Tcpdump e P2P !!

As implementações mais recentes do tcpdump,
agora tem como possibilidade filtros com range de
portas e comprimento máximo do pacote.

Agora eu não preciso fazer milágres com shell script e awk :-)

Segue um exemplo:

[ricardo@ricardo(8:16am)] /tmp> tcpdump -nni fddi0 'udp src portrange
1024-65535 and dst portrange 1024-65535 and length <=64'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on fddi0, link-type FDDI (FDDI), capture size 96 bytes
08:47:07.223506 IP 201-35-218-44.bnut3702.dsl.brasiltelecom.net.br.50051 > 172.16.xxx.xxx.34391: UDP, length 13
08:47:07.500728 IP 201-35-218-44.bnut3702.dsl.brasiltelecom.net.br.50051 > 172.16.xxx.xxx.34391: UDP, length 13
08:47:07.676858 IP 201-35-218-44.bnut3702.dsl.brasiltelecom.net.br.50051 > 172.16.xxx.xxx.34391: UDP, length 13
08:47:07.839721 IP 201-35-218-44.bnut3702.dsl.brasiltelecom.net.br.50051 > 172.16.xxx.xxx.34391: UDP, length 13

Duvidas ?

08:48:02.613587 IP 201-35-218-44.bnut3702.dsl.brasiltelecom.net.br.50051 > 172.16.xxx.xxx.34391: UDP, length 13
0x0000: aaaa 0300 0000 0800 4500 0029 552b 0000 ........E..)U+..
0x0010: 7311 ffc7 c923 da2c ac10 a370 c383 8657 s....#.,...p...W
0x0020: 0015 89b4 4460 0001 0000 0000 0001 f500 ....D`..........
0x0030: 00

Agora so falta o snort !!