Sniffer Araçlarını Kullanma
Sniffing araçları, ağ üzerindeki veri paketlerini yakalayıp analiz etmek için kullanılan programlardır. Sniffing araçları, ağ yöneticileri tarafından ağ performansını ve güvenliğini izlemek, hata ayıklamak ve test etmek için kullanılabileceği gibi, saldırganlar tarafından da ağ trafiğini dinlemek, hassas bilgileri çalmak ve ağa sızma girişimlerinde bulunmak için kullanılabilir. Sniffing araçları, ağ üzerindeki protokolleri tanıyıp yorumlayabilen ve kullanıcıya görsel bir arayüz sunan programlardır. Sniffing araçları arasında en yaygın kullanılanları şunlardır:
- Wireshark: Wireshark, ağ üzerindeki veri paketlerini gerçek zamanlı olarak yakalayıp gösteren, açık kaynaklı ve ücretsiz bir sniffing aracıdır. Wireshark, çok sayıda protokolü destekler ve filtreleme, renklendirme, istatistik, grafik gibi özellikler sunar. Wireshark, hem Windows hem de Linux işletim sistemlerinde çalışabilir.
- Tcpdump: Tcpdump, komut satırı tabanlı bir sniffing aracıdır. Tcpdump, ağ üzerindeki veri paketlerini yakalayıp ekrana yazdırır veya bir dosyaya kaydeder. Tcpdump, filtreleme, seçme, sınırlama gibi seçenekler sunar. Tcpdump, Linux işletim sisteminde çalışır.
Wireshark
Wireshark, bir ağ üzerindeki veri paketlerini yakalayabilen ve analiz edebilen bir programdır. Wireshark ile ağ üzerindeki farklı protokolleri inceleyebilir, ağ trafiğini izleyebilir ve ağ güvenliği ile ilgili sorunları tespit edebilirsiniz. Wireshark, kullanıcı dostu bir grafik arayüzüne sahiptir ve birçok işletim sisteminde çalışabilir. Wireshark'ı açtığınızda, karşınıza çıkan ekranda dikkat etmeniz gereken bölümler şunlardır:
- Menü alanı: Bu alanda, Wireshark'ın sunduğu çeşitli seçeneklere ulaşabilirsiniz. Örneğin, File menüsünden yeni bir yakalama başlatabilir, kaydedebilir veya açabilirsiniz. Edit menüsünden tercihlerinizi değiştirebilir, filtreler oluşturabilir veya kopyalayabilirsiniz. View menüsünden yakalanan paketlerin görünümünü ayarlayabilir, istatistikleri görebilir veya zaman formatını değiştirebilirsiniz. Tools menüsünden ise Wireshark'ın sunduğu bazı araçlara erişebilirsiniz. Örneğin, Firewall ACL Rules aracı ile ağınızda hangi kuralların uygulandığını görebilir, SSL aracı ile şifreli bağlantıları analiz edebilir veya Lua aracı ile Wireshark'ı özelleştirebilirsiniz.
- Araç çubuğu: Bu alanda, Wireshark'ın en sık kullanılan özelliklerine hızlı bir şekilde erişebilirsiniz. Örneğin, yeşil renkli üçgen buton ile yeni bir yakalama başlatabilir, kırmızı renkli kare buton ile yakalamayı durdurabilir, mavi renkli yenile butonu ile yakalanan paketleri güncelleyebilirsiniz. Ayrıca, araç çubuğunda bulunan diğer butonlar ile yakalanan paketleri kaydedebilir, açabilir, yazdırabilir, e-posta ile gönderebilir veya dışa aktarabilirsiniz. Araç çubuğunda ayrıca, yakalama seçeneklerini değiştirebilir, yakalama filtreleri oluşturabilir veya uygulayabilir, renk kuralları belirleyebilir veya paketleri işaretleyebilirsiniz.
- Filtre alanı: Bu alanda, ağ üzerindeki belirli protokolleri veya paketleri filtrelemek için filtre ifadeleri yazabilirsiniz. Filtre ifadeleri, protokol isimleri, alan adları, operatörler ve değerlerden oluşur. Örneğin, ip.addr == 192.168.1.1 filtresi ile IP adresi 192.168.1.1 olan paketleri görebilir, tcp.port == 80 filtresi ile TCP portu 80 olan paketleri görebilir, http.request.method == "GET" filtresi ile HTTP GET isteklerini görebilirsiniz. Filtre alanının yanında bulunan uygula butonu ile filtreyi aktif hale getirebilir, temizle butonu ile filtreyi kaldırabilirsiniz. Ayrıca, filtre alanının altında bulunan açılır menüden önceden tanımlanmış filtreleri de seçebilirsiniz.
- Ağ kartları alanı: Bu alanda, ağ üzerindeki trafiği izlemek için kullanabileceğiniz ağ kartlarını görebilirsiniz. Ağ kartları, bilgisayarınızın ağa bağlanmasını sağlayan donanımlardır. Örneğin, Ethernet kartı, Wi-Fi kartı, Bluetooth kartı gibi. Ağ kartları alanında, her bir ağ kartının ismini, IP adresini, MAC adresini, bağlantı durumunu ve yakalanan paket sayısını görebilirsiniz. Ayrıca, her bir ağ kartının yanında bulunan mavi renkli çubuklar ile ağ kartının trafiğini görsel olarak takip edebilirsiniz. Ağ kartları alanında, istediğiniz bir ağ kartının üzerine tıklayarak o ağ kartı üzerinden yeni bir yakalama başlatabilirsiniz.
- Bilgi alanı: Bu alanda, Wireshark uygulaması hakkında genel bilgileri görebilirsiniz. Örneğin, Wireshark'ın sürümünü, lisansını, geliştiricilerini, destekçilerini, kaynak kodunu, belgelerini, yardımını ve iletişim bilgilerini görebilirsiniz. Ayrıca, bilgi alanında bulunan bağlantılara tıklayarak Wireshark'ın web sitesine, forumuna, wiki sayfasına, bloguna veya sosyal medya hesaplarına ulaşabilirsiniz.
HTTP protokolü, web tarayıcıları ile web sunucuları arasında veri alışverişini sağlayan bir protokoldür. HTTP protokolü, istek/yanıt şeklinde çalışır. Yani, web tarayıcısı bir web sayfasını görüntülemek istediğinde, web sunucusuna bir HTTP isteği gönderir. Web sunucusu ise bu isteği işleyerek, web tarayıcısına bir HTTP yanıtı gönderir. HTTP protokolü, metin, resim, ses, video gibi farklı türdeki verileri taşıyabilir. HTTP protokolü, ağ üzerinde açık bir şekilde gönderildiği için, Wireshark gibi bir ağ dinleme uygulaması ile kolayca yakalanabilir ve analiz edilebilir. Wireshark ile HTTP protokolünü yakalamak ve incelemek için şu adımları izleyebilirsiniz:
- Wireshark'ı açın ve ağ kartları alanından istediğiniz bir ağ kartını seçerek yeni bir yakalama başlatın.
