tcpdump

tcpdump

 

tcpdump：监听网络流量

 

 

【功能说明】
tcpdump命令是一个截获网络数据包的包分析工具。tcpdump可以将网络中传送的数据包的“头”完全截获下来以提供分析。它支持针对网络层、协议、主机、端口等的过滤，并支持与、或、非逻辑语句协助过滤有效信息。

 

 

  1. tcpdump命令工作时要先把网卡的工作模式切换到混杂模式（promiscuous mode）。因为要修改网络接口的工作模式，所以tcpdump命令需要以root的身份运行。

【语法格式】

 

 

  1. tcpdump [option] [expression]

【选项介绍】

 

 

  1. -A 以ASCII格式打印出所有分组，并将链路层的头最小化。
  3. -c 在收到指定的数量的分组后，tcpdump就会停止。
  5. -C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。
  7. -d 将匹配信息包的代码以人们能够理解的汇编格式给出。
  9. -dd 将匹配信息包的代码以c语言程序段的格式给出。
  11. -ddd 将匹配信息包的代码以十进制的形式给出。
  13. -D 打印出系统中所有可以用tcpdump截包的网络接口。
  15. -e 在输出行打印出数据链路层的头部信息。
  17. -E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。
  19. -f 将外部的Internet地址以数字的形式打印出来。
  21. -F 从指定的文件中读取表达式，忽略命令行中给出的表达式。
  23. -i 指定监听的网络接口。
  25. -l 使标准输出变为缓冲行形式，可以把数据导出到文件。
  27. -L 列出网络接口的已知数据链路。
  29. -m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。
  31. -M 如果tcp报文中存在TCP-MD5选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。
  33. -b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。
  35. -n 不把网络地址转换成名字。
  37. -nn 不进行端口名称的转换。
  39. -N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。
  41. -t 在输出的每一行不打印时间戳。
  43. -O 不运行分组分组匹配（packet-matching）代码优化程序。
  45. -P 不将网络接口设置成混杂模式。
  47. -q 快速输出。只输出较少的协议信息。
  49. -r 从指定的文件中读取包(这些包一般通过-w选项产生)。
  51. -S 将tcp的序列号以绝对值形式输出，而不是相对值。
  53. -s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。
  55. -T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。
  57. -t 不在每一行中输出时间戳。
  59. -tt 在每一行中输出非格式化的时间戳。
  61. -ttt 输出本行和前面一行之间的时间差。
  63. -tttt 在每一行中输出由date处理的默认格式的时间戳。
  65. -u 输出未解码的NFS句柄。

tcpdump

 

 

监视指定网络接口的数据包

 

 

  1. tcpdump -i eth1
  2. 如果不指定网卡，默认tcpdump只会监视第一个网络接口，一般是eth0
  3. （使用tcpdump命令时，如果不输入过滤规则，则输出的数据量将会很大。）
  5. 精简输出信息
  6. tcpdump -q
  8. 指定监听数据包的数量
  9. tcpdump -c 5

[root@laozhang ~]# tcpdump -i eno16777736 -c 5

 

 

  1. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
  2. listening on eno16777736, link-type EN10MB (Ethernet), capture size 65535 bytes
  3. 10:11:53.600298 IP 192.168.163.130.ssh > 192.168.163.1.55769: Flags [P.], seq 614339930:614340118, ack 402191780, win 201, options [nop,nop,TS val 22889495 ecr 93942976], length 188
  4. 10:11:53.600562 IP 192.168.163.1.55769 > 192.168.163.130.ssh: Flags [.], ack 188, win 2045, options [nop,nop,TS val 93942987 ecr 22889495], length 0
  5. 10:11:54.603144 IP 192.168.163.130.ssh > 192.168.163.1.55769: Flags [P.], seq 188:552, ack 1, win 201, options [nop,nop,TS val 22890498 ecr 93942987], length 364
  6. 10:11:54.603395 IP 192.168.163.1.55769 > 192.168.163.130.ssh: Flags [.], ack 552, win 2042, options [nop,nop,TS val 93943987 ecr 22890498], length 0
  7. 10:11:55.604962 IP 192.168.163.130.ssh > 192.168.163.1.55769: Flags [P.], seq 552:900, ack 1, win 201, options [nop,nop,TS val 22891500 ecr 93943987], length 348
  8. 5 packets captured
  9. 6 packets received by filter
  10. 0 packets dropped by kernel

以下是命令结果说明

 

 

  1. ·10:11:53.600298：当前时间，精确到微秒
  2. ·IP 192.168.163.130.ssh > 192.168.163.1.55769：从主机192.168.163.130的SSH端口发送数据到192.168.163.1的55769端口
  3. “>”代表数据流向。
  4. ·Flags[P.]：TCP包中的标志信息，S是SYN标志的缩写，F（FIN）、P（PUSH）、R（RST）、"."（没有标记）。
  5. ·seq：数据包中的数据的顺序号。
  6. ·ack：下次期望的顺序号。
  7. ·win：接收缓存的窗口大小。
  8. ·length：数据包长度。

1.1、过滤主机

 

 

  1. 抓取所有经过eth1，目的或源地址是192.168.1.1的网络数据
  2. tcpdump -i eth1 host 192.168.1.1
  3. 指定源地址
  4. tcpdump -i eth1 src host 192.168.1.1
  5. 指定目的地址
  6. tcpdump -i eth1 dst host 192.168.1.1

1.2、过滤端口

 

 

  1. 抓取所有经过eth1，目的或源端口是25的网络数据
  2. tcpdump -i eth1 port 25
  3. 指定源端口
  4. tcpdump -i eth1 src port 25
  5. 指定目的端口
  6. tcpdump -i eth1 dst port 25

1.3、网络过滤

 

 

  1. tcpdump -i eth1 net 192.168
  2. tcpdump -i eth1 src net 192.168
  3. tcpdump -i eth1 dst net 192.168

1.4、协议过滤

 

 

  1. tcpdump -i eth1 arp
  2. tcpdump -i eth1 ip
  3. tcpdump -i eth1 tcp
  4. tcpdump -i eth1 udp
  5. tcpdump -i eth1 icmp

1.5、常用表达式

 

 

  1. 非 : ! or "not" (去掉双引号)
  2. 且 : && or "and"
  3. 或 : || or "or"
  4. 抓取所有经过eth1，目的地址是192.168.1.254或192.168.1.200端口是80的TCP数据
  5. tcpdump -i eth1 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'
  6. 抓取所有经过eth1，目标MAC地址是00:01:02:03:04:05的ICMP数据
  7. tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'
  8. 抓取所有经过eth1，目的网络是192.168，但目的主机不是192.168.1.200的TCP数据
  9. tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'

1）正常的TCP连接的三个阶段。
·TCP三次握手·数据传送·TCP四次断开
2）TCP连接图示。TCP连接的状态机制如图所示。
3）TCP的状态标识。

 

 

  1. ·SYN：（同步序列编号，Synchronize Sequence Numbers）该标志仅在三次握手建立TCP连接时有效。表示一个新的TCP连接请求。
  2. ·ACK：（确认编号，Acknowledgement Number）是对TCP请求的确认标志，同时提示对端系统已经成功接收了所有的数据。
  3. ·FIN：（结束标志，FINish）用来结束一个TCP回话。但对应端口仍然处于开放状态，准备接收后续数据。

图片

 

 

利用tcpdump抓包详解tcp/ip连接和断开过程的案例

 

 

图片

 

 

图片

posted @ 2021-03-16 10:23  zhangshan  阅读(17)  评论(0)  编辑  收藏  举报