whois fragt die Registrierungsdaten einer Domain oder IP-Adresse ab: Inhaber (oft aus Datenschutzgründen gekürzt), Registrar, Erstellungs- und Ablaufdatum, Nameserver und Statuscodes. Das Protokoll (RFC 3912) spricht Klartext über Port 43; das Kommandozeilen-Werkzeug heißt ebenfalls whois.

Domain-Abfrage

whois hanse-computing.de    # .de-Abfrage (DENIC)
whois example.com           # generische TLD (.com/.org)
whois -h whois.verisign-grs.com example.com   # -h: bestimmten Server fragen

Die Ausgabe zeigt unter anderem Registrar, Creation Date, Expiry Date und die Nameserver. Personenbezogene Kontaktdaten sind seit der DSGVO meist redacted („Redacted for Privacy" oder „nicht verfügbar") — das ist kein Fehler der Abfrage.

IP-Adressen und AS-Nummern

whois 85.13.135.31          # zeigt die zustaendige RIR + Inhaber
whois -h whois.ripe.net 85.13.135.31   # gezielt bei RIPE nachfragen

IP-Blöcke verwaltet je Region eine RIR: RIPE (Europa/Nahost), ARIN (Nordamerika), APNIC (Asien-Pazifik), LACNIC (Lateinamerika), AFRINIC (Afrika). Das whois-Werkzeug ermittelt die zuständige Registry automatisch und leitet die Anfrage weiter.

Wer steckt dahinter?

Vor dem Kauf einer Domain oder vor einer Abuse-Meldung ist whois der erste Schritt: Wer gehört die Domain, wann läuft sie ab, welcher Registrar verwaltet sie? Der moderne Nachfolger RDAP liefert dieselben Daten strukturiert als JSON über HTTPS (RFC 7480–7484).

Gehört die IP zu einem Netz, dessen Erreichbarkeit schwankt, hilft mtr beim Lokalisieren; die DNS-Records der Domain prüft drill.

Verwandte Grundlagen: Domäne, IP-Adresse, mtr-Befehle, drill-Befehle.

drill ist das DNS-Lookup-Werkzeug aus der ldns-Bibliothek von NLnet Labs — eine Alternative zu dig, die speziell für DNSSEC entwickelt wurde (der Name ist ein Wortspiel auf dig). Es fragt beliebige Record-Typen ab und kann Signaturen direkt validieren.

Einfache Abfragen

drill example.com           # A-Record (Standard: Typ A)
drill example.com MX        # MX-Records
drill example.com @1.1.1.1  # @Server: gezielt einen Nameserver fragen
drill -x 8.8.8.8            # Reverse-Lookup (PTR)

Syntax: drill Name [@Server] [Typ] [Klasse]. Ohne Typ wird A angefragt, als Server dienen die in /etc/resolv.conf konfigurierten Resolver.

DNSSEC prüfen

drill -D example.com        # -D: DNSSEC-Ok-Flag setzen (zeigt RRSIG an)
drill -S example.com        # -S: Signaturkette von der Root-Zone validieren

Mit -S verfolgt drill die DNSSEC-Kette von der Root bis zur Domain und bestätigt, ob die Antworten authentisch sind. Damit eignet sich drill hervorragend, um DNSSEC-Konfigurationsfehler zu finden, die zu SERVFAIL führen.

Weitere Optionen

• -T: Abfrage über TCP statt UDP erzwingen (bei großen Antworten)
• -t: Timeout setzen
• -y: TSIG-Signatur für Zonentransfers
• -V: Versionsnummer anzeigen

Installation: Paket ldnsutils (Debian/Ubuntu), ldns (FreeBSD); Unbound-Lieferungen enthalten drill oft bereits.

Wer die Route zum Zielnetz analysieren will, nutzt mtr-Befehle; die Inhaber-Auskunft zur Domain liefert whois.

Verwandte Grundlagen: DNS-Query, DNS-Resolver, mtr-Befehle, whois-Befehle.

tshark ist die Kommandozeilen-Version von Wireshark. Es nutzt dieselben Protokoll-Dissectoren und Display-Filter wie die grafische Oberfläche, arbeitet aber ohne GUI — ideal für Server, Skripte und die Auswertung großer .pcap-Dateien. Wo tcpdump schnell und schlank mitschneidet, glänzt tshark beim tiefen Analysieren einzelner Protokolle und Felder.

Dateien lesen und filtern

tshark -r capture.pcap                 # Pakete aus Datei anzeigen
tshark -r capture.pcap -Y "http"       # Display-Filter: nur HTTP
tshark -r capture.pcap -Y "ip.src==10.0.2.15 and tcp.port==80"
tshark -r capture.pcap -c 100          # Nur die ersten 100 Pakete

Display-Filter nutzen die Wireshark-Syntax mit == und Feldnamen wie ip.src, tcp.port oder dns.qry.name. Sie werden mit -Y angegeben und wirken auf bereits erfasste Pakete.