- Filtre alanına http yazarak sadece HTTP protokolünü filtreleyin ve uygula butonuna tıklayın.
- Ağ üzerindeki HTTP trafiğini izlemeye başlayın. Yakalanan her bir HTTP paketi, paket listesi bölümünde gösterilecektir. Paket listesi bölümünde, paketin numarasını, zamanını, kaynak adresini, hedef adresini, protokolünü, uzunluğunu ve bilgisini görebilirsiniz.
- Yakalamak istediğiniz bir HTTP paketini seçin. Seçtiğiniz paket, paket detayları bölümünde ayrıntılı olarak gösterilecektir. Paket detayları bölümünde, paketin içindeki farklı katmanları ve alanları görebilirsiniz. Örneğin, fiziksel katman, veri bağlantı katmanı, ağ katmanı, ulaşım katmanı ve uygulama katmanı gibi. HTTP protokolü, uygulama katmanında yer alır. Uygulama katmanında, HTTP isteği veya yanıtının başlıklarını ve parametrelerini görebilirsiniz. Örneğin, HTTP isteği için, istek yöntemini, istek URL'sini, istek sürümünü, istek başlıklarını ve istek gövdesini görebilirsiniz. HTTP yanıtı için ise, yanıt sürümünü, yanıt kodunu, yanıt mesajını, yanıt başlıklarını ve yanıt gövdesini görebilirsiniz.
- Seçtiğiniz paketin içindeki ilgilendiğiniz bir alanı seçin.
Wireshark Uygulamasıyla HTTP Protokolünü Dinleme
Wireshark uygulaması, ağ üzerindeki veri paketlerini yakalayabilen ve analiz edebilen bir araçtır. HTTP protokolü, web sitelerine erişmek için kullanılan bir iletişim protokolüdür. HTTP protokolünü dinlemek, ağ üzerindeki HTTP istek ve cevaplarını yakalamak ve incelemek anlamına gelir. Bu işlem, aşağıdaki adımlarla yapılabilir:
1. Adım: Wireshark programını açtıktan sonra, ağ üzerinde dinlemek istediğimiz arayüzü seçeriz. Bu örnekte, Wi-Fi arayüzünü seçiyoruz. Wi-Fi arayüzüne çift tıklayarak, ağ üzerindeki veri paketlerini dinlemeye başlarız.
2. Adım: Bu aşamada, ağ üzerindeki tüm veri paketleri Wireshark uygulamasında görüntülenir. HTTP protokolünü oluşturmak için, web tarayıcımızı açarız ve farklı web sitelerine gireriz. Bu şekilde, web tarayıcımız ve web sunucuları arasında HTTP istek ve cevapları oluşur. Bu istek ve cevaplar, Wireshark uygulamasında yakalanır. Dinlemeyi durdurmak için, Stop Capture düğmesine tıklarız.
3. Adım: Wireshark uygulamasında, birçok farklı protokol yakalanmıştır. Sadece HTTP protokolünü görüntülemek için, protokol filtre alanına http yazarak, filtreyi uygularız. Bu şekilde, sadece HTTP istek ve cevapları listelenir.
4. Adım: Okumak istediğimiz HTTP protokolünün üzerine gelerek, sağ tıklayarak, Follow ve HTTP Stream seçeneklerine tıklarız. Bu şekilde, seçtiğimiz HTTP protokolünün içeriğini görebiliriz. HTTP protokolü iki bölümden oluşur: a) bölümünde HTTP isteği yer alır. Bu bölümde, web tarayıcımızın web sunucusuna gönderdiği bilgiler vardır. Örneğin, istenen web sayfasının adresi, web tarayıcımızın türü, kabul ettiği veri formatları gibi. b) bölümünde ise HTTP cevabı yer alır. Bu bölümde, web sunucusunun web tarayıcımıza gönderdiği bilgiler vardır. Örneğin, cevabın durumu, cevabın boyutu, cevabın içerdiği veri formatı gibi.
HTTP protokolü, ağ üzerindeki veri paketlerini şifrelemediği için, güvenli değildir. Bu nedenle, HTTP protokolü kullanılan web sitelerindeki oturum bilgileri, ağ dinleme araçlarıyla ele geçirilebilir. Kötü niyetli kişiler, bu şekilde, kullanıcı adı ve parola gibi oturum bilgilerini görebilirler. Bunu engellemek için, HTTPS protokolü geliştirilmiştir. HTTPS protokolü, HTTP protokolüne ek olarak, SSL/TLS gibi şifreleme protokollerini kullanır. Bu sayede, ağ üzerindeki veri paketleri şifrelenir ve sadece gönderici ve alıcı tarafından okunabilir. Bu şekilde, ağ dinleme araçları, şifreli veri paketlerini görebilir, ancak içeriklerini anlayamazlar. HTTPS protokolü, web sitelerinin güvenliğini ve gizliliğini sağlar.
Wireshark Uygulamasıyla Oturum Bilgilerini Görme
Wireshark uygulamasıyla oturum bilgilerini görme işlemi, bir web sitesinde kullanıcı adı ve parola gibi hassas verilerin nasıl kolayca ele geçirilebileceğini gösteren bir güvenlik testidir. Bu işlemi yapmak için aşağıdaki adımları takip edebilirsiniz:
1. Adım: Öncelikle Wireshark uygulamasını bilgisayarınıza kurunuz ve çalıştırınız. Bu uygulama, ağ üzerindeki tüm paketleri yakalayabilen ve analiz edebilen bir araçtır. Wireshark uygulamasında, ağ arayüzünüzü seçiniz ve Capture (dinleme) düğmesine basınız. Bu şekilde ağ üzerindeki tüm trafiği görebilirsiniz. Daha sonra, herhangi bir web tarayıcısını açınız ve HTTP protokolü kullanan bir web sitesine giriniz. Bu web sitesinde, oturum açma formunun bulunduğunu kontrol ediniz. Örneğin, http://www.turkiyegunlugu.net/ HTTP protokolü kullanan ve oturum açma formu olan bir web sitesidir. Bu siteye giriniz ve formdaki Username ve Password alanlarını doldurunuz. Username=kullanıcıadı ve Password=parola değerlerini giriniz ve Login düğmesine basınız. Bu işlemi yaparken, Wireshark uygulaması ağ üzerindeki paketleri yakalamaya devam edecektir.
2. Adım: Web sitesine giriş yaptıktan sonra, Wireshark uygulamasında Stop Capture (dinlemeyi durdur) düğmesine basınız. Bu şekilde, ağ üzerindeki paket yakalama işlemini sonlandırabilirsiniz. Daha sonra, HTTP protokolü üzerinde yer alan oturum açma bilgilerine ulaşmak için, protokol filtre alanına http yazarak filtre uygulayınız. Bu şekilde, sadece HTTP protokolü kullanan paketleri görebilirsiniz. Bu paketler arasında, web sitesine giriş yaptığınızda gönderdiğiniz POST isteğini bulunuz. Bu istek, formdaki verileri web sunucusuna gönderen bir istektir. Bu isteği seçtiğinizde, paketin detaylarını görebilirsiniz. Bu detaylar arasında, HTTP POST Header kısmında, formdaki verilerin URL kodlanmış halini görebilirsiniz. Bu kısımda, uname=kullanıcıadı ve pass=parola değerlerini görebilirsiniz. Bu değerler, web sitesine giriş yaptığınızda kullandığınız oturum açma bilgileridir. Bu şekilde, Wireshark uygulamasıyla oturum bilgilerini ele geçirmiş olursunuz.
