Как я могу захватить сетевой трафик одного процесса?

Я знаю, что этот поток немного староват, но я думаю, что это может помочь некоторым из вас:

Если ваше ядро ​​позволяет это, захват сетевого трафика одного процесса очень легко выполняется с помощью запуска указанного процесса. в изолированном сетевом пространстве имен и с использованием wireshark (или других стандартных сетевых инструментов) в указанном пространстве имен.

Установка может показаться немного сложной, но как только вы поймете ее и познакомитесь с ней, она значительно облегчит вашу работу.

Для этого:

• создать тестовое пространство имен сети:

  ip netns add test
  

• создать пару виртуальных сетевых интерфейсов ( veth-a и veth-b):

  ip link add veth-a type veth peer name veth-b
  

• изменить активное пространство имен интерфейса veth-a:

  ip link set veth-a netns test
  

• настроить IP-адреса виртуальных интерфейсов:

  ip netns exec test ifconfig veth-a up 192.168.163.1 netmask 255.255.255.0
  ifconfig veth-b up 192.168.163.254 netmask 255.255.255.0
  

• настроить маршрутизацию в тестовом пространстве имен:

  ip netns exec test route add default gw 192.168.163.254 dev veth-a
  

• активировать ip_forward и установите правило NAT для пересылки трафика, поступающего из созданного вами пространства имен (необходимо настроить сетевой интерфейс и IP-адрес SNAT):

  echo 1 > /proc/sys/net/ipv4/ip_forward
  iptables -t nat -A POSTROUTING -s 192.168.163.0/24 -o <your internet interface, e.g. eth0> -j SNAT --to-source <your ip address>
  

  (вы также можете использовать правило MASQUERADE, если хотите)

• наконец, вы можете запустить процесс, который вы хотите проанализировать, в новом пространстве имен, а также wireshark:

  ip netns exec test thebinarytotest
  ip netns exec test wireshark
  

  Вам придется следить за ветеринаром. интерфейс.

[Тысяча сто двадцать семь]

Вы можете попробовать tracedump - http://mutrics.iitis.pl/tracedump

Он делает именно то, что вы хотите, вы можете дать ему идентификатор процесса или программу запустить.

Я пришел к аналогичной проблеме, и мне удалось разобраться, основываясь на этом ответе ioerror , используя NFLOG, как описано здесь :

# iptables -A OUTPUT -m owner --uid-owner 1000 -j CONNMARK --set-mark 1
# iptables -A INPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# iptables -A OUTPUT -m connmark --mark 1 -j NFLOG --nflog-group 30 
# dumpcap -i nflog:30 -w uid-1000.pcap

[ 114] Затем вы можете создать запустить рассматриваемый процесс из учетной записи пользователя, которая больше ничего не делает - и вуаля, вы только что изолировали и захватили трафик из одного процесса.

Просто хотел написать обратно, если это кому-нибудь поможет.

Я написал приложение на C, которое делает то, что описано в великом ответе выше felahdab!

См. Здесь: nsntrace github repo

Для запуска и мониторинга нового процесса:

strace -f -e trace=network -s 10000 PROCESS ARGUMENTS

Для мониторинга существующего процесса с известным PID:

strace -p $PID -f -e trace=network -s 10000

• -f для «следовать за новым процессов "
• -e определяет фильтр
• -s устанавливает предел строк более 32
• -p принимает идентификатор процесса для присоединения к [119 ]

Просто идея: возможно ли привязать ваше приложение к другому IP-адресу? Если это так, вы можете использовать обычные подозреваемые ( tcpdump и т. Д.)

Инструменты для приложений, которые не способны связываться с другим IP-адресом:

http://freshmeat.net/projects/fixsrcip

fixsrcip - это инструмент для привязки исходящих клиентских сокетов TCP и UDP ( IPv4 ) к конкретному исходному IP адреса на многодомных хостах

http://freshmeat.net/projects/force_bind

force_bind позволяет принудительно связывать на конкретный IP и / или порт. Он работает как с IPv4, так и с IPv6 .

netstat -taucp | grep <pid or process name>

Это покажет соединения, которые устанавливает приложение, включая используемый порт.