tcpdump介紹

　　tcpdump 是一款強大的網(wǎng)絡(luò)抓包工具，運行在 linux 平臺上。熟悉 tcpdump 的使用能夠幫助你分析、調(diào)試網(wǎng)絡(luò)數(shù)據(jù)。

　　tcpdump語法

　　tcpdump參數(shù)

　　-a 將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字;

　　-d 將匹配信息包的代碼以人們能夠理解的匯編格式給出;

　　-dd 將匹配信息包的代碼以c語言程序段的格式給出;

　　-ddd 將匹配信息包的代碼以十進制的形式給出;

　　-e 在輸出行打印出數(shù)據(jù)鏈路層的頭部信息，包括源mac和目的mac，以及網(wǎng)絡(luò)層的協(xié)議;

　　-f 將外部的Internet地址以數(shù)字的形式打印出來;

　　-l 使標準輸出變?yōu)榫彌_行形式;

　　-n 指定將每個監(jiān)聽到數(shù)據(jù)包中的域名轉(zhuǎn)換成IP地址后顯示，不把網(wǎng)絡(luò)地址轉(zhuǎn)換成名字;

　　-nn： 指定將每個監(jiān)聽到的數(shù)據(jù)包中的域名轉(zhuǎn)換成IP、端口從應用名稱轉(zhuǎn)換成端口號后顯示

　　-t 在輸出的每一行不打印時間戳;

　　-v 輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息;

　　-vv 輸出詳細的報文信息;

　　-c 在收到指定的包的數(shù)目后，tcpdump就會停止;

　　-F 從指定的文件中讀取表達式,忽略其它的表達式;

　　-i 指定監(jiān)聽的網(wǎng)絡(luò)接口;

　　-p： 將網(wǎng)卡設(shè)置為非混雜模式，不能與host或broadcast一起使用

　　-r 從指定的文件中讀取包(這些包一般通過-w選項產(chǎn)生);

　　-w 直接將包寫入文件中，并不分析和打印出來;

　　-s snaplen snaplen表示從一個包中截取的字節(jié)數(shù)。0表示包不截斷，抓完整的數(shù)據(jù)包。默認的話 tcpdump 只顯示部分數(shù)據(jù)包,默認68字節(jié)。

　　-T 將監(jiān)聽到的包直接解釋為指定的類型的報文，常見的類型有rpc (遠程過程調(diào)用)和snmp(簡單網(wǎng)絡(luò)管理協(xié)議;)

　　-X 告訴tcpdump命令，需要把協(xié)議頭和包內(nèi)容都原原本本的顯示出來(tcpdump會以16進制和ASCII的形式顯示)，這在進行協(xié)議分析時是絕對的利器。

　　監(jiān)聽所有端口，直接顯示 ip 地址

　　> tcpdump -nS

　　顯示更詳細的數(shù)據(jù)報文，包括 tos, ttl, checksum 等。

　　> tcpdump -nnvvS

　　顯示數(shù)據(jù)報的全部數(shù)據(jù)信息，用 hex 和 ascii 兩列對比輸出。

　　> tcpdump -nnvvXS

　　host: 過濾某個主機的數(shù)據(jù)報文

　　> tcpdump host 1.2.3.4

　　src, dst: 過濾源地址和目的地址

　　net: 過濾某個網(wǎng)段的數(shù)據(jù)

　　> tcpdump net 1.2.3.0/24

　　過濾某個協(xié)議的數(shù)據(jù)，支持 tcp, udp 和 icmp

　　> tcpdump icmp

　　過濾通過某個端口的數(shù)據(jù)報

　　> tcpdump port 3306

　　src/dst, port, protocol: 結(jié)合三者

　　抓取指定范圍的端口

　　> tcpdump portrange 21-23

　　通過報文大小過濾請求,數(shù)據(jù)報大小，單位是字節(jié)

　　抓包輸出到文件

　　> tcpdump -w rumenz.pcap port 80

　　從文件讀取報文顯示到屏幕

　　> tcpdump -nXr rumenz.pcap host web

　　源地址是 192.168.1.110，目的端口是3306的數(shù)據(jù)報

　　> tcpdump -nnvS src 192.168.1.110 and dst port 3306

　　從 192.168 網(wǎng)段到 10 或者 172.31 網(wǎng)段的數(shù)據(jù)報

　　> tcpdump -nvX src net 192.168.0.0/16 and dat net 10.0.0.0/8 or 172.31.0.0/16

　　tcpdump 的輸出解讀

　　最基本也是最重要的信息就是數(shù)據(jù)報的源地址/端口和目的地址/端口，上面的例子第一條數(shù)據(jù)報中，源地址 ip 是192.168.1.110，源端口是 40411，目的地址是 192.168.1.123，目的端口是 80。> 符號代表數(shù)據(jù)的方向。

　　上面的三條數(shù)據(jù)還是 tcp 協(xié)議的三次握手過程,第一條就是 SYN 報文，這個可以通過 Flags [S] 看出。下面是常見的 TCP 報文的 Flags:

　　[S]：SYN(開始連接)

　　[.]: 沒有 Flag

　　[F]: FIN (結(jié)束連接)

　　而第二條數(shù)據(jù)的 [S.] 表示 SYN-ACK，就是 SYN 報文的應答報文。