请选择 进入手机版 | 继续访问电脑版

[LINUX] Linux体系 中网络数据存储工具下令 TcpDump的使用 教程

[复制链接]
查看62 | 回复5 | 2021-9-4 22:36:38 | 显示全部楼层 |阅读模式

Linux中强盛 的网络数据采集分析工具——TcpDump
tcpdump采用下令 行方式,它的下令 格式为:
tcpdump [ -adeflnNOpqStvx ] [ -c 数目 ] [ -F 文件名 ]
[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
[ -T 范例 ] [ -w 文件名 ] [表达式 ]

1. tcpdump的选项先容
-a    将网络地址和广播地址变化 成名字;
-d    将匹配信息包的代码以人们可以或许 明白 的汇编格式给出;
-dd    将匹配信息包的代码以c语言程序段的格式给出;
-ddd    将匹配信息包的代码以十进制的情势 给出;
-e    在输出行打印出数据链路层的头部信息;
-f    将外部的Internet地址以数字的情势 打印出来;
-l    使标准输出变为缓冲行情势 ;
-n    不把网络地址转换成名字;
-t    在输出的每一行不打印时间戳;
-v    输出一个轻微 具体 的信息,比方 在ip包中可以包括ttl和服务范例 的信息;
-vv    输出具体 的报文信息;
-c    在收到指定的包的数目 后,tcpdump就会制止 ;
-F    从指定的文件中读取表达式,忽略别的 的表达式;
-i    指定监听的网络接口;
-r    从指定的文件中读取包(这些包一样平常 通过-w选项产生);
-w    直接将包写入文件中,并不分析和打印出来;
-T    将监听到的包直接表明 为指定的范例 的报文,常见的范例 有rpc (长途 过程
调用)和snmp(简单       网络管理协议;)

2. tcpdump的表达式先容
表达式是一个正则表达式,tcpdump利用 它作为过滤报文的条件,假如 一个报文满足 表
达式的条件,则这个报文将会被捕获。假如 没有给出任何条件,则网络上全部 的信息包将会
被截获。
在表达式中一样平常 如下几种范例 的关键字,一种是关于范例 的关键字,重要 包括host,
net,port, 比方 host 210.27.48.2,指明 210.27.48.2是一台主机,net 202.0.0.0 指明
202.0.0.0是一个网络地址,port 23 指明端标语 是23。假如 没有指定范例 ,缺省的范例 是
host.
第二种是确定传输方向的关键字,重要 包括src , dst ,dst or src, dst and src ,
这些关键字指明白 传输的方向。举例阐明 ,src 210.27.48.2 ,指明ip包中源地址是210.27.
48.2 , dst net 202.0.0.0 指明目的 网络地址是202.0.0.0 。假如 没有指明方向关键字,则
缺省是src or dst关键字。
第三种是协议的关键字,重要 包括fddi,ip ,arp,rarp,tcp,udp等范例 。Fddi指明是在
FDDI(分布式光纤数据接口网络)上的特定的网络协议,实际 上它是"ether"的别名,fddi和e
ther具有类似 的源地址和目的 地址,以是 可以将fddi协议包当作ether的包举行 处理和分析。
其他的几个关键字就是指明白 监听的包的协议内容。假如 没有指定任何协议,则tcpdump将会
监听全部 协议的信息包。
除了这三种范例 的关键字之外,其他告急 的关键字如下:gateway, broadcast,less,
greater,还有三种逻辑运算,取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
r' ,'||';
这些关键字可以组合起来构成强盛 的组合条件来满足 人们的必要 ,下面举几个例子来
阐明 。
(1)想要截获全部 210.27.48.1 的主机收到的和发出的全部 的数据包:

复制代码代码如下:#tcpdump host 210.27.48.1
(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通讯 ,利用 下令
:(在下令 行中实用    括号时,肯定 要

复制代码代码如下:#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)

(3) 假如 想要获取主机210.27.48.1除了和主机210.27.48.2之外全部 主机通讯 的ip包
,利用 下令 :

复制代码代码如下:#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
(4)假如 想要获取主机210.27.48.1吸取 或发出的telnet包,利用 如下下令 :

复制代码代码如下:#tcpdump tcp port 23 host 210.27.48.1

3. tcpdump 的输出结果 先容
下面我们先容 几种典型的tcpdump下令 的输出信息
(1) 数据链路层头信息
利用 下令 #tcpdump --e host ice
ice 是一台装有linux的主机,她的MAC地址是0:90:27:58:AF:1A
H219是一台装有SOLARIC的SUN工作站,它的MAC地址是8:0:20:79:5B:46;上一条
下令 的输出结果 如下所示:
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
telne
t 0:0(0) ack 22535 win 8760 (DF)
分析:21:50:12是表现 的时间, 847509是ID号,eth0 <表示从网络接口eth0 担当 该
数据包,eth0 >表示从网络接口装备 发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它
表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
目的 地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
表明对序列号是222535的包举行 相应 . win 8760表明发送窗口的大小是8760.
(2) ARP包的TCPDUMP输出信息
利用 下令 #tcpdump arp
得到的输出结果 是:
22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
:1a)
分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是
ARP哀求 包, who-has route tell ice表明是主机ICE哀求 主机ROUTE的MAC地址。 0:90:27:5
8:af:1a是主机ICE的MAC地址。
(3) TCP包的输出信息
用TCPDUMP捕获的TCP包的一样平常 输出信息是:
src > dst: flags data-seqno ack window urgent options
src > dst:表明从源地址到目的 地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的次序 号, ack是
下次盼望 的次序 号, window是吸取 缓存的窗口大小, urgent表明数据包中是否有告急 指针.
Options是选项.
(4) UDP包的输出信息
用TCPDUMP捕获的UDP包的一样平常 输出信息是:
route.port1 > ice.port2: udp lenth
UDP非常 简单,上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
ICE的port2端口,范例 是UDP, 包的长度是lenth

