueda usar un DSCP (marcador de servicios diferenciales), id de flujo o un marcador de calidad de servicio.

O, de hecho, podría usar esto para enviar esos paquetes a una interfaz diferente y luego capturar solo en esa interfaz.

El error de Wirehark # 1184 es esta característica. Aún no está implementado.
Copiado del usuario cmanynard en ask.wireshark.org

tal vez iptables y ulog pueden funcionar? No es que tenga una receta exacta, pero creo que iptables puede coincidir con los procesos, una vez que coincida podría usar ulog.

Creo que puede crear un script de shell para recorrer la ejecución de netstat y registrarlo en un archivo de texto. Algo así (pasos muy difíciles):

echo "press q to quit"
while [ <q is not pressed>]
do
    `netstat -taucp | grep <pid or process name> 1>>logfile.txt`
done

No soy programador, así que no puedo refinar esto. Pero alguien aquí puede comenzar desde donde lo dejé y crear un script de trabajo para usted.