Filtre Butonu Oluşturma
Wireshark uygulamasında ağı dinlerken, her defasında kullanılması zorunlu paket filtreleme işlemi olabilir. Bu işlemi kolaylaştırmak için, filtre butonu oluşturabilirsiniz. Filtre butonu, sık kullandığınız filtreleri hızlı bir şekilde uygulamanızı sağlayan bir araçtır. Filtre butonu oluşturmak için, aşağıdaki adımları takip edebilirsiniz:
1. Adım: Wireshark uygulamasında, filtre alanının yanındaki + işaretine tıklayınız. Bu şekilde, yeni bir filtre butonu oluşturabilirsiniz.
2. Adım: Açılan pencerede, filtre butonunun adını, rengini ve filtre ifadesini belirleyiniz. Filtre ifadesi, uygulamak istediğiniz filtre kriterlerini içeren bir metindir. Örneğin, sadece HTTP protokolü kullanan paketleri görmek istiyorsanız, filtre ifadesi olarak http yazabilirsiniz. Filtre butonunun adı, rengi ve filtre ifadesini belirledikten sonra, OK düğmesine basınız.
3. Adım: Bu şekilde, filtre butonunuzu oluşturmuş olursunuz. Filtre butonunuz, filtre alanının altında görünecektir. Filtre butonuna tıkladığınızda, filtre ifadesi otomatik olarak uygulanacaktır. Bu şekilde, sık kullandığınız filtreleri hızlı bir şekilde uygulayabilirsiniz. Filtre butonlarını silmek veya düzenlemek için, filtre alanının yanındaki - işaretine tıklayabilirsiniz.
Bazı Wireshark Filtreleri ve Filtrelerin Örnek Kullanımları
Wireshark filtreleri, ağ trafiğini belirli kriterlere göre sınırlamak için kullanılan ifadelerdir. Wireshark filtreleri iki türdür: Yakalama filtreleri ve Görüntüleme filtreleri. Yakalama filtreleri, ağ trafiğini yakalamadan önce uygulanır ve sadece belirli kriterlere uyan paketlerin kaydedilmesini sağlar. Görüntüleme filtreleri, ağ trafiğini yakaladıktan sonra uygulanır ve sadece belirli kriterlere uyan paketlerin görüntülenmesini sağlar. Wireshark filtreleri, farklı protokol, kaynak, hedef, port, içerik gibi özelliklere göre paketleri filtreleyebilir. Aşağıda bazı örnek filtreler ve kullanımları verilmiştir:
- ip.addr == 192.168.1.1: Bu filtre, kaynak veya hedef IP adresi 192.168.1.1 olan paketleri filtreler.
- tcp.port == 80: Bu filtre, TCP protokolü kullanılarak 80 portuna bağlantı kuran paketleri filtreler.
- http.host == www.google.com: Bu filtre, belirtilen URL'nin host olduğu paketleri filtreler.
- http.request.method == "POST": Bu filtre, POST isteğinde bulunan tüm paketleri filtreler.
- http contains image: Bu filtre, HTTP protokolüne ait paketlerde içinde image stringi olan paketleri filtreler.
Wireshark Uygulaması İçin Örnek Filtreler
Wireshark, ağ trafiğini yakalamak ve analiz etmek için kullanılan bir araçtır. Wireshark ile ağ trafiğindeki paketleri farklı kriterlere göre filtreleyebilirsiniz. Örneğin, IP adresi, protokol, port, zaman damgası gibi bilgileri kullanarak paketleri seçebilirsiniz. Ayrıca, paketlerin içeriğine göre de filtreleyebilirsiniz. Örneğin, HTTP protokolünü kullanan paketleri veya belirli bir metni içeren paketleri bulabilirsiniz.
Wireshark uygulaması için filtre ifadelerini yazmak için şu adımları izleyebilirsiniz:
- Wireshark uygulamasını açın ve ağ trafiğini yakalamak istediğiniz arayüzü seçin.
- Ayrıntılar sekmesine tıklayın ve Gelen veya Giden olarak paketleri filtrelemek istediğiniz yöntemi seçin.
- Filtreleme penceresinde, sağ taraftaki kutucuklara istediğiniz filtre ifadesini yazın veya yapıştırın. Filtre ifadesi, IP adresi, protokol, port, zaman damgası gibi bilgileri veya metin içeriği gibi özellikleri kullanabilir.
- Filtreleme penceresinde sağ üst köşedeki Göster düğmesine tıklayın. Bu şekilde, yalnızca filtreleme kriterine uygun olan paketler görüntülenir.
Wireshark uygulaması için bazı örnek filtre ifadeleri şunlardır:
- ip.addr == 192.168.1.1 : Bu filtre ifadesi, IP adresinin 192.168.1.1 olduğu paketleri seçer.
- tcp.port == 80 : Bu filtre ifadesi, TCP protokolünün port numarasının 80 olduğu paketleri seçer.
- http.request.method == GET : Bu filtre ifadesi, HTTP protokolünün GET yöntemini kullanan paketleri seçer.
- http.request.uri contains "index.html": Bu filtre ifadesi, HTTP protokolünün URI'sinin index.html içerdiği paketleri seçer.
Wireshark Uygulamasında Filtre Karşılaştırma Operatörleri
Wireshark, ağ trafiğini yakalayıp analiz etmek için kullanılan bir araçtır. Wireshark ile paketleri filtrelemek için mantıksal operatörler kullanabilirsiniz. Mantıksal operatörler, iki veya daha fazla değeri karşılaştırmanızı sağlar. Örneğin, eşitlik (eq), büyüklük (gt), küçüklük (lt), eşitsizlik (ne) gibi operatörler vardır.
Wireshark uygulamasındaki filtre karşılaştırma operatörleri şunlardır:
- eq == Eşittir
- ne != Eşit değildir
- gt > Büyüktür
- lt < Küçüktür
- ge >= Büyük eşittir
- le <= Küçük eşittir
- and == Ve
- or == Ya da
- not == Değil
Bu operatörleri birleştirerek karmaşık filtreler oluşturabilirsiniz. Örneğin, ip.src == 192.168.2.45 ve tcp.flags.syn == 1 gibi bir filtre kullanarak sadece SYN paketlerini görebilirsiniz.
Wireshark Uygulamasında Filtre Mantıksal İfadeler
Wireshark, ağ trafiğini yakalayıp analiz etmek için kullanılan bir araçtır. Wireshark'da filtreler, dinleme veya görüntüleme işlemlerinde hangi paketleri göstermek istediğinizi belirlemenize olanak sağlar. Filtreler, protokol, yön, konakçılar ve değer gibi kriterlere göre oluşturulabilir.
