Question

是否可以捕获传入的REST API请求到tomcat服务器，以验证外部客户端是否使用了正确的凭据。生成401响应，但我们需要证明REST API不是问题，而是请求。

我成功安装了wireshark，并根据使用tshark尝试捕获传入数据包的建议。

tshark -D
1. usbmon1 (USB bus number 1)
2. eth2
3. any (Pseudo-device that captures on all interfaces)
4. lo

我会假设http请求是'tcp'？正确？那为什么不在这里展示呢？我在网上尝试了以下命令：

tshark 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' -R 'http.request.method == "GET" || http.request.method == "HEAD"'

但这会导致错误;

That string isn't a valid capture filter (USB link-layer type filtering 
not implemented).
See the User's Guide for a description of the capture filter syntax.
0 packets captured

我知道我期待的具体传入请求网址，并认为我可以使用https://xxxxxxxxxxxxxxxx/termAPI/list进行过滤真的很感激一些帮助。

编辑：

尝试并测试了以下内容：

tshark -i 2 -f 'port 80'

然后运行示例API请求并获取以下内容：

Capturing on eth2
0.000000000 192.1xx.xxx -> 192.168.cc.xxxx TCP 66 49330 > http [SYN] 
Seq=0   Win=8192 Len=0 MSS=1400 WS=4 SACK_PERM=1
0.000146849 192.168.cc.xxxx -> 192.1xx.xxx TCP 66 http > 49330 [SYN, ACK] 
Seq=0 Ack=1 Win=14100 Len=0 MSS=1410 SACK_PERM=1 WS=128
0.005808528 192.1xx.xxx -> 192.168.cc.xxxx TCP 54 49330 > http [ACK] 
Seq=1 Ack=1 Win=65800 Len=0
0.031745954 192.1xx.xxx -> 192.168.cc.xxxx HTTP 220 
GET  /termsapi/google/search/main/rules/active HTTP/1.1
0.031845414 192.168.cc.xxxx -> 192.1xx.xxx TCP 54 http > 49330 [ACK] Seq=1 
Ack=167 Win=15232 Len=0
0.063554179 192.168.cc.xxxx -> 192.1xx.xxx TCP 2854 [TCP segment of a 
reassembled  PDU]
0.063568626 192.168.cc.xxxx -> 192.1xx.xxx TCP 2854 [TCP segment of a 
reassembled PDU]
0.063572832 192.168.cc.xxxx -> 192.1xx.xxx HTTP 695 HTTP/1.1 200 
OK     (application/json)
0.064066260 192.168.cc.xxxx -> 192.1xx.xxx TCP 54 http > 49330 [FIN, ACK] 
Seq=6242 Ack=167 Win=15232 Len=0
0.075055934 192.1xx.xxx -> 192.168.cc.xxxx TCP 54 49330 > http [ACK] 
Seq=167 Ack=2801 Win=65800 Len=0
0.075067927 192.1xx.xxx -> 192.168.cc.xxxx TCP 54 49330 > http [ACK] 
Seq=167 Ack=6243 Win=65800 Len=0
0.075095146 192.1xx.xxx -> 192.168.cc.xxxx TCP 54 49330 > http [FIN, ACK] 
Seq=167 Ack=6243 Win=65800 Len=0
0.075098758 192.168.cc.xxxx -> 192.1xx.xxx TCP 54 http > 49330 [ACK] 
Seq=6243 Ack=168 Win=15232 Len=0

但我看不到凭据

Answer 1

根据手册页tshark -D

打印TShark可以捕获的接口列表，然后退出。

然后你必须选择一个。对于您的情况，您可能想听eth2。

您可以通过以下方式收听eth2上的所有流量：

tshark -ieth2

如果您只想捕获GET请求，可以使用capture filter expression, from the documentation：

tshark -ieth2 "port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420"

然后，您将看到所有GET请求进入您的服务器。

==编辑

如果要查看数据包的所有详细信息（凭据，...），可以通过添加-T pdml选项，让tshark以数据包详细信息标记语言输出数据包。

使用tshark捕获apache服务器上的传入RESTAPI流量

1 个答案: