[Comm] SMTP+sniffer

[Comm] SMTP+sniffer

[Прокопьев Евгений]

Здравствуйте!

Как получить команды обмена почтового клиента с SMTP-сервером

Пишу так:

tcpdump -n -i ppp0 'src or dst port 25' > log

и получаю

strings log
09:20:15.796397 195.161.172.86.1046 > 80.80.122.40.smtp: S 
69992911:69992911(0) win 8192 <mss 1412> (DF)
09:20:15.796530 80.80.122.40.smtp > 195.161.172.86.1046: S 
2291810615:2291810615(0) ack 69992912 win 5808 <mss 1452> (DF)
09:20:15.817477 195.161.172.86.1046 > 80.80.122.40.smtp: . ack 1 win 
8472 (DF)
09:20:15.848068 80.80.122.40.smtp > 195.161.172.86.1046: P 1:31(30) ack 
1 win 5808 (DF)
09:20:15.871936 195.161.172.86.1046 > 80.80.122.40.smtp: P 1:22(21) ack
...
...
Требуется что-то более осмысленное типа

  In:  RCPT TO:<info@server.ru>
  Out: 450 <andrey>: Helo command rejected: Host not found

Кроме tcpdump использовать что-то другое нежелательно.

-- 
С уважением, Прокопьев Евгений

Re: [Comm] SMTP+sniffer

[Mike Lykov]

В сообщении от 6 Май 2003 10:26 Прокопьев Евгений написал:

> Требуется что-то более осмысленное типа
>   In:  RCPT TO:<info@server.ru>
>   Out: 450 <andrey>: Helo command rejected: Host not found
> Кроме tcpdump использовать что-то другое нежелательно.

 Тогда тебе придется самому расшифровывать содержимое пакетов из 
шестнадцатеричного вида.

-- 
Mike

Re: [Comm] SMTP+sniffer

[Прокопьев Евгений]

Mike Lykov пишет:
> В сообщении от 6 Май 2003 10:26 Прокопьев Евгений написал:
> 
> 
>>Требуется что-то более осмысленное типа
>>  In:  RCPT TO:<info@server.ru>
>>  Out: 450 <andrey>: Helo command rejected: Host not found
>>Кроме tcpdump использовать что-то другое нежелательно.
> 
> 
>  Тогда тебе придется самому расшифровывать содержимое пакетов из 
> шестнадцатеричного вида.
> 

Вроде как IMAP я раньше так читал. А что тогда есть простое и консольное?

-- 
С уважением, Прокопьев Евгений

Re: [Comm] SMTP+sniffer

[Dmitry Alexeyev]

В сообщении от Вторник 06 Май 2003 10:54 Прокопьев Евгений написал:
> Mike Lykov пишет:
> > В сообщении от 6 Май 2003 10:26 Прокопьев Евгений написал:
> >>Требуется что-то более осмысленное типа
> >>  In:  RCPT TO:<info@server.ru>
> >>  Out: 450 <andrey>: Helo command rejected: Host not found
> >>Кроме tcpdump использовать что-то другое нежелательно.
> >
> >  Тогда тебе придется самому расшифровывать содержимое пакетов из
> > шестнадцатеричного вида.
>
> Вроде как IMAP я раньше так читал. А что тогда есть простое и консольное?

Самое простое и консольное - sniffit. 

WBR,
Dmitry

Re: [Comm] SMTP+sniffer

[BSW]

Прокопьев Евгений пишет:
> Здравствуйте!
> 
> Как получить команды обмена почтового клиента с SMTP-сервером
> 
> Пишу так:
> 
> tcpdump -n -i ppp0 'src or dst port 25' > log
> 
> и получаю
> 
> strings log
> 09:20:15.796397 195.161.172.86.1046 > 80.80.122.40.smtp: S 
> 69992911:69992911(0) win 8192 <mss 1412> (DF)
> 09:20:15.796530 80.80.122.40.smtp > 195.161.172.86.1046: S 
> 2291810615:2291810615(0) ack 69992912 win 5808 <mss 1452> (DF)
> 09:20:15.817477 195.161.172.86.1046 > 80.80.122.40.smtp: . ack 1 win 
> 8472 (DF)
> 09:20:15.848068 80.80.122.40.smtp > 195.161.172.86.1046: P 1:31(30) ack 
> 1 win 5808 (DF)
> 09:20:15.871936 195.161.172.86.1046 > 80.80.122.40.smtp: P 1:22(21) ack
> ...
> ...
> Требуется что-то более осмысленное типа
> 
>  In:  RCPT TO:<info@server.ru>
>  Out: 450 <andrey>: Helo command rejected: Host not found
> 
> Кроме tcpdump использовать что-то другое нежелательно.
> 

