Como configurar o Wireshark para registrar APENAS pedidos de DNS?

Question

Isso funciona:

tethereal -i eth0 -w /root/mycapture.pcap

mas captura todos os pacotes. Eu só preciso capturar solicitações de DNS. Isso é possível? O servidor é o Linux.

Outra coisa é: é possível salvar o arquivo em uma rede em outro computador? O servidor tem apenas um pequeno disco rígido que não é grande o suficiente para o arquivo de captura.

Obrigado.

    

Answer 1

Especifique um filtro de captura usando -f "port 53" .

Nota: é tshark agora, não tethereal mais.

Para capturar localmente, mas armazenar os dados em um servidor remoto, use - ou /dev/stdout como o arquivo de saída e canalize o comando para ssh :

tshark -i eth0 -f "port 53" -l -w - | ssh otherhost "cat > foo.pcap"

tcpdump -i eth0 -f "port 53" -l -w - | ssh otherhost "cat > foo.pcap"

Você também pode fazer o oposto - capturar em um servidor remoto, mas armazenar dados localmente:

ssh otherhost "tshark -i eth0 -f "port 53" -l -w -" > foo.pcap

ssh otherhost "tcpdump -i eth0 -f "port 53" -l -w -" > foo.pcap

Nota: Sempre especifique um filtro de captura ao armazenar dados como este. Se você não fizer isso, cada pacote causará um loop infinito.