Felder gezielt extrahieren

tshark -r capture.pcap -T fields -e ip.src -e ip.dst          # Nur IP-Paare
tshark -r capture.pcap -T fields -e frame.number -e _ws.col.Protocol
tshark -r capture.pcap -Y "dns" -T fields -e dns.qry.name -e dns.a
tshark -r capture.pcap -T fields -e tcp.flags.syn -e tcp.flags.ack

Mit -T fields und mehreren -e-Optionen lässt sich jede Protokoll-Ebene als CSV-ähnliche Liste ausgeben — perfekt für awk, sort oder weitere Verarbeitung in Skripten.

Statistiken und Live-Capture

tshark -r capture.pcap -z conv,tcp         # Top-Verbindungen (Conversations)
tshark -r capture.pcap -z io,phs            # Protokoll-Hierarchie
tshark -r capture.pcap -z http,tree         # HTTP-Statistik
sudo tshark -i eth0                         # Live mitschneiden
sudo tshark -i eth0 -w live.pcap            # Live und speichern

Praxis-Tipps

• Wireshark-Anschluss: Dieselben Filter und Dissectoren wie in der GUI — einmal gelernt, überall nutzbar. Die grafische Oberfläche zeigt Wireshark-Einstieg.
• Forensik: tshark eignet sich hervorragend, um gespeicherte Mitschnitte für Digital-forensik-Analysen auszuwerten.
• Kombination: Mit tcpdump-befehle aufnehmen, mit tshark auswerten — das Standard-Setup für Server ohne GUI. Aktive Verbindungstests übernimmt netcat-befehle.
• Kein Capture-Privileg: Zum Live-Mitschneiden sind wie bei tcpdump root-Rechte nötig; das Lesen von Dateien (-r) funktioniert ohne.

Verwandte Grundlagen: Port, IP-Adresse, TCP.

tcpdump ist der klassische Kommandozeilen-Paketanalysator für Linux und macOS. Er zeichnet Netzwerkverkehr direkt am Interface mit und filtert ihn nach Host, Port und Protokoll. Die gespeicherten .pcap-Dateien lassen sich später mit Wireshark, tshark oder erneut mit tcpdump auswerten.

Erste Schritte

sudo tcpdump -i eth0          # Alle Pakete auf eth0 anzeigen
sudo tcpdump -i any            # Alle Interfaces
sudo tcpdump -nn -i eth0       # Keine Namens- und Portauflösung (schneller, präziser)
sudo tcpdump -c 50 -i eth0     # Nach 50 Paketen automatisch stoppen

tcpdump braucht root-Rechte, weil es das Interface in den Promiscuous Mode versetzt. Ohne sudo meldet es meist „You don't have permission to perform this capture".

Wichtige Filter

sudo tcpdump -i eth0 host 192.168.1.10        # Verkehr einer IP
sudo tcpdump -i eth0 src 192.168.1.10          # Nur als Quelle
sudo tcpdump -i eth0 dst port 443              # Nur Ziel-Port 443
sudo tcpdump -i eth0 tcp port 22               # SSH-Verbindungen
sudo tcpdump -i eth0 udp port 53               # DNS-Abfragen
sudo tcpdump -i eth0 net 192.168.1.0/24        # Komplettes Subnetz
sudo tcpdump -i eth0 'tcp[tcpflags] & tcp-syn != 0'  # SYN-Pakete (raw-Filter)

Filter lassen sich mit and, or und not kombinieren — komplexe Ausdrücke gehören in einfache Anführungszeichen, damit die Shell sie nicht interpretiert.

In Dateien speichern und auswerten

sudo tcpdump -i eth0 -w capture.pcap           # In Datei schreiben
sudo tcpdump -i eth0 -w capture.pcap -C 100    # Rotation alle 100 MB
tcpdump -nn -r capture.pcap                     # Gespeicherte Datei lesen
tcpdump -nn -r capture.pcap 'tcp port 443'      # In der Datei filtern
tcpdump -nn -r capture.pcap -A                  # ASCII-Inhalt anzeigen (z. B. HTTP)

Ausgabe verstehen

14:32:05.123456 IP 192.168.1.10.54322 > 93.184.216.34.443: Flags [P.], seq 1:145, ack 1, win 501, length 144

Die Zeile nennt Zeitstempel, Quell- und Zieladresse mit Port, TCP-Flags (S = SYN, P = PUSH, F = FIN, R = RST), Sequenznummern und Paketlänge. Das hilft beim Erkennen von Verbindungsaufbau, Retransmissions oder gescannten Ports.

Praxis-Tipps

• Nur Metadaten bei HTTPS: Verschlüsselter Verkehr zeigt sich als IP- und Port-Paare, der Inhalt bleibt unsichtbar — wie beim verwandten tshark.
• Sicherheit: tcpdump ist das Werkzeug der Wahl für Sniffing-Analysen und Netzwerk-Forensik.
• Kombination mit netcat: Während netcat-befehle Verbindungen aktiv aufbaut oder testet, beobachtet tcpdump passiv den Datenverkehr.
• Wireshark-Anschluss: Die .pcap-Datei direkt in Wireshark öffnen, um Filter grafisch zu bauen.

Verwandte Grundlagen: TCP, Port, IP-Adresse.