Читай man tcpdump на тему ключа -X

Re: [Comm] SMTP+sniffer

[Прокопьев Евгений]

> Читай man tcpdump на тему ключа -X

Читаю. При tcpdump -X 'src or dst port 25' > log и strings log | less 
получается нечто вроде

0x0000   4500 003d 329c 4000 4006 72bc c0a8 0a05        E..=2.@.@.r.....
0x0010   c0a8 0a0d 805c 0019 22e3 cc2c 866d 4ff5        .....\.."..,.mO.
0x0020   5018 16d0 492d 0000 4548 4c4f 2072 6d74        P...I-..EHLO.rmt
0x0030   732e 646f 6e70 6163 2e72 750d 0a               s.donpac.ru..

Как выковырять только команды в читаемом виде?

-- 
С уважением, Прокопьев Евгений

Re: [Comm] SMTP+sniffer

[BSW]

Прокопьев Евгений пишет:
>> Читай man tcpdump на тему ключа -X
> 
> 
> Читаю. При tcpdump -X 'src or dst port 25' > log и strings log | less 
> получается нечто вроде
> 
> 0x0000   4500 003d 329c 4000 4006 72bc c0a8 0a05        E..=2.@.@.r.....
> 0x0010   c0a8 0a0d 805c 0019 22e3 cc2c 866d 4ff5        .....\.."..,.mO.
> 0x0020   5018 16d0 492d 0000 4548 4c4f 2072 6d74        P...I-..EHLO.rmt
> 0x0030   732e 646f 6e70 6163 2e72 750d 0a               s.donpac.ru..
Да вроде так и должно быть.

> 
> Как выковырять только команды в читаемом виде?
> 
Насколько я понимаю, tcpdump не знает почтовых протоколов. Надо 
искать/писать анализатор. Можно посмотреть ethereal.

Re: [Comm] SMTP+sniffer

[Прокопьев Евгений]

BSW пишет:
> Прокопьев Евгений пишет:
> 
>>> Читай man tcpdump на тему ключа -X
>>
>>
>>
>> Читаю. При tcpdump -X 'src or dst port 25' > log и strings log | less 
>> получается нечто вроде
>>
>> 0x0000   4500 003d 329c 4000 4006 72bc c0a8 0a05        E..=2.@.@.r.....
>> 0x0010   c0a8 0a0d 805c 0019 22e3 cc2c 866d 4ff5        .....\.."..,.mO.
>> 0x0020   5018 16d0 492d 0000 4548 4c4f 2072 6d74        P...I-..EHLO.rmt
>> 0x0030   732e 646f 6e70 6163 2e72 750d 0a               s.donpac.ru..
> 
> Да вроде так и должно быть.
> 
>>
>> Как выковырять только команды в читаемом виде?
>>
> Насколько я понимаю, tcpdump не знает почтовых протоколов. Надо 
> искать/писать анализатор. Можно посмотреть ethereal.

Да какой тут может быть анализатор? Все команды передаются открытым 
текстом (что кстати и видно), проблема лишь в том, чтобы этот текст 
можно было читать.

Просто я буквально полгода назад отлаживал именно с помощью tcpdump и 
свои программы, и IMAP - все было чудно, вот только я параметры не 
вспомню (или tcpdump поменялся).

-- 
С уважением, Прокопьев Евгений

Re: [Comm] SMTP+sniffer

[Igor Homyakov]

tcpdump вываливает все сплошным потоком (игнорируя 
значения \n \r \0)  "и это правильно" (с) 

для разбора пишеться тривиальный perl|shell скрипт
который разбирает hex и показывает читаемый текст.

либо используёте другой снифер

* Прокопьев Евгений <john@rmts.donpac.ru> [030506 13:43]:
 
> Да какой тут может быть анализатор? Все команды передаются открытым 
> текстом (что кстати и видно), проблема лишь в том, чтобы этот текст 
> можно было читать.
> 
> Просто я буквально полгода назад отлаживал именно с помощью tcpdump и 
> свои программы, и IMAP - все было чудно, вот только я параметры не 
> вспомню (или tcpdump поменялся).

-- 
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [Comm] SMTP+sniffer

[BSW]

Прокопьев Евгений пишет:
> Да какой тут может быть анализатор? Все команды передаются открытым 
> текстом (что кстати и видно), проблема лишь в том, чтобы этот текст 
> можно было читать.
Самый простой. tcpdump умеет расшифровывать некоторые протоколы (DNS, 
NFS, ...), а вот почту, видимо, не умеет. Нужен внешний (по отношению к 
tcpdump) обработчик, который все разжует, переварит и вывалит. Ну и, как 
говорится, perl тебе в руки. :-) Кстати, tcpdump умеет некие внешние 
модули. Может это оно?