Version imprimable
Bonjour,
J'utilise tcpdump avec la commande suivant pour avoir des informations du trafic enregistré dans un log.
J'aimerai partir de la même commande et y ajouter une "lenght" et seulement y afficher dans le log ceux > à 500, comme ci-dessous mais je pense que c'est faux.Code:tcpdump -an | grep x.x.x.x > test.txt
Merci.Code:tcpdump -an | grep x.x.x.x && lenght > 500 > test.txt
Bonjour,
tcpdump semble pouvoir se suffire à lui même; c'est à dire qu'il peut n'afficher que les paquets qui respectent certaines conditions.
regarde à la fin du man : il y a des exemples.
Bonjour,
je ne sais pas ce qu'est "lenght" dans ton texte comme dans ton code. "length" par contre, prononcé presque "lengs", à cause du "th" anglais, signifie "longueur".
exemple:
je voudrais y log que les length supérieur à 500Code:21:00:19.673931 IP X.X.X.X.7777> X.X.X.X.59448: UDP, length 43
Bonjour,
Ce type de grep sera suffisant si tu ne veux que les lignes avec le mot "lenght" suivi d'un nombre que tu veux supérieur ou égale à 500:
En grep, tu ne peux pas faire de test arithmétique, juste de syntaxe, et par chance, pour tester >= 500, on peut le faire syntaxiquement.Code:grep 'length *[5-9][0-9][0-9]'
Pour une vrai comparaison arithmétique, je te conseillerais awk.
Bonnes Fêtes de fin d'année.
D'accord merci et ça donne quoi avec la commande tcpdump?
C'est bon? et si on veut y ajouter une ip comme au début?Code:tcpdump -an | grep 'length *[5-9][0-9][0-9]' > test.txt
Comme déjà suggéré par N_BaH, il vaut mieux utiliser le filtrage déjà implémenté par tcpdump plutôt que traiter la totalité des logs en externe.
S'il s'agit uniquement du trafic UDP en provenance ou à destination de l'adresse IP X.X.X.X et de taille (du point de vue d'UDP) supérieure à 500, la commande suivante devrait suffire:
Si tous les protocoles doivent être tracés:Code:tcpdump -an 'host X.X.X.X and udp and udp[4:2] > 500'
Code:tcpdump -an 'host X.X.X.X and greater 500'
j'ai testé:
ça donne rien, dnc j'ai baissé le greater pour etre sur à 50, mais rien qui s’affiche.Code:tcpdump -an 'host x.x.x.x and greater 500' > 1jan.txt
Il faut ajouter l'option -v en cas de redirection:
Code:tcpdump -van 'host x.x.x.x and greater 500' > 1jan.txt
Bah, soit tu modifies la regex pour qu'elle prenne en compte en plus l'ip soit tu passes par un second filtre pour l'ip.Citation:
Envoyé par maloy
Pour une réponse plus précise, il faudrait une question plus précise:
-Juste pour une ip ?
-Juste pour le protocol UDP ?
-Juste la ligne qui contient la longueur ?
Et en suivant les conseils de N_BaH et jlliagre, qu'as tu essayé ?
As-tu essayé de lire le man de tcpdump et fait des tests ?
Bonjour,Citation:
Envoyé par maloy
Voici un filtre qui peut t'aider à résoudre ton problème :Bref, c'est quasiment ce que t'a suggéré jlliagre, mais par contre l'option -v ne m'a pas l'air d'être une obligation, la seule obligation est que les paquets doivent communiquer avec l'adresse ip x.x.x.x , et que la taille du paquet doit être strictement supérieur à 500 (Ce que tu souhaites).Code:tcpdump -n 'host x.x.x.x and ip[2:2] > 500' > test.txt
Et si tu remarques que ça n'écrit rien, lance la commande dans un terminal et crée dans un autre terminal un trafic grand avec la commande wget google.com par exemple (En supposant que c'est la machine x.x.x.x que tu lances ta commande, machine sur laquelle ta lancé la commande tcpdump) et tu verras si ça marche ou pas.
Ooops, il s'agissait en fait de l'option '-l':
Code:tcpdump -lan 'host x.x.x.x and greater 500' > 1jan.txt
ok ça marche merci beaucoup