在 Linux 命令行中使用 tcpdump 命令分析网络数据

在 Linux 命令行中使用 tcpdump 命令分析网络数据

该文章作者是刘光录,TIAP

收录于合集#Linux143个

tcpdump 是分析网络和排查网络问题的一个很好用的工具,它通过抓取数据包,显示网络的实时情况,并将结果输出到标准输出(STDOUT)上,也可以存储在文件中。关于它的具体使用,它有很多可用的选项,本文我们介绍关于此命令常用的几个核心选项。

1,检查可用网口(interfaces)

查询所有可用的网口,使用 -D 选项:

sudo tcpdump -D

上述命令将会列出系统中所有可用的网络接口,包括有线和无线接口,使用 --list-interfaces 选项也可以达到相同的目的:

sudo tcpdump --list-interfaces

运行结果如下图所示:

图片

2,抓取某个网口的数据包

不适用任选项的情况下,tcpdump 将会扫描所有网口,使用 -i 选项可抓取某个特定网口的数据:

tcpdump -i <target-interface>

在上述命令中 <target-interface> 表示网口名称。假如我们要抓取网口 eth0 的数据,可使用如下命令:

sudo tcpdump -i eth0

注:为了方便演示,我们后文中将会使用 eth0 或者 eth1 作为目标网口。

3,预设抓包数量

使用 -c 选项可以预设抓包的数量。比如,下面命令将会抓取 4 个数据包:

sudo tcpdump -c 4 -i eth0

如果没有预设抓包数量,需要使用 ctrl+c 或者 ctrl+z 手动停止抓包操作。

4,获取详细输出

使用 -v 选项可以获取详细输出,如下命令:

sudo tcpdump -c 6 -v -i eth0

详情的输出,有个详细程度的区别,换句话说,可以使用更多的 -v 标志,比如 -vv 或者 -vvv,这将会在终端上产生更加详细的输出:

sudo tcpdump -vv -i eth0

5,以 ASCII 格式打印抓取到的数据有时候我们希望数据以 HEX 或者 ASCII 格式展现,这里可以使用 -A 选项来表示以 ASCII 格式,-XX 选项表示以 ASCII 和 HEX 格式展示数据:

sudo tcpdump -XX -i eth0

6,抓取从某个源 IP 发送的数据包

要抓取来自某个特定源 IP 的数据包,可使用如下命令:

sudo tcpdump -i eth0 src <source-ip-address>

比如,我们查看来自 IP 为 192.168.56.11 的数据:

sudo tcpdump -i eth1 -c 5 src 192.168.56.11

上面例子中的计数 5 为只抓取5个数据包。

7,抓取发送到特定目标 IP 的数据包

如果要检查发送到特定目标 IP 地址的流量,可使用以下命令:

sudo tcpdump -i eth0 dst <source-ip-address>

比如我们将目标 IP 设为 192.168.56.11,查看流量的详细信息:

sudo tcpdump -i eth1 -c 5 dst 192.168.56.11

8,在 tcpdump 中使用过滤选项

tcpdump 命令提供了一些过滤选项,以缩小抓包数据的范围,这样可以过滤掉一些不必要的数据,以便于分析数据。过滤方式包括主机地址、端口、协议或者其他过滤条件。下面我们来举例说明。

端口号

如果要执行端口号(比如端口22)过滤,可参照如下方式执行 tcpdump 命令:

sudo tcpdump -i eth0 port 22

此命令将抓取 TCP 和 UDP 数据流。

协议

与端口号类似,proto 指令根据特定流量过滤数据包捕获。在这里,你可以使用协议名称或协议编号作为参数值:

sudo tcpdump -i eth0 proto tcp

或者:

sudo tcpdump -i eth0 proto 6

上面两个命令是相同的,因为 6 是 TCP 的协议号。

主机过滤

host 参数使用特定主机的IP,筛选来自该主机的数据流:

sudo tcpdump -i eth0 host 192.168.56.10

这将捕获来自此主机的所有流量。此外,还可以对主机应用多个过滤条件,以针对特定类型的数据包流量。

比如:

sudo tcpdump -i eth1 -c 50 “(host 192.168.56.11) and (port 443 or port 80)"

上面例子中,我将多个过滤条件合并到一个规则中,过滤 http 和 https 数据流,这两个协议的端口分分别为 80 和 443。我们之前分享过一篇常见网络端口的文字,感兴趣的朋友可以参考:Linux中常见的网络端口号

9,保存抓取到的数据

如果要保存抓取到的数据,可参考如下命令:

sudo tcpdump -i eth0 -c 10 -w my_capture.pcap

这里需要注意的是,最好将要抓取的数据包预设一个最小的值,否则需要手动停止该进程。

10,读取抓取到的数据

我们可以使用 Wireshark(https://www.wireshark.org/)或者其他图形网络分析工具分析抓取到的数据(上个例子中保存到.pcap文件中的数据)。此外,也可以使用 tcpduimp 本身来读取:

tcpdump -r my_capture.pcap

posted @ 2022-12-04 14:08  老油条666  阅读(872)  评论(0编辑  收藏  举报