tcpdump介紹

　　tcpdump 是一款強(qiáng)大的網(wǎng)絡(luò)抓包工具，運(yùn)行在 linux 平臺(tái)上。熟悉 tcpdump 的使用能夠幫助你分析、調(diào)試網(wǎng)絡(luò)數(shù)據(jù)。

　　tcpdump語(yǔ)法

　　tcpdump參數(shù)

　　-a 將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字;

　　-d 將匹配信息包的代碼以人們能夠理解的匯編格式給出;

　　-dd 將匹配信息包的代碼以c語(yǔ)言程序段的格式給出;

　　-ddd 將匹配信息包的代碼以十進(jìn)制的形式給出;

　　-e 在輸出行打印出數(shù)據(jù)鏈路層的頭部信息，包括源mac和目的mac，以及網(wǎng)絡(luò)層的協(xié)議;

　　-f 將外部的Internet地址以數(shù)字的形式打印出來(lái);

　　-l 使標(biāo)準(zhǔn)輸出變?yōu)榫彌_行形式;

　　-n 指定將每個(gè)監(jiān)聽(tīng)到數(shù)據(jù)包中的域名轉(zhuǎn)換成IP地址后顯示，不把網(wǎng)絡(luò)地址轉(zhuǎn)換成名字;

　　-nn： 指定將每個(gè)監(jiān)聽(tīng)到的數(shù)據(jù)包中的域名轉(zhuǎn)換成IP、端口從應(yīng)用名稱(chēng)轉(zhuǎn)換成端口號(hào)后顯示

　　-t 在輸出的每一行不打印時(shí)間戳;

　　-v 輸出一個(gè)稍微詳細(xì)的信息，例如在ip包中可以包括ttl和服務(wù)類(lèi)型的信息;

　　-vv 輸出詳細(xì)的報(bào)文信息;

　　-c 在收到指定的包的數(shù)目后，tcpdump就會(huì)停止;

　　-F 從指定的文件中讀取表達(dá)式,忽略其它的表達(dá)式;

　　-i 指定監(jiān)聽(tīng)的網(wǎng)絡(luò)接口;

　　-p： 將網(wǎng)卡設(shè)置為非混雜模式，不能與host或broadcast一起使用

　　-r 從指定的文件中讀取包(這些包一般通過(guò)-w選項(xiàng)產(chǎn)生);

　　-w 直接將包寫(xiě)入文件中，并不分析和打印出來(lái);

　　-s snaplen snaplen表示從一個(gè)包中截取的字節(jié)數(shù)。0表示包不截?cái)啵ネ暾臄?shù)據(jù)包。默認(rèn)的話 tcpdump 只顯示部分?jǐn)?shù)據(jù)包,默認(rèn)68字節(jié)。

　　-T 將監(jiān)聽(tīng)到的包直接解釋為指定的類(lèi)型的報(bào)文，常見(jiàn)的類(lèi)型有rpc (遠(yuǎn)程過(guò)程調(diào)用)和snmp(簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議;)

　　-X 告訴tcpdump命令，需要把協(xié)議頭和包內(nèi)容都原原本本的顯示出來(lái)(tcpdump會(huì)以16進(jìn)制和ASCII的形式顯示)，這在進(jìn)行協(xié)議分析時(shí)是絕對(duì)的利器。

　　監(jiān)聽(tīng)所有端口，直接顯示 ip 地址

　　> tcpdump -nS

　　顯示更詳細(xì)的數(shù)據(jù)報(bào)文，包括 tos, ttl, checksum 等。

　　> tcpdump -nnvvS

　　顯示數(shù)據(jù)報(bào)的全部數(shù)據(jù)信息，用 hex 和 ascii 兩列對(duì)比輸出。

　　> tcpdump -nnvvXS

　　host: 過(guò)濾某個(gè)主機(jī)的數(shù)據(jù)報(bào)文

　　> tcpdump host 1.2.3.4

　　src, dst: 過(guò)濾源地址和目的地址

　　net: 過(guò)濾某個(gè)網(wǎng)段的數(shù)據(jù)

　　> tcpdump net 1.2.3.0/24

　　過(guò)濾某個(gè)協(xié)議的數(shù)據(jù)，支持 tcp, udp 和 icmp

　　> tcpdump icmp

　　過(guò)濾通過(guò)某個(gè)端口的數(shù)據(jù)報(bào)

　　> tcpdump port 3306

　　src/dst, port, protocol: 結(jié)合三者

　　抓取指定范圍的端口

　　> tcpdump portrange 21-23

　　通過(guò)報(bào)文大小過(guò)濾請(qǐng)求,數(shù)據(jù)報(bào)大小，單位是字節(jié)

　　抓包輸出到文件

　　> tcpdump -w rumenz.pcap port 80

　　從文件讀取報(bào)文顯示到屏幕

　　> tcpdump -nXr rumenz.pcap host web

　　源地址是 192.168.1.110，目的端口是3306的數(shù)據(jù)報(bào)

　　> tcpdump -nnvS src 192.168.1.110 and dst port 3306

　　從 192.168 網(wǎng)段到 10 或者 172.31 網(wǎng)段的數(shù)據(jù)報(bào)

　　> tcpdump -nvX src net 192.168.0.0/16 and dat net 10.0.0.0/8 or 172.31.0.0/16

　　tcpdump 的輸出解讀

　　最基本也是最重要的信息就是數(shù)據(jù)報(bào)的源地址/端口和目的地址/端口，上面的例子第一條數(shù)據(jù)報(bào)中，源地址 ip 是192.168.1.110，源端口是 40411，目的地址是 192.168.1.123，目的端口是 80。> 符號(hào)代表數(shù)據(jù)的方向。

　　上面的三條數(shù)據(jù)還是 tcp 協(xié)議的三次握手過(guò)程,第一條就是 SYN 報(bào)文，這個(gè)可以通過(guò) Flags [S] 看出。下面是常見(jiàn)的 TCP 報(bào)文的 Flags:

　　[S]：SYN(開(kāi)始連接)

　　[.]: 沒(méi)有 Flag

　　[F]: FIN (結(jié)束連接)

　　而第二條數(shù)據(jù)的 [S.] 表示 SYN-ACK，就是 SYN 報(bào)文的應(yīng)答報(bào)文。