4.实例

复制代码代码如下:
[root@www ~]# tcpdump -i eth1 #监视指定网络接口的数据包


复制代码代码如下:
[root@www ~]# tcpdump host webserver #打印全部 进入或离开 webserver的数据包.


复制代码代码如下:
[root@www ~]# tcpdump host 210.27.48.1 #也可以指定ip,比方 截获全部 210.27.48.1 的主机收到的和发出的全部 的数据包


复制代码代码如下:
[root@www ~]# tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) #截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通讯


复制代码代码如下:
[root@www ~]# tcpdump ip host 210.27.48.1 and ! 210.27.48.2 #获取主机210.27.48.1除了和主机210.27.48.2之外全部 主机通讯 的ip包


复制代码代码如下:
[root@www ~]# tcpdump -i eth0 src host webserver #截获主机webserver发送的全部 数据


复制代码代码如下:
[root@www ~]# tcpdump -i eth0 dst host webserver #监视全部 送到主机webserver的数据包


复制代码代码如下:
[root@www ~]# tcpdump tcp port 23 host 210.27.48.1 #获取主机210.27.48.1吸取 或发出的telnet包


复制代码代码如下:
[root@www ~]# tcpdump udp port 123 #对本机的udp 123 端口举行 监视 123 为ntp的服务端口


复制代码代码如下:
[root@www ~]# tcpdump net ucb-ether #打印本地主机与Berkeley网络上的主机之间的全部 通讯 数据包(nt: ucb-ether, 此处可明白 为'Berkeley网络'的网络地址,此表达式最原始的含义可表达为: 打印网络地址为ucb-ether的全部 数据包)


复制代码代码如下:
[root@www ~]# tcpdump 'gateway snup and (port ftp or ftp-data)' #打印全部 通过网关snup的ftp数据包(注意 , 表达式被单引号括起来了, 这可以防止shell对此中 的括号举行 错误剖析 )


复制代码代码如下:
[root@www ~]# tcpdump ip and not net localnet #打印全部 源地址或目的 地址是本地主机的IP数据包


复制代码代码如下:
[root@www ~]# tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet' #打印TCP会话中的的开始和竣事 数据包, 并且数据包的源或目的 不是本地网络上的主机.(nt: localnet, 实际 利用 时要真正更换 成本地网络的名字))


复制代码代码如下:
[root@www ~]# tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2 -="" tcp="" 12="" 0xf0="">>2)) != 0)' #打印全部 源或目的 端口是80, 网络层协议为IPv4, 并且含有数据,而不是SYN,FIN以及ACK-only等不含数据的数据包


复制代码代码如下:
[root@www ~]# tcpdump 'gateway snup and ip[2:2] > 576' #打印长度超过576字节, 并且网关地址是snup的IP数据包


复制代码代码如下:
[root@www ~]# tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224' #打印全部 IP层广播或多播的数据包, 但不是物理以太网层的广播或多播数据报


复制代码代码如下:
[root@www ~]# tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply' #打印除'echo request'或者'echo reply'范例 以外的ICMP数据包


复制代码代码如下:
[root@www ~]# tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

#(1)tcp: ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置,用来过滤数据报的范例
#(2)-i eth1 : 只抓颠末 接口eth1的包
#(3)-t : 不表现 时间戳
#(4)-s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完备 的数据包
#(5)-c 100 : 只抓取100个数据包
#(6)dst port ! 22 : 不抓取目的 端口是22的数据包
#(7)src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24
#(8)-w ./target.cap : 保存成cap文件,方便用ethereal(即wireshark)分析

复制代码代码如下:
[root@www ~]# tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 #利用 tcpdump抓取HTTP包


免责声明:如果侵犯了您的权益,请联系站长,我们会及时删除侵权内容,谢谢合作!
回复

使用道具 举报

avatar 狭缝求生室 | 2021-9-19 07:30:12 | 显示全部楼层
坚持回帖!
回复

使用道具 举报

avatar 阿呜O | 2021-9-24 16:31:31 | 显示全部楼层
林子大了,什么鸟都有了啊!
回复

使用道具 举报

avatar 封号955 | 2021-10-2 22:48:00 | 显示全部楼层
admin楼主看起来很有学问!
回复

使用道具 举报

今天的心情很不错啊
回复

使用道具 举报

avatar xypkwg5156 | 昨天 15:09 | 显示全部楼层
关注一下!
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则