ETTERLOG(8) System Manager's Manual ETTERLOG(8)

etterlog - تحلیل‌گر گزارش برای فایل‌های لاگ ettercap

etterlog [OPTIONS] FILE

ابزار etterlog تحلیل‌گر فایل‌های لاگ ایجادشده توسط ettercap است. این ابزار می‌تواند با هر دو نوع فایل لاگ فشرده‌شده (ایجادشده با -Lc) یا فشرده‌نشده کار کند. با این ابزار می‌توانید فایل‌های دودویی را مطابق نیاز خود دستکاری کرده و داده‌ها را هر زمان که بخواهید به روش‌های مختلف چاپ کنید (برخلاف سیستم وقایع‌نگاری قبلی که داده‌ها را فقط به یک روش ایستا ذخیره می‌کرد).
شما قادر خواهید بود ترافیک تنها یک اتصال به انتخاب خود یا تنها یک یا چند میزبان را استخراج کنید، داده‌ها را به صورت هگز، اسکی، باینری و غیره چاپ نمایید...

نکته: تمام پیام‌های غیرضروری در stderr چاپ می‌شوند، بنابراین می‌توانید خروجی etterlog را با دستور زیر ذخیره کنید:

بدین ترتیب برای مثال می‌توانید یک فایل باینری را از یک اتصال ftp استخراج کنید، در صورتی که داده‌ها را در حالت باینری، بدون سرایندها و تنها با انتخاب سرور ftp به عنوان مبدأ ارتباط چاپ نمایید.

گزینه‌های عمومی (GENERAL OPTIONS)
تحلیل یک فایل لاگ و نمایش برخی آمار جالب توجه.
تجزیه فایل لاگ و چاپ یک جدول از اتصالات منحصربه‌فرد (پورت به پورت). این گزینه فقط در فایل‌های لاگ از نوع LOG_PACKET قابل استفاده است. در فایل‌های لاگ LOG_INFO بی‌فایده است.

نکته: می‌توانید با استفاده از دستور زیر به دنبال یک میزبان خاص بگردید:

etterlog -c logfile.ecp | grep 10.0.0.1

تنها چاپ بسته‌هایی که از TARGET می‌آیند یا به سمت آن می‌روند. شیوه تعیین TARGET همانند ettercap است.
پارامتر TARGET به شکل MAC/IPs/PORTs است. با فعال بودن پشتیبانی از IPv6، مقدار TARGET به شکل MAC/IPs/IPv6/PORTs خواهد بود. حذف یک یا چند بخش از آن معادل تنظیم آن‌ها بر روی ANY (هرکدام) خواهد بود. با بخش‌های IPs و IPv6 به عنوان یک بخش رفتار می‌شود، بنابراین تنها در صورتی بر روی ANY تنظیم می‌شود که هر دوی IPs و IPv6 حذف شده باشند. این کار به نتیجه‌ای می‌انجامد که اکثر کاربران انتظار دارند.

اگر نوع فایل لاگ LOG_INFO باشد، از target برای نمایش میزبان‌هایی استفاده می‌شود که با mac و ip تطابق داشته و پورت(های) مشخص‌شده در آن‌ها باز باشد. برای مثال هدف //80 تنها اطلاعات مربوط به میزبان‌هایی با وب‌سرور در حال اجرا را نمایش می‌دهد.

معکوس کردن تطابق در انتخاب TARGET. این به معنای not(TARGET) است؛ یعنی همه به جز TARGET انتخاب‌شده.
شنود تنها بسته‌های PROTO (پیش‌فرض TCP + UDP است). این گزینه تنها در حالت "simple" مفید است. اگر ettercap را در حالت تعاملی آغاز کنید، هر دو پروتکل TCP و UDP شنود می‌شوند.
مقدار PROTO می‌تواند "tcp"، "udp" یا "all" برای هر دو باشد.
چاپ بسته‌هایی که تنها متعلق به این CONNECTION هستند.
پارامتر CONNECTION به شکل PROTO:SOURCE:DEST است. پارامترهای SOURCE و DEST به شکل IP:PORT هستند.

مثال:

etterlog -F TCP:10.0.0.23:3318:198.182.196.56:80

تنها نمایش بسته‌هایی که توسط مبدأ CONNECTION انتخاب‌شده ارسال شده‌اند. این گزینه فقط در ترکیب با گزینه -F معنا دارد.

