Captura de paquetes HTTP con Tshark en Kali LInux

Tshark es el programa equivalente a Wireshark pero para linea de comandos, vamos a utilizarlo con filtros directamente para luego guardar la búsqueda en un archivo con el filtro aplicado.

El siguente filtro es para monitorizar las conexiones HTTP tales como direcciones web e imágenes que deseamos capturar en una red.

Ejecutar el comando tshark:

root@kali: # tshark -Y 'http'

imagen de ejemplo con una captura de HTTP al intentar acceder a un servidor web

Es posible guardarlo en un archivo de texto con el siguiente comando:

root@kali: # tshark -Y 'http' > volcado.txt

imagen de ejemplo con una captura de imagenes jpg y el rediccionamiento del resultado con ">"  

  Después podemos leer el archivo con el programa VI:

Primeras cuatro líneas al acceder a una web html con imágenes

Alternativamente se pueden guardar y leer los paquetes sólo usando Tshark:

Capturar paquetes con Tshark:

tshark -i wlan0 -w captura-output.pcap

Leer los Pcap con Tshark:

tshark -r captura-output.pcap

Leer sólo HTTP:

tshark -r captura-output.pcap tcp.port == 80

Leer sólo resoluciones DNS:

tshark -r captura-output.pcap tcp.port eq 53 or dns

Aplicando filtro de lectura entre dos IP, puerto y envio de datos por formulario:

tshark -r captura-output.pcap http.request.method=="POST"

Ver todo el contenido de datos de la conversación previamente capturada:

less captura-output.pcap

+ INFO: https://hackertarget.com/tshark-tutorial-and-filter-examples/