Filtrelerin sözdizimi şöyledir:
Protokol::Yön::Konakçılar:
eğerler::Mantık İşlemleri
Örneğin, TCP protokolünden 80 numaralı portta gelen ve giden paketleri görmek için şu filtreyi kullanabilirsiniz:
tcp port 80
Bu filtre, tüm TCP paketlerini seçer. Eğer sadece belirli bir konakçının paketlerini seçmek isterseniz, şu şekilde yazabilirsiniz:
tcp and src host 10.1.1.1 and dst host 10.2.2.2
Bu filtre, 10.1.1.1 adresinden gelen ve 10.2.2.2 adresine giden TCP paketlerini seçer.
Filtrelerde mantık işlemleri kullanarak birden fazla kriteri birleştirebilirsiniz. Mantık işlemleri şunlardır:
- not: Bir kriteri tersine çevirir.
- or: Bir veya daha fazla kriteri sağlar.
- and: Tüm kriterleri sağlar.
Örneğin, IP protokolünden 192.x.x.x adresinden gelen ve giden paketleri görmek için şu filtreyi kullanabilirsiniz:
ip and src host 192.x.x.x and dst host 192.x.x.x
Bu filtre, tüm IP paketlerini seçer.
Tcpdump
Tcpdump, Linux sistemlerinde paket analizi yapmak için kullanılan ücretsiz bir araçtır. Paket analizi, ağ üzerinde iletilen verilerin içeriğini incelemek ve ağ performansını, güvenliğini veya sorunlarını değerlendirmek için kullanılan bir yöntemdir. Tcpdump, Linux komut satırında çalışır ve ağ trafiğini yakalamak ve filtrelemek için çeşitli seçenekler sunar. Ağ yöneticileri, tcpdump ile ağ trafiğini izleyebilir, istedikleri paketleri seçebilir ve ayrıntılı bilgi alabilirler. Kali Linux, güvenlik testleri için kullanılan bir Linux dağıtımıdır. Kali Linux'ta tcpdump kullanmak için root yetkisine sahip olmak gerekir, çünkü tcpdump ağ arayüzlerine erişmek için özel izinler gerektirir. Tcpdump komutu, yakalanan paketlerin sayısını, boyutunu, kaynağını, hedefini, protokolünü, zamanını ve diğer özelliklerini belirlemek için çeşitli parametrelere sahiptir.
Tcpdump, birçok farklı parametre ile birlikte kullanılabildiği için oldukça esnektir. İşte tcpdump komutunun bazı yaygın kullanılan parametreleri ve anlamları:
- -D: Ağ üzerinde dinlenebilecek bütün arayüzleri listeler.
- -i "arayüzün adı": Belirtilen arayüzün dinlenmesini sağlar.
- -v: Paketin protokol içeriğini de gösteren detaylı bir analiz yapar.
- -vv: Paketin NFS ve SMB içeriğini de gösteren detaylı bir analiz yapar.
- -vvv: Paketin Telnet içeriğini de gösteren detaylı bir analiz yapar.
- -q: Sadece temel bilgilerini içeren bir analiz yapar.
- --c "sayı": Belirtilen sayıda paket içeriğini listeler.
- -n: Analizi yaparken transfer yapılan adresin IP adresi ve port numarasını yazdırır.
- dst "IP adresi": Belirtilen IP adresine giden paketleri listeler.
- src "IP adresi": Belirtilen IP adresinden gelen paketleri listeler.
- dst net "ağ adresi": Belirtilen ağ adresine giden paketleri listeler.
- src net "ağ adresi": Belirtilen ağ adresinden gelen paketleri listeler.
- net "ağ adresi": Belirtilen ağ adresinden gelen ya da giden paketleri listeler.
- port "port numarası": Hedef veya kaynak portu belirtilen port olan paketleri listeler.
- dst port "port numarası": Hedef portu belirtilen port olan paketleri listeler.
- src port "port numarası": Kaynak portu belirtilen port olan paketleri listeler.
Bu parametrelerin dışında, tcpdump ile yalnızca dinleme yapılan arabirime gelen paketleri yakalamak için seçici olmayan moddan çıkılması için -p parametresi kullanılır. Yakalanan paketlerin ikinci katman bilgilerini yani mac adreslerini elde etmek için -e parametresi kullanılır. Listelenen paketleri bir dosya halinde kaydederken -w “dosya ismi” parametresi ile dosya adını belirtmek gerekir. Dosya halinde olan bir paket listesini açmak için -r “dosya ismi” parameti ile dosya adını belirtmek gerekir. Tcpdump komutunun tüm parametrelerini görmek için tcpdump --help komutunu kullanabilirsiniz.
Tcpdump Parametrelerinin Kullanımı
Tcpdump parametrelerinin kullanımı aşağıda açıklanmıştır:
1. Adım: tcpdump parametresi yalın olarak kullanıldığında arayüz numarası en düşük ağı dinlemeyi sağlar.
Bu adımda tcpdump komutunu yalnızca bir arayüzü dinlemek için kullanabilirsiniz. Örneğin, eth0, eth1, eth2 gibi üç adet aktif ağ arayüzü olan bir bilgisayarda tcpdump komutunu yalın olarak kullanmak isterseniz, şu şekilde yazabilirsiniz:
tcpdump
Bu komut, en küçük numaralı ağ arabirimini dinlemeye başlar ve size gelen paketleri gösterir.
2. Adım: tcpdump -D parametresiyle ağ üzerinde dinlenebilecek bütün arayüzleri tcpdump -D komutu ile listeleyiniz.
Bu adımda tcpdump -D parametresini kullanarak ağ üzerinde hangi arayüzlerin dinlenebileceğini görebilirsiniz. Bu parametre, size sunucunuzda bulunan tüm network kartlarının isimlerini verir. Örneğin, şu şekilde yazarsanız:
tcpdump -D
Size şöyle bir çıktı verebilir:
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a4 brd ff:mm:ss:ss:ss
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a5 brd ff:mm:ss:ss:ss
4: enp1s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a6 brd ff:mm:ss:ss:ss
5: enp1s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a7 brd ff:mm:ss:ss:ss
Bu çıktıda size sunucunuzda bulunan beş adet network kartının isimleri (lo, enp0s3, enp0s8) ve bunların IP adresleri (08:e0:f5:b9:c7:a4 ~ a7) verilmiştir.
3. Adım: tcpdump -i “arayüz adı” parametresi ismi yazılan arayüzü dinlemek için kullanılır.
Bu adımda tcpdump -i “arayüz adı” parametresini kullanarak belirtilen arayüzü dinlemek için yazabilirsiniz. Bu parametre ile sadece o arayüz üzerinden gelen veya giden paketleri yakalayabilirsiniz. Örneğin,
tcpdump -i eth1
Bu komut ile sadece eth1 arayüzünden gelen veya giden paketleri yakalamaya başlarsınız.