نکته: اگر می‌خواهید فایلی را که در یک اتصال HTTP یا FTP منتقل شده ذخیره کنید، می‌توانید از دستور زیر استفاده کنید:

etterlog -B -s -n -F TCP:10.0.0.1:20:10.0.0.2:35426 logfile.ecp > example.tar.gz

مشابه --only-source است اما بر روی میزبان مقصد فیلتر می‌کند.
عدم چاپ سرایند هر بسته. این گزینه در صورتی مفید است که بخواهید یک فایل را در قالب باینری (گزینه -B) ذخیره کنید. بدون سرایندها می‌توانید خروجی را به یک فایل هدایت کرده و جریان اصلی داده را دریافت نمایید.

یادداشت: برچسب زمانی در سرایند به این شکل است: Thu Mar 27 23:03:31 2003 [169396]؛ مقدار داخل قلاب‌ها بر حسب میکروثانیه بیان شده است.

در سرایندها آدرس‌های mac متناظر با آدرس‌های ip را نیز نمایش می‌دهد.
اگر در ترکیب با -F استفاده شود، مبدأ و مقصد اتصال را با رنگ‌های متفاوتی نمایش می‌دهد. اگر با یک فایل LOG_INFO استفاده شود، میزبان‌های شبکه محلی (LAN) را با رنگ سبز، میزبان‌های راه دور (REMOTE) را با رنگ آبی و دروازه‌ها (GATEWAYS) را با رنگ قرمز چاپ می‌کند.
هنگام نمایش یک فایل INFO، تنها اطلاعات مربوط به میزبان‌های محلی را نمایش می‌دهد.
هنگام نمایش یک فایل INFO، تنها اطلاعات مربوط به میزبان‌های راه دور را نمایش می‌دهد.
گزینه‌های جستجو (SEARCH OPTIONS)
نمایش تنها بسته‌های منطبق با عبارت منظم <REGEX>.
اگر این گزینه برای یک فایل لاگ LOG_PACKET استفاده شود، عبارت منظم بر روی محتوای داده (payload) بسته اجرا می‌شود. اگر نوع فایل LOG_INFO باشد، عبارت منظم بر روی تمامی فیلدهای نمایه میزبان (سیستم‌عامل، بنرها، سرویس و کارت شبکه اترنت) اجرا می‌شود.
یادداشت: عبارت منظم با پرچم REG_ICASE (غیرحساس به حروف بزرگ و کوچک) کامپایل می‌شود.
نمایش اطلاعات مربوط به این کاربر. جستجو در میان تمام جفت‌های نام‌کاربری/گذرواژه جمع‌آوری‌شده در تمامی میزبان‌ها انجام می‌شود.
تنها چاپ اطلاعات حساب‌های کاربری جمع‌آوری‌شده برای هر میزبان. این کار از تولید خروجی حجیم نمایه جلوگیری می‌کند. می‌تواند در ترکیب با گزینه -u برای فیلتر کردن کاربران استفاده شود. وجود علامت ستاره '*' در جلوی یک حساب نشان‌دهنده تلاش ناموفق برای ورود به سیستم است.
نمایش آدرس ip کلاینت هنگام نمایش نام‌های کاربری و گذرواژه‌های جمع‌آوری‌شده. این گزینه زمانی که کنترل‌های دسترسی (ACL) وجود دارند می‌تواند مفید باشد.
نمایش گذرواژه‌هایی که تنها از یک <IP> خاص می‌آیند. این گزینه برای مشاهده تمام نام‌های کاربری و گذرواژه‌های یک کلاینت کاربرد دارد.
گزینه‌های ویرایش (EDITING OPTIONS)
از این گزینه برای پیوند دادن (الحاق) دو (یا چند) فایل در یک فایل واحد استفاده کنید. این قابلیت زمانی مفید است که فایل‌های لاگ ettercap را از چندین منبع جمع‌آوری کرده‌اید و می‌خواهید یک گزارش یکپارچه داشته باشید. فایل خروجی باید با گزینه -o مشخص شود و فایل‌های ورودی به عنوان آرگومان‌های معمولی فهرست می‌شوند.

مثال:
etterlog -C -o outfile input1 input2 input3

فایل خروجی را برای عملیات الحاق مشخص می‌کند.
روش نمایش (VISUALIZATION METHOD)
چاپ داده‌ها همان‌گونه که هستند، در قالب دودویی. برای استخراج داده‌های باینری در یک فایل مفید است (همان‌طور که در بالا توضیح داده شد).
چاپ بسته‌ها در قالب هگزادسیمال.

