1.5. Примеры фильтров захвата.

1. Захват всех пакетов на сетевом интерфейсе хоста sundown:

host sundown

2. Захват трафика между хостом helios И хостами hot ИЛИ ace:

host helios and ( hot or ace )

3. Захват всех IP-пакетов между хостом ace и каждым хостом за исключением helios:

ip host ace and not helios

4. Захват всего ftp-трафика проходящего через Internrt-гейтвей snup:

gateway snup and (port ftp or ftp-data)

5. Захват пакетов ни сгенерированных ни адресованных локальными хостами:

ip and not net localnet

6. Захват IP-пакетов размером больше чем 576 байт, проходящих через гейтвей snup:

gateway snup and ip[2:2] > 576

7. Захват всех ICMP пакетов, за исключением пакетов ping:

icmp[0] != 8 and icmp[0] != 0

§2. Программа генерации запросов серверу имен nslookup.

Программа nslookup позволяет пользователям интерактивно или не интерактивно опрашивать сервера имен Internet. В интерактивном режиме пользователи могут запрашивать у серверов имен информацию о различных хостах и доменах, печатать список хостов в домене и т.д. В не интерактивном режиме пользователь может получить имена и запросить информацию о хостах и доменах.

Интерактивный режим имеет много опций и команд; рекомендуется прочитать страницу руководства для nslookup, введя команду help в интерактивном режиме.

Основные опции доступные в интерактивном режиме:

• NAME - печатает информацию о хосте/домене NAME, используя сервер DNS по умолчанию;

• NAME1 NAME2 - то же, что и выше, но используется указанный сервер DNS NAME2;

• help или ? – вывод информации об основных командах; set OPTION - установка опций;

• all - вывод опции, текущего сервера и хоста; [no]debug - вывод отладочной информации; [no]d2 – вывод полной отладочной информации.

Для запуска в не интерактивном режиме команду nslookup необходимо указать в качестве параметра конкретный хост Internet:

Например:

>nslookup www.redhat.com >Server: deep.openna.com >Address: 208.164.186.1 >Non-authoritative answer: >Name: www.portal.redhat.com >Addresses: 206.132.41.202, 206.132.41.203 >Aliases: www.redhat.com

Где www.redhat.com это имя или Internet-адрес о котором необходимо получить информацию.

§3. Команда arp.

Команда ARP позволят просматривать и изменять информацию содержащуюся в таблицах ARP (т.н. «Internet-to-Ethernet address translation tables») используя протокол разрешения адресов ARP (address resolution protocol).

Без параметров команда выводит текущее состояние таблицы адресов для данного хоста. Хост может быть задан сетевым адресом, либо символьным именем.

Синтаксис:

arp -a

arp -d inet_addr

arp -s inet_addr ether_addr

Основные параметры:

• -a – Выводит текущее состояние таблицы ARP. Информация выводится по каждому интерфейсу в системе. Если указан IP-адрес, выводится информация только по указанному адресу.

• -d - Удаляет запись об указанном IP-адресе из таблицы ARP. * - удаляет все записи.

• -s - inet_addr ether_addr - Создает запись в таблице ARP. inet_addr – числовой составной адрес. ether_addr – аппаратный адрес, представленный шестью 16-ричными числами.