Tôi có thể nắm bắt các gói mạng trên mỗi PID bằng cách nào?

Question

Bất cứ ai biết một cách dễ dàng để yêu cầu Linux "hiển thị mọi gói internet đến/từ google chrome" hoặc "hiển thị mọi gói internet đến/từ quá trình telnet với PID 10275"?

Ví dụ telnet không phải là quá hữu ích, vì tôi chỉ có thể sử dụng wireshark hoặc tcpdump để xem tất cả các cuộc hội thoại TCP liên quan đến cổng 23. Điều đó và không ai sử dụng telnet nữa. Nhưng đánh hơi tất cả các gói đến/từ các ứng dụng phức tạp sử dụng nhiều cổng có vẻ giống như một điều hữu ích.

Tôi tìm thấy một số câu trả lời liên quan khám phá những cách khác nhau để chứng thực các cảng và PID (hoặc chương trình tên) và như vậy, nhưng không có gì về gói

• How to tie a network connection to a PID without using lsof or netstat?
• How I can get ports associated to the application that opened them?
• How to do like "netstat -p", but faster?

Có vẻ như ai đó có thể đã sẵn sàng trả tiền cho câu trả lời này trong khi quay lại:

• http://www.freelancer.com/projects/Perl-CGI-C-C/tcpdump-PID-relation.html

NetHogs rất hữu ích để nhanh chóng nhìn thấy những gì chương trình đang tạo giao thông qua một giao diện, nhưng nó không có một cách để nắm bắt các gói tin.

Answer 1

Tôi sẽ sử dụng lsof -i để nhận số cổng được liên kết với ứng dụng tôi muốn. Mã sẽ giống như sau:

 
process=firefox 
for _port in `lsof -i | grep $process | cut -d' ' -f18 | cut -d: -f2 | cut -d'-' -f1` 
do 
    port=$_port 
    [[ "$_port" == +([a-zA-Z]) ]] && port=`cat /etc/services | grep '^$_port' | cut -d' ' -f12 | cut -d'/' -f1 | uniq | head -n 1` 

    echo "tcpdump -w ${port}.pcap port $port &" 
    tcpdump -w ${port}.pcap port $port & 
done 

Lưu ý rằng đầu ra của lệnh có thể khác nhau trên các phiên bản/phân phối khác nhau. Do đó, bạn nên kiểm tra đúng các tệp đã được cắt trước khi sử dụng tập lệnh.

Ngoài ra, tập lệnh này không giám sát các cổng được mở sau này. Đối với điều đó, tôi sẽ xem xét một kịch bản phức tạp hơn để kiểm tra cổng thường xuyên (sử dụng một cái gì đó như watch)

Và hãy nhớ để giết tất cả các quá trình tcpdump sau đó.

Answer 2

Tcpdump có thể cho bạn biết PID/quá trình một gói đến từ/đến.
Ném '-k NP' trong các tùy chọn của bạn.

Phiên bản được hỗ trợ: tcpdump phiên bản 4.3.0 - Phiên bản Apple 56