مثال:

رشته "HTTP/1.1 304 Not Modified" به صورت زیر درمی‌آید:

0000: 4854 5450 2f31 2e31 2033 3034 204e 6f74 HTTP/1.1 304 Not
0010: 204d 6f64 6966 6965 64 Modified

تنها چاپ نویسه‌های «قابل چاپ»؛ سایر نویسه‌ها به صورت نقطه '.' نمایش داده می‌شوند.
تنها نویسه‌های «قابل چاپ» را چاپ می‌کند و از بقیه صرف‌نظر می‌نماید.
تبدیل متن EBCDIC به ASCII.
حذف تمام تگ‌های html از متن. یک تگ هر رشته‌ای است که بین '<' و '>' قرار دارد.

مثال:

<title>This is the title</title>, but the following <string> will not be displayed.

This is the title, but the following will not be displayed.

چاپ بسته‌ها در قالب UTF-8. پارامتر <encoding> کدگذاری مورد استفاده در حین انجام تبدیل را مشخص می‌کند. از دستور `iconv --list` برای دریافت فهرستی از تمامی کدگذاری‌های پشتیبانی‌شده استفاده کنید.
همیشه رشته خالی چاپ می‌کند؛ یعنی تنها اطلاعات سرایند چاپ شده و هیچ محتوایی از بسته چاپ نخواهد شد.
چاپ اطلاعات میزبان در قالب xml، تا بتوانید آن را با برنامه دلخواه خود پردازش کنید.

فایل DTD مرتبط با خروجی xml در مسیر share/etterlog.dtd قرار دارد.

گزینه‌های استاندارد (STANDARD OPTIONS)
نمایش نسخه برنامه و خروج.
نمایش صفحه راهنما به همراه خلاصه‌ای کوتاه از گزینه‌های موجود.

در اینجا چند مثال از نحوه استفاده از etterlog آورده شده است.

نمایش اطلاعات میزبان‌های محلی با رنگ‌های متفاوت.

چاپ بسته‌ها در حالت HEX با سرایندهای کامل.

نمایش فهرست اتصالات ثبت‌شده در فایل.

نمایش ترافیک IRC مربوط به 10.0.0.1 در حالت ASCII، بدون اطلاعات سرایند و در حالت رنگی.

استخراج تمام ترافیک HTTP و حذف تگ‌های html.

نمایش تنها سرایندهای تمام اتصالات به جز ssh در میزبان 10.0.0.2

نمایش تنها بسته‌های POP حاوی عبارت منظم 'user' (غیرحساس به حروف بزرگ و کوچک).

نمایش اطلاعات درباره تمام حساب‌های کاربر 'root'.

نمایش اطلاعات درباره تمام میزبان‌های اجراکننده 'Apache'.

نمایش اطلاعات درباره تمام میزبان‌های دارای سیستم‌عامل 'Linux'.

نمایش اطلاعات درباره تمام میزبان‌هایی که پورت tcp شماره 110 در آن‌ها باز است.

نمایش اطلاعات درباره تمام میزبان‌هایی که حداقل یک پورت UDP باز دارند.

استخراج داده‌های ارسال‌شده توسط 10.0.0.1 بر روی پورت داده FTP در قالب دودویی. از آنجا که سرایندها حذف شده‌اند، فایل را به همان صورت اصلی دریافت خواهید کرد.

Alberto Ornaghi (ALoR) <alor@users.sf.net>
Marco Valleri (NaGA) <naga@antifork.org>

Emilio Escobar (exfil) <eescobar@gmail.com>
Eric Milam (Brav0Hax) <jbrav.hax@gmail.com>

Mike Ryan (justfalter) <falter@gmail.com>
Gianfranco Costamagna (LocutusOfBorg) <costamagnagianfranco@yahoo.it>
Antonio Collarino (sniper) <anto.collarino@gmail.com>
Ryan Linn <sussuro@happypacket.net>
Jacob Baines <baines.jacob@gmail.com>

Dhiru Kholia (kholia) <dhiru@openwall.com>
Alexander Koeppe (koeppea) <format_c@online.de>
Martin Bos (PureHate) <purehate@backtrack.com>
Enrique Sanchez
Gisle Vanem <giva@bgnett.no>
Johannes Bauer <JohannesBauer@gmx.de>
Daten (Bryan Schneiders) <daten@dnetc.org>

ettercap(8), etterfilter(8), etter.conf(5), ettercap_curses(8), ettercap_plugins(8), ettercap-pkexec(8)

ettercap 0.8.4.1