Filtrar por proceso/PID en Wireshark

Question

¿Hay alguna forma de filtrar/seguir una secuencia TCP/SSL según un ID de proceso en particular usando Wireshark?

Answer 1

No veo cómo. El PID no llega al cable (en términos generales), más Wireshark le permite ver lo que hay en el cable, potencialmente todas las máquinas que se comunican a través del cable. Las ID de proceso no son únicas en diferentes máquinas, de todos modos.

Answer 2

Puede hacer coincidir los números de puerto de wireshark hasta números de puerto de, digamos, netstat que le indicarán el PID de un proceso que se escucha en ese puerto.

Answer 3

En caso de que esté buscando una forma alternativa y el entorno que utiliza es Windows, Network Monitor de Microsoft 3.3 es una buena opción. Tiene la columna de nombre del proceso. Puede agregarlo fácilmente a un filtro utilizando el menú contextual y aplicar el filtro. Como es habitual, la GUI es muy intuitiva ...

Answer 4

En Windows existe una versión experimental que hace esto, como se describe en la lista de correo, Filter by local process name

Answer 5

puede comprobar si hay números de puerto con estos ejemplos de comando en Wireshark: -

tcp.port == 80

tcp.port == 14220

Answer 6

Esto es algo importante que se puede hacer para monitorear a donde ciertos procesos intentan conectarse, y parece que no hay una manera conveniente de hacerlo en Linux. Sin embargo, varias soluciones son posibles, por lo que creo que vale la pena mencionarlas.

Hay un programa llamado nonet que permite ejecutar un programa sin acceso a Internet (tengo configurados la mayoría de los iniciadores de programas en mi sistema). Utiliza setguid para ejecutar un proceso en grupo no definido y establece una regla iptables para rechazar todas las conexiones de este grupo.

Actualización: ahora uso un sistema aún más simple, puede tener fácilmente una configuración de iptables legible con ferm, y simplemente usar el programa sg para ejecutar un programa con un grupo específico. Iptables también te permite redirigir el tráfico para que incluso puedas enrutarlo a una interfaz separada o un proxy local en un puerto que te permita filtrar en wireshark o LOG los paquetes directamente desde iptables si no quieres deshabilitar todo Internet mientras tú están revisando el tráfico.

No es muy complicado adaptarlo para ejecutar un programa en un grupo y cortar todo el resto del tráfico con iptables para la vida útil de la ejecución y luego solo se puede capturar el tráfico de este proceso.

Si alguna vez vuelvo a escribirlo, publicaré un enlace aquí.

Por otro lado, siempre se puede ejecutar un proceso en una máquina virtual y oler la interfaz correcta para aislar las conexiones que hace, pero eso sería una solución bastante inferior ...

Answer 7

En algunos casos se puede no filtrar por id. de proceso Por ejemplo, en mi caso, necesitaba olfatear el tráfico de un proceso. Pero encontré en su máquina de destino de configuración la dirección IP, filtro agregado ip.dst==someip y voila. No funcionará en ningún caso, pero para algunos es útil.

Answer 8

Utilice Microsoft Message Analyzer v1.4

Navegue a ProcessId desde el selector de campo.

Etw 
-> EtwProviderMsg 
--> EventRecord 
---> Header 
----> ProcessId 

clic derecho y Agregar Columna

Answer 9

obtener el número de puerto utilizando netstat:

netstat -b 

Y a continuación, utilizar el filtro de Wireshark:

tcp.port == portnumber 

Answer 10

Si desea seguir una aplicación que todavía tiene que b e inició entonces es ciertamente posible:

1. Instalar ventana acoplable (ver https://docs.docker.com/engine/installation/linux/docker-ce/ubuntu/)
2. Abrir un terminal y ejecutar un recipiente pequeño: docker run -t -i ubuntu /bin/bash (cambiar "ubuntu" a tu distribución favorita, esto no tiene por qué ser el igual que en su sistema real)
3. Instale su aplicación en el contenedor de la misma forma que la instalaría en un sistema real.
4. Inicie wireshark en su sistema real, vaya a capturar> opciones. En la ventana que se abrirá verá todas sus interfaces. En lugar de elegir any, wlan0, eth0, ... elija la nueva interfaz virtual docker0 en su lugar.
5. iniciar la captura
6. Comience su aplicación en el contenedor

Es posible que tenga algunas dudas sobre el funcionamiento de su software en un contenedor, así que aquí están las respuestas a las preguntas que probablemente quiera hacer:

• ¿Funcionará mi aplicación dentro de un contenedor? Es casi seguro que sí, pero es posible que necesite aprender un poco sobre la docker para que funcione
• ¿No se ejecutará lentamente mi aplicación? insignificante. Si su programa es algo que ejecuta cálculos pesados ​​durante una semana, ahora podría llevar una semana y 3 segundos
• ¿Qué sucede si mi software o algo más se rompe en el contenedor? Eso es lo bueno de los contenedores. Todo lo que se ejecuta dentro solo puede romper el contenedor actual y no puede dañar el resto del sistema.