运维linux中tcpdump抓取ftp密码

步骤：

1.登陆ftp服务器，执行命令：

tcpdump -i wlan0 -w password.bin -c 500 port 21

2.有人登陆后，执行：

tcpdump -v -XX -r password.bin > password.ascii

其中，-i选择监听的网络界面，

-w将数据包写入文件中，（write the raw packet to file）,即将原始数据写入文件，不进行解析

-v 产生详细的输出 eg. ttl id length ，当与-w配合使用时，每10秒钟报告一次捕获的包的数量

-vv 产生更详细的输出

-vvv

-c指定接收的数据包数量

-X 以hex和ascii格式显示data内容

-XX以hex和ascii格式显示data内容，同时还包含了链路层的头部信息

-r读取tcpdump文件，与-w配合使用

在password.ascii文件中查到如下内容：

::48.376923 IP (tos 0x10, ttl , id , offset , flags [DF], proto TCP (), length )
      localhost. > localhost.ftp: Flags [P.], cksum 0xfe32 (incorrect -> 0xd1cd), seq :, ack , win , options [nop,nop,TS val  ecr ], length
      0x0000:   003e 0f6d   2d3b 7f00   E..>.m@.@.-;....
      0x0010:  7f00  8a47   6c16 cce2 a393  .....G..7Ul.....
      0x0020:    fe32   080a  670d  ............Dg.
      0x0030:        0d0a       .Dc.USER.ftp..
 
  ::49.505547 IP (tos 0x10, ttl , id , offset , flags [DF], proto TCP (), length )
      localhost. > localhost.ftp: Flags [P.], cksum 0xfe32 (incorrect -> 0xc40b), seq :, ack , win , options [nop,nop,TS val  ecr ], length
      0x0000:   003e 0f6f   2d39 7f00   E..>.o@.@.-....
      0x0010:  7f00  8a47   6c20 cce2 a3b5  .....G..7Ul.....
      0x0020:    fe32   080a    ............Dh'
     0x0030:   670d     0d0a       .Dg.PASS.ftp..
可以得到用户名是ftp，密码是ftp