wiresharkでリモートマシンのトラフィックを盗聴するにはどうすればよいですか？

ローカルPCのトラフィックをスニッフィングできますが、wiresharkでリモートマシンのトラフィックをスニッフィングする方法を知りたいですか？

キャプチャオプションの場合、リモートインターフェイスを選択し、リモートIP show me error.code（10061）を入力します。私は何をすべきか？

LinuxおよびOSXでは、sshでtcpdumpを実行し、wiresharkでパイプをリッスンさせることでこれを実現できます。

1. 名前付きパイプを作成します。

   $ mkfifo /tmp/remote

2. コマンドラインからwiresharkを起動します

   $ wireshark -k -i /tmp/remote

3. リモートマシンでsshでtcpdumpを実行し、パケットを名前付きパイプにリダイレクトします。

   $ ssh root@firewall "tcpdump -s 0 -U -n -w - -i eth0 not port 22" > /tmp/remote

ソース：http : //blog.nielshorn.net/2010/02/using-wireshark-with-remote-capturing/

このonelinerをルートとして使用します。とても便利です！

ssh root@sniff_server_ip -p port tcpdump -U -s0 'not port 22' -i eth0 -w - | wireshark -k -i -

-deの前の最後|はその出力のリダイレクトであり、wiresharkによって標準入力に使用されます。-kwireshark のオプションは、「すぐにスニッフィングを開始する」ことを意味します

1つのアプローチは、スイッチでミラーポートまたはスパンポートと呼ばれるものを使用することです。スイッチのインテリジェンスが不十分な場合は、スイッチ/ホストからキャプチャへの接続の間に小さなハブを配置することもできます。リスニングホストからそのポート/ハブに物理リンクを接続すると、デバイスを通過するすべてのトラフィックを確認できます。または、パケットキャプチャソフトウェアを、境界ファイアウォール/ルーターなどのネットワーク内のより戦略的な場所にインストールする必要があります。

ファイル記述子を使用して、パケットに接続および受信し、sshwiresharkにローカルでパイプすることができます。

wireshark -i <(ssh root@firewall tcpdump -s 0 -U -n -w - -i eth0 not port 22)

Wiresharkが開き/dev/fd/63、リモートシステムからのデータを含むファイル記述子である「インターフェース」が表示されます。

ローカルコンピューターが接続してキャプチャできるように、リモートコンピューターのセットアップに関する情報を参照してください。

http://wiki.wireshark.org/CaptureSetup/WinPcapRemote

RHELでは、tcpdumprootが必要であり、sudoアクセスしかできないため、konradの答えはうまくいきませんでした。動作したのは、読み取り可能な追加のリモートfifoを作成することでした。

remote:~$ mkfifo pcap
remote:~$ sudo tcpdump -s 0 -U -n -w - -i eth0 not port 22 > pcap

別の接続でデータを送信します。

local:~$ mkfifo pcap
local:~$ ssh user@host "cat pcap" > pcap

最後にWiresharkを起動します

local:~$ wireshark -k -i pcap

自分に届くトラフィックのみを傍受できます。そのため、ジョーAがジョーBに行くことは決してあなたのPCの近くに来ないので、あなたはそれを見ることができません。

唯一の方法は、トラフィックを取得するか、トラフィックを取得することです。トラフィックに到達するには、接続の途中にあるルーターまたは適切なスイッチまたはハブへの接続が必要です。トラフィックを取得するには、スイッチの一部をARPポイズニングして、スイッチがそれらを認識する必要があります。

以前の回答に加えて、netcatを使用したバージョンncも同様に役立つ場合があります。

リモートホスト：

mkfifo /tmp/mypcap.fifo

tcpdump -i em0 -s 0 -U -w - > /tmp/mypcap.fifo

nc -l 10000 < /tmp/mypcap.fifo

ローカルホスト：

wireshark -ki <(nc 192.168.1.1 10000)

この方法についての注意：すべてのインターフェイスに対して安全でないポートを開くため、ファイアウォールのルールで着信接続を必ずフィルタリングしてください。