Sniffing araçları, ağ üzerindeki veri paketlerini yakalayıp analiz etmek için kullanılan programlardır. Sniffing araçları, ağ yöneticileri tarafından ağ performansını ve güvenliğini izlemek, hata ayıklamak ve test etmek için kullanılabileceği gibi, saldırganlar tarafından da ağ trafiğini dinlemek, hassas bilgileri çalmak ve ağa sızma girişimlerinde bulunmak için kullanılabilir. Sniffing araçları, ağ üzerindeki protokolleri tanıyıp yorumlayabilen ve kullanıcıya görsel bir arayüz sunan programlardır. Sniffing araçları arasında en yaygın kullanılanları şunlardır:
- Wireshark: Wireshark, ağ üzerindeki veri paketlerini gerçek zamanlı olarak yakalayıp gösteren, açık kaynaklı ve ücretsiz bir sniffing aracıdır. Wireshark, çok sayıda protokolü destekler ve filtreleme, renklendirme, istatistik, grafik gibi özellikler sunar. Wireshark, hem Windows hem de Linux işletim sistemlerinde çalışabilir.
- Tcpdump: Tcpdump, komut satırı tabanlı bir sniffing aracıdır. Tcpdump, ağ üzerindeki veri paketlerini yakalayıp ekrana yazdırır veya bir dosyaya kaydeder. Tcpdump, filtreleme, seçme, sınırlama gibi seçenekler sunar. Tcpdump, Linux işletim sisteminde çalışır.
Wireshark
Wireshark, bir ağ üzerindeki veri paketlerini yakalayabilen ve analiz edebilen bir programdır. Wireshark ile ağ üzerindeki farklı protokolleri inceleyebilir, ağ trafiğini izleyebilir ve ağ güvenliği ile ilgili sorunları tespit edebilirsiniz. Wireshark, kullanıcı dostu bir grafik arayüzüne sahiptir ve birçok işletim sisteminde çalışabilir. Wireshark'ı açtığınızda, karşınıza çıkan ekranda dikkat etmeniz gereken bölümler şunlardır:
- Menü alanı: Bu alanda, Wireshark'ın sunduğu çeşitli seçeneklere ulaşabilirsiniz. Örneğin, File menüsünden yeni bir yakalama başlatabilir, kaydedebilir veya açabilirsiniz. Edit menüsünden tercihlerinizi değiştirebilir, filtreler oluşturabilir veya kopyalayabilirsiniz. View menüsünden yakalanan paketlerin görünümünü ayarlayabilir, istatistikleri görebilir veya zaman formatını değiştirebilirsiniz. Tools menüsünden ise Wireshark'ın sunduğu bazı araçlara erişebilirsiniz. Örneğin, Firewall ACL Rules aracı ile ağınızda hangi kuralların uygulandığını görebilir, SSL aracı ile şifreli bağlantıları analiz edebilir veya Lua aracı ile Wireshark'ı özelleştirebilirsiniz.
- Araç çubuğu: Bu alanda, Wireshark'ın en sık kullanılan özelliklerine hızlı bir şekilde erişebilirsiniz. Örneğin, yeşil renkli üçgen buton ile yeni bir yakalama başlatabilir, kırmızı renkli kare buton ile yakalamayı durdurabilir, mavi renkli yenile butonu ile yakalanan paketleri güncelleyebilirsiniz. Ayrıca, araç çubuğunda bulunan diğer butonlar ile yakalanan paketleri kaydedebilir, açabilir, yazdırabilir, e-posta ile gönderebilir veya dışa aktarabilirsiniz. Araç çubuğunda ayrıca, yakalama seçeneklerini değiştirebilir, yakalama filtreleri oluşturabilir veya uygulayabilir, renk kuralları belirleyebilir veya paketleri işaretleyebilirsiniz.
- Filtre alanı: Bu alanda, ağ üzerindeki belirli protokolleri veya paketleri filtrelemek için filtre ifadeleri yazabilirsiniz. Filtre ifadeleri, protokol isimleri, alan adları, operatörler ve değerlerden oluşur. Örneğin, ip.addr == 192.168.1.1 filtresi ile IP adresi 192.168.1.1 olan paketleri görebilir, tcp.port == 80 filtresi ile TCP portu 80 olan paketleri görebilir, http.request.method == "GET" filtresi ile HTTP GET isteklerini görebilirsiniz. Filtre alanının yanında bulunan uygula butonu ile filtreyi aktif hale getirebilir, temizle butonu ile filtreyi kaldırabilirsiniz. Ayrıca, filtre alanının altında bulunan açılır menüden önceden tanımlanmış filtreleri de seçebilirsiniz.
- Ağ kartları alanı: Bu alanda, ağ üzerindeki trafiği izlemek için kullanabileceğiniz ağ kartlarını görebilirsiniz. Ağ kartları, bilgisayarınızın ağa bağlanmasını sağlayan donanımlardır. Örneğin, Ethernet kartı, Wi-Fi kartı, Bluetooth kartı gibi. Ağ kartları alanında, her bir ağ kartının ismini, IP adresini, MAC adresini, bağlantı durumunu ve yakalanan paket sayısını görebilirsiniz. Ayrıca, her bir ağ kartının yanında bulunan mavi renkli çubuklar ile ağ kartının trafiğini görsel olarak takip edebilirsiniz. Ağ kartları alanında, istediğiniz bir ağ kartının üzerine tıklayarak o ağ kartı üzerinden yeni bir yakalama başlatabilirsiniz.
- Bilgi alanı: Bu alanda, Wireshark uygulaması hakkında genel bilgileri görebilirsiniz. Örneğin, Wireshark'ın sürümünü, lisansını, geliştiricilerini, destekçilerini, kaynak kodunu, belgelerini, yardımını ve iletişim bilgilerini görebilirsiniz. Ayrıca, bilgi alanında bulunan bağlantılara tıklayarak Wireshark'ın web sitesine, forumuna, wiki sayfasına, bloguna veya sosyal medya hesaplarına ulaşabilirsiniz.
HTTP protokolü, web tarayıcıları ile web sunucuları arasında veri alışverişini sağlayan bir protokoldür. HTTP protokolü, istek/yanıt şeklinde çalışır. Yani, web tarayıcısı bir web sayfasını görüntülemek istediğinde, web sunucusuna bir HTTP isteği gönderir. Web sunucusu ise bu isteği işleyerek, web tarayıcısına bir HTTP yanıtı gönderir. HTTP protokolü, metin, resim, ses, video gibi farklı türdeki verileri taşıyabilir. HTTP protokolü, ağ üzerinde açık bir şekilde gönderildiği için, Wireshark gibi bir ağ dinleme uygulaması ile kolayca yakalanabilir ve analiz edilebilir. Wireshark ile HTTP protokolünü yakalamak ve incelemek için şu adımları izleyebilirsiniz:
- Wireshark'ı açın ve ağ kartları alanından istediğiniz bir ağ kartını seçerek yeni bir yakalama başlatın.
