Windows 接收端

• 操作系统：Windows 7/10
• 软件下载：Wireshark、Nmap
• 必要程序：Wireshark.exe、ncat.exe
• IP 地址：192.168.18.102
• tcpdump 数据镜像执行指令：
  "C:\Program Files (x86)\Nmap\ncat.exe" -l -n -p 12345 | "C:\Program Files\Wireshark\Wireshark.exe" -n -s 0 -B 32 -k -i -
• iptables 数据镜像执行指令：
  "C:\Program Files\Wireshark\Wireshark.exe" -n -s 0 -B 32 -k -f "dst net 192.168.18.0/24"

OpenWrt 发送端

tcpdump 数据镜像，针对 OEM 定制路由器

• 导入 tcpdump 程序：
  curl -k -O https://archive.openwrt.org/chaos_calmer/15.05.1/ramips/mt7621/packages/base/libpcap_1.5.3-1_ramips_1004kc.ipk
curl -k -O https://archive.openwrt.org/chaos_calmer/15.05.1/ramips/mt7621/packages/base/tcpdump_4.5.1-4_ramips_1004kc.ipk
for ipk in $(find ./ -type f -name "*.ipk"); do tar zxvf ${ipk} && tar zxvf data.tar.gz; done
cp -R usr/ /
• OpenWrt 执行指令：
  tcpdump -i br-lan -s 0 -nn -n -B 32768 'dst host 192.168.18.183 and host !192.168.18.102' -U -w - | nc 192.168.18.102 12345
  注：需要手动指定 -i 参数值、对应系统网卡接口名称。

iptables 数据镜像，针对 OpenWrt 刷机路由器

• 安装 TEE 模块：
  opkg install kmod-ipt-tee
• 添加 iptables 规则：
  iptables -t mangle -I PREROUTING 1 -s 192.168.18.183/32 -j TEE --gateway 192.168.18.102
iptables -t mangle -I POSTROUTING 1 -d 192.168.18.183/32 -j TEE --gateway 192.168.18.102

Linux 发送端

tcpdump 数据镜像

• 安装软件包
  yum install tcpdump nmap-ncat
• Linux 执行指令：
  tcpdump -i ens33 -s 0 -nn -n -B 32768 'dst host 192.168.18.180 and host !192.168.18.102' -U -w - | nc 192.168.18.102 12345
  注：需要手动指定 -i 参数值、对应系统网卡接口名称。

iptables 数据镜像

• 检查 TEE 模块是否已加载：
  lsmod | grep xt_TEE
• 添加 iptables 规则：
  iptables -I INPUT 1 -d 192.168.18.180/32 -j TEE --gateway 192.168.18.102
iptables -I OUTPUT 1 -s 192.168.18.180/32 -j TEE --gateway 192.168.18.102
  注：非路由模式，仅镜像主机流量。

Windows 发送端

Windows 系统下数据镜像丢包明显，使用不同工具结果也会丢包。

tcpdump 数据镜像

• 软件下载：tcpdump、Nmap
• 查询网卡接口列表：
  tcpdump.exe -D
• Windows 执行指令：
  tcpdump.exe -i 1 -s 0 -nn -n -B 32768 "dst host 192.168.18.133 and host !192.168.18.102" -U -w - | "C:\Program Files (x86)\Nmap\ncat.exe" -n 192.168.18.102 12345

tshark 数据镜像

• 软件下载：Wireshark、Nmap
• 查询网卡接口列表：
  "C:\Program Files\Wireshark\tshark.exe" -D
• Windows 执行指令：
  "C:\Program Files\Wireshark\tshark.exe" -i 4 -n -s 0 -B 32 -f "dst host 192.168.18.133 and host !192.168.18.102" -w - | "C:\Program Files (x86)\Nmap\ncat.exe" -n 192.168.18.102 12345

数据导出

• 过滤条件中指定 dst, 视频文件会变成碎片但可以避免数据导出过程中由于 url 文件名过长报错"the path to the file doesn't exist",
• 其他实用工具：Netresec NetworkMiner、Colasoft Packet Player
• HTTP 协议数据内容可以直接导出
  

文件批量改名

• MSYS2 工具执行文件批量重命名：
  cd /f/media/ && rm -f $(find ./ -type f -size -10k); rename %2f . *; rename x-flv flv *