Extrakce mailu z provozu nebo pcap

[Ray Charles]

Řešil někdo s diskutujících prakticky automatizovanou extrakci emailů z živého provozu nebo z pcap souboru? Nějak jsem dostal implementačně na starosti a nechci dopadnou tak že budu hledat ve WireSharku konkrétní relace ručně.

[Reklama]

[expert]

Tak Wireshark obsahuje cmdline utilitu tshark, který je určen pro skriptování a použití v terminálu. Třeba ti to pomůže.

[JardaP .]

Mozna xplico.

BTW, jako zadani ulohy to trochu smrdi. To ma byt pro testovaci/debugovaci ucely nebo pro smirovani?

[asdf123]

Mozna xplico.

BTW, jako zadani ulohy to trochu smrdi. To ma byt pro testovaci/debugovaci ucely nebo pro smirovani?

urcite to budu len aplikacne logy on ich bude takto unasat a storovat v centralnom servri

[JardaP .]

urcite to budu len aplikacne logy on ich bude takto unasat a storovat v centralnom servri

Tak treba to se systemd jinak nejde. Nejak se k tem logum musi dostat, nez je systemd staci rozbit.

[Reklama]

[RDa]

Tak si nastudujte IP, TCP a SMTP, pak vam postaci hexdump z provozu Opravdu neni tezke si vyparsovat kazde spojeni a jako bonus nebudete mit zavislost na nejakem cizim toolu.

[expert]

BTW, jako zadani ulohy to trochu smrdi. To ma byt pro testovaci/debugovaci ucely nebo pro smirovani?

Není to jedno? Dostal úkol a má jej splnit. Voják taky musí plnit rozkazy bez ohledu na vlastní názor.

[Jenda]

Tak si nastudujte IP, TCP a SMTP, pak vam postaci hexdump z provozu

To je opruz (trackovat navázaná spojení, skládat segmenty a retransmissions).

Naštěstí existuje itilita tcpflow, která dělá přesně toto.

[JardaP .]

Není to jedno? Dostal úkol a má jej splnit. Voják taky musí plnit rozkazy bez ohledu na vlastní názor.

Aha. To az ho poslou zabit Sekala, tak ho zabije a co na tom, ze je to proti zakonu?

[j]

A on snad jeste nekdo posila a prijima maily jako text? Paac jestli to chce chytat na siti, tak si nachyta leda tak ty zasifrovany pakety.

Nehlede na to, ze jak bylo zmineno, jedna se o tr cin nezakonneho odposlechu.

[Ray Charles]

Je to pro to abychom nemuseli tolerovat hw sondu v síti na základě nařízení soudu. Navíc dotyčnej resp celej server jede tak 120:50 přes SSL vs čistá 25. Tj nejde o to najít to v provozu, to si klidně ručně rozkuchám a pak najdu to co je z toho emaily (což je vše protože to filtrujeme jen na src or dst 25 a smtps). Ale je to zbytečně komplikované.