- Filtre alanına http yazarak sadece HTTP protokolünü filtreleyin ve uygula butonuna tıklayın.
- Ağ üzerindeki HTTP trafiğini izlemeye başlayın. Yakalanan her bir HTTP paketi, paket listesi bölümünde gösterilecektir. Paket listesi bölümünde, paketin numarasını, zamanını, kaynak adresini, hedef adresini, protokolünü, uzunluğunu ve bilgisini görebilirsiniz.
- Yakalamak istediğiniz bir HTTP paketini seçin. Seçtiğiniz paket, paket detayları bölümünde ayrıntılı olarak gösterilecektir. Paket detayları bölümünde, paketin içindeki farklı katmanları ve alanları görebilirsiniz. Örneğin, fiziksel katman, veri bağlantı katmanı, ağ katmanı, ulaşım katmanı ve uygulama katmanı gibi. HTTP protokolü, uygulama katmanında yer alır. Uygulama katmanında, HTTP isteği veya yanıtının başlıklarını ve parametrelerini görebilirsiniz. Örneğin, HTTP isteği için, istek yöntemini, istek URL'sini, istek sürümünü, istek başlıklarını ve istek gövdesini görebilirsiniz. HTTP yanıtı için ise, yanıt sürümünü, yanıt kodunu, yanıt mesajını, yanıt başlıklarını ve yanıt gövdesini görebilirsiniz.
- Seçtiğiniz paketin içindeki ilgilendiğiniz bir alanı seçin.
Wireshark Uygulamasıyla HTTP Protokolünü Dinleme
Wireshark uygulaması, ağ üzerindeki veri paketlerini yakalayabilen ve analiz edebilen bir araçtır. HTTP protokolü, web sitelerine erişmek için kullanılan bir iletişim protokolüdür. HTTP protokolünü dinlemek, ağ üzerindeki HTTP istek ve cevaplarını yakalamak ve incelemek anlamına gelir. Bu işlem, aşağıdaki adımlarla yapılabilir:
1. Adım: Wireshark programını açtıktan sonra, ağ üzerinde dinlemek istediğimiz arayüzü seçeriz. Bu örnekte, Wi-Fi arayüzünü seçiyoruz. Wi-Fi arayüzüne çift tıklayarak, ağ üzerindeki veri paketlerini dinlemeye başlarız.
2. Adım: Bu aşamada, ağ üzerindeki tüm veri paketleri Wireshark uygulamasında görüntülenir. HTTP protokolünü oluşturmak için, web tarayıcımızı açarız ve farklı web sitelerine gireriz. Bu şekilde, web tarayıcımız ve web sunucuları arasında HTTP istek ve cevapları oluşur. Bu istek ve cevaplar, Wireshark uygulamasında yakalanır. Dinlemeyi durdurmak için, Stop Capture düğmesine tıklarız.
3. Adım: Wireshark uygulamasında, birçok farklı protokol yakalanmıştır. Sadece HTTP protokolünü görüntülemek için, protokol filtre alanına http yazarak, filtreyi uygularız. Bu şekilde, sadece HTTP istek ve cevapları listelenir.
4. Adım: Okumak istediğimiz HTTP protokolünün üzerine gelerek, sağ tıklayarak, Follow ve HTTP Stream seçeneklerine tıklarız. Bu şekilde, seçtiğimiz HTTP protokolünün içeriğini görebiliriz. HTTP protokolü iki bölümden oluşur: a) bölümünde HTTP isteği yer alır. Bu bölümde, web tarayıcımızın web sunucusuna gönderdiği bilgiler vardır. Örneğin, istenen web sayfasının adresi, web tarayıcımızın türü, kabul ettiği veri formatları gibi. b) bölümünde ise HTTP cevabı yer alır. Bu bölümde, web sunucusunun web tarayıcımıza gönderdiği bilgiler vardır. Örneğin, cevabın durumu, cevabın boyutu, cevabın içerdiği veri formatı gibi.
HTTP protokolü, ağ üzerindeki veri paketlerini şifrelemediği için, güvenli değildir. Bu nedenle, HTTP protokolü kullanılan web sitelerindeki oturum bilgileri, ağ dinleme araçlarıyla ele geçirilebilir. Kötü niyetli kişiler, bu şekilde, kullanıcı adı ve parola gibi oturum bilgilerini görebilirler. Bunu engellemek için, HTTPS protokolü geliştirilmiştir. HTTPS protokolü, HTTP protokolüne ek olarak, SSL/TLS gibi şifreleme protokollerini kullanır. Bu sayede, ağ üzerindeki veri paketleri şifrelenir ve sadece gönderici ve alıcı tarafından okunabilir. Bu şekilde, ağ dinleme araçları, şifreli veri paketlerini görebilir, ancak içeriklerini anlayamazlar. HTTPS protokolü, web sitelerinin güvenliğini ve gizliliğini sağlar.
Wireshark Uygulamasıyla Oturum Bilgilerini Görme
Wireshark uygulamasıyla oturum bilgilerini görme işlemi, bir web sitesinde kullanıcı adı ve parola gibi hassas verilerin nasıl kolayca ele geçirilebileceğini gösteren bir güvenlik testidir. Bu işlemi yapmak için aşağıdaki adımları takip edebilirsiniz:
1. Adım: Öncelikle Wireshark uygulamasını bilgisayarınıza kurunuz ve çalıştırınız. Bu uygulama, ağ üzerindeki tüm paketleri yakalayabilen ve analiz edebilen bir araçtır. Wireshark uygulamasında, ağ arayüzünüzü seçiniz ve Capture (dinleme) düğmesine basınız. Bu şekilde ağ üzerindeki tüm trafiği görebilirsiniz. Daha sonra, herhangi bir web tarayıcısını açınız ve HTTP protokolü kullanan bir web sitesine giriniz. Bu web sitesinde, oturum açma formunun bulunduğunu kontrol ediniz. Örneğin, http://www.turkiyegunlugu.net/ HTTP protokolü kullanan ve oturum açma formu olan bir web sitesidir. Bu siteye giriniz ve formdaki Username ve Password alanlarını doldurunuz. Username=kullanıcıadı ve Password=parola değerlerini giriniz ve Login düğmesine basınız. Bu işlemi yaparken, Wireshark uygulaması ağ üzerindeki paketleri yakalamaya devam edecektir.
2. Adım: Web sitesine giriş yaptıktan sonra, Wireshark uygulamasında Stop Capture (dinlemeyi durdur) düğmesine basınız. Bu şekilde, ağ üzerindeki paket yakalama işlemini sonlandırabilirsiniz. Daha sonra, HTTP protokolü üzerinde yer alan oturum açma bilgilerine ulaşmak için, protokol filtre alanına http yazarak filtre uygulayınız. Bu şekilde, sadece HTTP protokolü kullanan paketleri görebilirsiniz. Bu paketler arasında, web sitesine giriş yaptığınızda gönderdiğiniz POST isteğini bulunuz. Bu istek, formdaki verileri web sunucusuna gönderen bir istektir. Bu isteği seçtiğinizde, paketin detaylarını görebilirsiniz. Bu detaylar arasında, HTTP POST Header kısmında, formdaki verilerin URL kodlanmış halini görebilirsiniz. Bu kısımda, uname=kullanıcıadı ve pass=parola değerlerini görebilirsiniz. Bu değerler, web sitesine giriş yaptığınızda kullandığınız oturum açma bilgileridir. Bu şekilde, Wireshark uygulamasıyla oturum bilgilerini ele geçirmiş olursunuz.
