zoukankan      html  css  js  c++  java
  • tcpdump简单使用

    tcpdump简单使用

    tcpdump简介:

    tcpdump,就是:dump the traffic on a
    network,根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

    tcpdump应用实例:

    tcpdump的参数:
    tcpdump [ -DenNqvX ] [ -c count ] [ -F file ] [ -i interface ] [ -r file ]
            [ -s snaplen ] [ -w file ] [ expression ]
    
    #抓包选项#:
    -c:指定要抓取的包数量。注意,是最终要获取这么多个包。例如,指定"-c 10"将获取10个包,但可能已经处理了100个包,只不过只有10个包是满足条件的包。
    -i interface:指定tcpdump需要监听的接口。若未指定该选项,将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口,要抓取loopback接口使用tcpdump -i lo),            :一旦找到第一个符合条件的接口,搜寻马上结束。可以使用'any'关键字表示所有网络接口。
    -n:对地址以数字方式显式,否则显式为主机名,也就是说-n选项不做主机名解析。
    -nn:除了-n的作用外,还把端口显示为数值,否则显示端口服务名。
    -N:不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'。
    -P:指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout",默认为"inout"。
    -s len:设置tcpdump的数据包抓取长度为len,如果不设置默认将会是65535字节。对于要抓取的数据包较大时,长度设置不够可能会产生包截断,若出现包截断,      :输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长,包的处理时间越长,并且会减少tcpdump可缓存的数据包的数量,      :从而会导致数据包的丢失,所以在能抓取我们想要的包的前提下,抓取长度越小越好。
    
    #输出选项#:
    -e:输出的每行中都将包括数据链路层头部信息,例如源MAC和目标MAC。
    -q:快速打印输出。即打印很少的协议相关信息,从而输出行都比较简短。
    -X:输出包的头部数据,会以16进制和ASCII两种方式同时输出。
    -XX:输出包的头部数据,会以16进制和ASCII两种方式同时输出,更详细。
    -v:当分析和打印的时候,产生详细的输出。
    -vv:产生比-v更详细的输出。
    -vvv:产生比-vv更详细的输出。
    
    #其他功能性选项#:
    -D:列出可用于抓包的接口。将会列出接口的数值编号和接口名,它们都可以用于"-i"后。
    -F:从文件中读取抓包的表达式。若使用该选项,则命令行中给定的其他表达式都将失效。
    -w:将抓包数据输出到文件中而不是标准输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
    -r:从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取。
    
    监视指定端口数据:
    tcpdump -i eth1 -nn #-i 指定端口 
    

    监视指定主机和端口的数据包

    如果想要获取主机123.57.121.12接收或发出的telnet包,使用如下命令

    tcpdump tcp port 23 and host 123.57.121.12 #port指定端口  host指定主机地址
    
    对本机的udp 123 端口进行监视 123 为ntp的服务端口
    tcpdump udp port 123  #注意要指定协议类型
    

    截获主机hostname发送的所有数据

    tcpdump src host hostname 
    
    监视所有发送到主机hostname的数据包
    tcpdump dst host hostname
    
    截获ping包
    tcpdump -i eth0 icmp -nn 
    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
    14:59:27.391086 IP 106.12.185.196 > 172.17.68.80: ICMP echo request, id 32218, seq 34, length 64
    14:59:27.391126 IP 172.17.68.80 > 106.12.185.196: ICMP echo reply, id 32218, seq 34, length 64
    14:59:28.392460 IP 106.12.185.196 > 172.17.68.80: ICMP echo request, id 32218, seq 35, length 64
    
    解析数据包
    [root@server2 ~]# tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 22 #需要用到XX参数
    tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
    12:15:54.788812 IP (tos 0x0, ttl 64, id 19303, offset 0, flags [DF], proto TCP (6), length 40)
        192.168.100.1.5788 > 192.168.100.62.22: tcp 0
            0x0000:  000c 2908 9234 0050 56c0 0008 0800 4500  ..)..4.PV.....E.
            0x0010:  0028 4b67 4000 4006 a5d8 c0a8 6401 c0a8  .(Kg@.@.....d...
            0x0020:  643e 169c 0016 2426 5fd6 1fec 2b62 5010  d>....$&_...+bP.
            0x0030:  0803 7844 0000 0000 0000 0000            ..xD........
    12:15:54.842641 IP (tos 0x0, ttl 64, id 19304, offset 0, flags [DF], proto TCP (6), length 40)
        192.168.100.1.5788 > 192.168.100.62.22: tcp 0
            0x0000:  000c 2908 9234 0050 56c0 0008 0800 4500  ..)..4.PV.....E.
            0x0010:  0028 4b68 4000 4006 a5d7 c0a8 6401 c0a8  .(Kh@.@.....d...
            0x0020:  643e 169c 0016 2426 5fd6 1fec 2d62 5010  d>....$&_...-bP.
            0x0030:  0801 7646 0000 0000 0000 0000            ..vF........
    2 packets captured
    2 packets received by filter
    0 packets dropped by kernel
    
    # tcpdump 对截获的数据并没有进行彻底解码,数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障,通常的解决办法是先使用-w 参数把数据抓取到的数据存为XXX.pcap文件,,然后再使用Wireshark进行解码分析。当然也应该定义过滤规则,以避免捕获的数据包填满整个硬盘。
    
  • 相关阅读:
    Matlab曲面拟合和插值
    插值(scipy.interpolate)
    坐标系旋转后的点坐标、坐标点旋转后的点坐标
    halcon相机标定及图像矫正
    别再问我们用什么画图的了!问就是excalidraw
    Windows下如何玩转火热的go-zero
    我用go-zero开发了第一个线上项目
    Java基础差,需要怎么补
    2019-给你六个建议
    简说Java线程的那几个启动方式
  • 原文地址:https://www.cnblogs.com/peng-zone/p/13219954.html
Copyright © 2011-2022 走看看