Filtre Butonu Oluşturma
Wireshark uygulamasında ağı dinlerken, her defasında kullanılması zorunlu paket filtreleme işlemi olabilir. Bu işlemi kolaylaştırmak için, filtre butonu oluşturabilirsiniz. Filtre butonu, sık kullandığınız filtreleri hızlı bir şekilde uygulamanızı sağlayan bir araçtır. Filtre butonu oluşturmak için, aşağıdaki adımları takip edebilirsiniz:
1. Adım: Wireshark uygulamasında, filtre alanının yanındaki + işaretine tıklayınız. Bu şekilde, yeni bir filtre butonu oluşturabilirsiniz.
2. Adım: Açılan pencerede, filtre butonunun adını, rengini ve filtre ifadesini belirleyiniz. Filtre ifadesi, uygulamak istediğiniz filtre kriterlerini içeren bir metindir. Örneğin, sadece HTTP protokolü kullanan paketleri görmek istiyorsanız, filtre ifadesi olarak http yazabilirsiniz. Filtre butonunun adı, rengi ve filtre ifadesini belirledikten sonra, OK düğmesine basınız.
3. Adım: Bu şekilde, filtre butonunuzu oluşturmuş olursunuz. Filtre butonunuz, filtre alanının altında görünecektir. Filtre butonuna tıkladığınızda, filtre ifadesi otomatik olarak uygulanacaktır. Bu şekilde, sık kullandığınız filtreleri hızlı bir şekilde uygulayabilirsiniz. Filtre butonlarını silmek veya düzenlemek için, filtre alanının yanındaki - işaretine tıklayabilirsiniz.
Bazı Wireshark Filtreleri ve Filtrelerin Örnek Kullanımları
Wireshark filtreleri, ağ trafiğini belirli kriterlere göre sınırlamak için kullanılan ifadelerdir. Wireshark filtreleri iki türdür: Yakalama filtreleri ve Görüntüleme filtreleri. Yakalama filtreleri, ağ trafiğini yakalamadan önce uygulanır ve sadece belirli kriterlere uyan paketlerin kaydedilmesini sağlar. Görüntüleme filtreleri, ağ trafiğini yakaladıktan sonra uygulanır ve sadece belirli kriterlere uyan paketlerin görüntülenmesini sağlar. Wireshark filtreleri, farklı protokol, kaynak, hedef, port, içerik gibi özelliklere göre paketleri filtreleyebilir. Aşağıda bazı örnek filtreler ve kullanımları verilmiştir:
- ip.addr == 192.168.1.1: Bu filtre, kaynak veya hedef IP adresi 192.168.1.1 olan paketleri filtreler.
- tcp.port == 80: Bu filtre, TCP protokolü kullanılarak 80 portuna bağlantı kuran paketleri filtreler.
- http.host == www.google.com: Bu filtre, belirtilen URL'nin host olduğu paketleri filtreler.
- http.request.method == "POST": Bu filtre, POST isteğinde bulunan tüm paketleri filtreler.
- http contains image: Bu filtre, HTTP protokolüne ait paketlerde içinde image stringi olan paketleri filtreler.
Wireshark Uygulaması İçin Örnek Filtreler
Wireshark, ağ trafiğini yakalamak ve analiz etmek için kullanılan bir araçtır. Wireshark ile ağ trafiğindeki paketleri farklı kriterlere göre filtreleyebilirsiniz. Örneğin, IP adresi, protokol, port, zaman damgası gibi bilgileri kullanarak paketleri seçebilirsiniz. Ayrıca, paketlerin içeriğine göre de filtreleyebilirsiniz. Örneğin, HTTP protokolünü kullanan paketleri veya belirli bir metni içeren paketleri bulabilirsiniz.
Wireshark uygulaması için filtre ifadelerini yazmak için şu adımları izleyebilirsiniz:
- Wireshark uygulamasını açın ve ağ trafiğini yakalamak istediğiniz arayüzü seçin.
- Ayrıntılar sekmesine tıklayın ve Gelen veya Giden olarak paketleri filtrelemek istediğiniz yöntemi seçin.
- Filtreleme penceresinde, sağ taraftaki kutucuklara istediğiniz filtre ifadesini yazın veya yapıştırın. Filtre ifadesi, IP adresi, protokol, port, zaman damgası gibi bilgileri veya metin içeriği gibi özellikleri kullanabilir.
- Filtreleme penceresinde sağ üst köşedeki Göster düğmesine tıklayın. Bu şekilde, yalnızca filtreleme kriterine uygun olan paketler görüntülenir.
Wireshark uygulaması için bazı örnek filtre ifadeleri şunlardır:
- ip.addr == 192.168.1.1 : Bu filtre ifadesi, IP adresinin 192.168.1.1 olduğu paketleri seçer.
- tcp.port == 80 : Bu filtre ifadesi, TCP protokolünün port numarasının 80 olduğu paketleri seçer.
- http.request.method == GET : Bu filtre ifadesi, HTTP protokolünün GET yöntemini kullanan paketleri seçer.
- http.request.uri contains "index.html": Bu filtre ifadesi, HTTP protokolünün URI'sinin index.html içerdiği paketleri seçer.
Wireshark Uygulamasında Filtre Karşılaştırma Operatörleri
Wireshark, ağ trafiğini yakalayıp analiz etmek için kullanılan bir araçtır. Wireshark ile paketleri filtrelemek için mantıksal operatörler kullanabilirsiniz. Mantıksal operatörler, iki veya daha fazla değeri karşılaştırmanızı sağlar. Örneğin, eşitlik (eq), büyüklük (gt), küçüklük (lt), eşitsizlik (ne) gibi operatörler vardır.
Wireshark uygulamasındaki filtre karşılaştırma operatörleri şunlardır:
- eq == Eşittir
- ne != Eşit değildir
- gt > Büyüktür
- lt < Küçüktür
- ge >= Büyük eşittir
- le <= Küçük eşittir
- and == Ve
- or == Ya da
- not == Değil
Bu operatörleri birleştirerek karmaşık filtreler oluşturabilirsiniz. Örneğin, ip.src == 192.168.2.45 ve tcp.flags.syn == 1 gibi bir filtre kullanarak sadece SYN paketlerini görebilirsiniz.
Wireshark Uygulamasında Filtre Mantıksal İfadeler
Wireshark, ağ trafiğini yakalayıp analiz etmek için kullanılan bir araçtır. Wireshark'da filtreler, dinleme veya görüntüleme işlemlerinde hangi paketleri göstermek istediğinizi belirlemenize olanak sağlar. Filtreler, protokol, yön, konakçılar ve değer gibi kriterlere göre oluşturulabilir.
Filtrelerin sözdizimi şöyledir:
Protokol::Yön::Konakçılar:
eğerler::Mantık İşlemleriÖrneğin, TCP protokolünden 80 numaralı portta gelen ve giden paketleri görmek için şu filtreyi kullanabilirsiniz:
tcp port 80
Bu filtre, tüm TCP paketlerini seçer. Eğer sadece belirli bir konakçının paketlerini seçmek isterseniz, şu şekilde yazabilirsiniz:
tcp and src host 10.1.1.1 and dst host 10.2.2.2
Bu filtre, 10.1.1.1 adresinden gelen ve 10.2.2.2 adresine giden TCP paketlerini seçer.
Filtrelerde mantık işlemleri kullanarak birden fazla kriteri birleştirebilirsiniz. Mantık işlemleri şunlardır:
- not: Bir kriteri tersine çevirir.
- or: Bir veya daha fazla kriteri sağlar.
- and: Tüm kriterleri sağlar.
Örneğin, IP protokolünden 192.x.x.x adresinden gelen ve giden paketleri görmek için şu filtreyi kullanabilirsiniz:
ip and src host 192.x.x.x and dst host 192.x.x.x
Bu filtre, tüm IP paketlerini seçer.
Tcpdump
Tcpdump, Linux sistemlerinde paket analizi yapmak için kullanılan ücretsiz bir araçtır. Paket analizi, ağ üzerinde iletilen verilerin içeriğini incelemek ve ağ performansını, güvenliğini veya sorunlarını değerlendirmek için kullanılan bir yöntemdir. Tcpdump, Linux komut satırında çalışır ve ağ trafiğini yakalamak ve filtrelemek için çeşitli seçenekler sunar. Ağ yöneticileri, tcpdump ile ağ trafiğini izleyebilir, istedikleri paketleri seçebilir ve ayrıntılı bilgi alabilirler. Kali Linux, güvenlik testleri için kullanılan bir Linux dağıtımıdır. Kali Linux'ta tcpdump kullanmak için root yetkisine sahip olmak gerekir, çünkü tcpdump ağ arayüzlerine erişmek için özel izinler gerektirir. Tcpdump komutu, yakalanan paketlerin sayısını, boyutunu, kaynağını, hedefini, protokolünü, zamanını ve diğer özelliklerini belirlemek için çeşitli parametrelere sahiptir.
Tcpdump, birçok farklı parametre ile birlikte kullanılabildiği için oldukça esnektir. İşte tcpdump komutunun bazı yaygın kullanılan parametreleri ve anlamları:
- -D: Ağ üzerinde dinlenebilecek bütün arayüzleri listeler.
- -i "arayüzün adı": Belirtilen arayüzün dinlenmesini sağlar.
- -v: Paketin protokol içeriğini de gösteren detaylı bir analiz yapar.
- -vv: Paketin NFS ve SMB içeriğini de gösteren detaylı bir analiz yapar.
- -vvv: Paketin Telnet içeriğini de gösteren detaylı bir analiz yapar.
- -q: Sadece temel bilgilerini içeren bir analiz yapar.
- --c "sayı": Belirtilen sayıda paket içeriğini listeler.
- -n: Analizi yaparken transfer yapılan adresin IP adresi ve port numarasını yazdırır.
- dst "IP adresi": Belirtilen IP adresine giden paketleri listeler.
- src "IP adresi": Belirtilen IP adresinden gelen paketleri listeler.
- dst net "ağ adresi": Belirtilen ağ adresine giden paketleri listeler.
- src net "ağ adresi": Belirtilen ağ adresinden gelen paketleri listeler.
- net "ağ adresi": Belirtilen ağ adresinden gelen ya da giden paketleri listeler.
- port "port numarası": Hedef veya kaynak portu belirtilen port olan paketleri listeler.
- dst port "port numarası": Hedef portu belirtilen port olan paketleri listeler.
- src port "port numarası": Kaynak portu belirtilen port olan paketleri listeler.
Bu parametrelerin dışında, tcpdump ile yalnızca dinleme yapılan arabirime gelen paketleri yakalamak için seçici olmayan moddan çıkılması için -p parametresi kullanılır. Yakalanan paketlerin ikinci katman bilgilerini yani mac adreslerini elde etmek için -e parametresi kullanılır. Listelenen paketleri bir dosya halinde kaydederken -w “dosya ismi” parametresi ile dosya adını belirtmek gerekir. Dosya halinde olan bir paket listesini açmak için -r “dosya ismi” parameti ile dosya adını belirtmek gerekir. Tcpdump komutunun tüm parametrelerini görmek için tcpdump --help komutunu kullanabilirsiniz.
Tcpdump Parametrelerinin Kullanımı
Tcpdump parametrelerinin kullanımı aşağıda açıklanmıştır:
1. Adım: tcpdump parametresi yalın olarak kullanıldığında arayüz numarası en düşük ağı dinlemeyi sağlar.
Bu adımda tcpdump komutunu yalnızca bir arayüzü dinlemek için kullanabilirsiniz. Örneğin, eth0, eth1, eth2 gibi üç adet aktif ağ arayüzü olan bir bilgisayarda tcpdump komutunu yalın olarak kullanmak isterseniz, şu şekilde yazabilirsiniz:
tcpdump
Bu komut, en küçük numaralı ağ arabirimini dinlemeye başlar ve size gelen paketleri gösterir.
2. Adım: tcpdump -D parametresiyle ağ üzerinde dinlenebilecek bütün arayüzleri tcpdump -D komutu ile listeleyiniz.
Bu adımda tcpdump -D parametresini kullanarak ağ üzerinde hangi arayüzlerin dinlenebileceğini görebilirsiniz. Bu parametre, size sunucunuzda bulunan tüm network kartlarının isimlerini verir. Örneğin, şu şekilde yazarsanız:
tcpdump -D
Size şöyle bir çıktı verebilir:
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a4 brd ff:mm:ss:ss:ss
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a5 brd ff:mm:ss:ss:ss
4: enp1s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a6 brd ff:mm:ss:ss:ss
5: enp1s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:e0:f5:b9:c7:a7 brd ff:mm:ss:ss:ss
Bu çıktıda size sunucunuzda bulunan beş adet network kartının isimleri (lo, enp0s3, enp0s8) ve bunların IP adresleri (08:e0:f5:b9:c7:a4 ~ a7) verilmiştir.
3. Adım: tcpdump -i “arayüz adı” parametresi ismi yazılan arayüzü dinlemek için kullanılır.
Bu adımda tcpdump -i “arayüz adı” parametresini kullanarak belirtilen arayüzü dinlemek için yazabilirsiniz. Bu parametre ile sadece o arayüz üzerinden gelen veya giden paketleri yakalayabilirsiniz. Örneğin,
tcpdump -i eth1
Bu komut ile sadece eth1 arayüzünden gelen veya giden paketleri yakalamaya başlarsınız.
