Linux tcpdump抓包详解程序员

使用 tcpdump进行抓包

注:需要提前安装tcpdump

基本使用:

命令:tcpdump                                                  #可以抓包,默认抓第一个网卡。 
 
命令:tcpdump –i eth1                                          #指定网卡。 
 
命令:tcpdump –nn                                              #将主机名列为数字。 
 
命令:tcpdump –nn –so                                          #列出所有完整的包。 
 
命令:tcpdump –nn tcp                                          #只抓TCP的包。 
 
命令:tcpdump –nn tcp host IP地址                            #只抓这个ip的包。 
 
命令:tcpdump –nn tcp host IP地址 and port 80             #指定监听端口。 
 
命令:tcpdump –nn tcp host IP地址 and port 80 –c 100 –w 1.cap   #指定个数写入二进制文件。 
 
命令:tcpdump –nn tcp host IP地址 and port 80 –c 100 > 2.cap    #指定个数写入文件。


Linux tcpdump抓包详解程序员

 

格式:

01:05:14.876525 IP 192.168.1.111.ssh > 192.168.1.150.51602: Flags [P.], seq 308912:309200, ack 129, win 725, length 288

 

解析:

01:05:14.876525      # 详细时间

IP 192.168.1.111.ssh   # 源IP地址.协议端口

>              # 到

192.168.1.150.51602   # 目标IP地址.协议端口

: Flags [P.], seq 308912:309200,  # 数据

ack 129,  # ack包 长度

win 725,  # 字节长度

length 288 # 数据商都

 

tcpdump的输出格式与协议有关,大部分常用的格式:

链路层头、TCP数据包、UDP数据包、SMB/CIFS解码、AFS请求和回应、KIP APPLETalk协议、IP数据包、时间戳

Linux tcpdump抓包详解程序员

-a:尝试将网络和广播地址转换成名称; 
-c<数据包数目>:收到指定的数据包数目后,就停止进行倾倒操作; 
-d:把编译过的数据包编码转换成可阅读的格式,并倾倒到标准输出; 
-dd:把编译过的数据包编码转换成C语言的格式,并倾倒到标准输出; 
-ddd:把编译过的数据包编码转换成十进制数字的格式,并倾倒到标准输出; 
-e:在每列倾倒资料上显示连接层级的文件头; 
-f:用数字显示网际网络地址; 
-F<表达文件>:指定内含表达方式的文件; 
-i<网络界面>:使用指定的网络截面送出数据包; 
-l:使用标准输出列的缓冲区; 
-n:不把主机的网络地址转换成名字; 
-N:不列出域名; 
-O:不将数据包编码最佳化; 
-p:不让网络界面进入混杂模式; 
-q :快速输出,仅列出少数的传输协议信息; 
-r<数据包文件>:从指定的文件读取数据包数据; 
-s<数据包大小>:设置每个数据包的大小; 
-S:用绝对而非相对数值列出TCP关联数; 
-t:在每列倾倒资料上不显示时间戳记; 
-tt: 在每列倾倒资料上显示未经格式化的时间戳记; 
-T<数据包类型>:强制将表达方式所指定的数据包转译成设置的数据包类型; 
-v:详细显示指令执行过程; 
-vv:更详细显示指令执行过程; 
-x:用十六进制字码列出数据包资料; 
-w<数据包文件>:把数据包数据写入指定的文件。

参数

Linux tcpdump抓包详解程序员

# 直接启动tcpdump将监视第一个网络接口上所有流过的数据包 
tcpdump 
 
# 监视指定网络接口的数据包 
tcpdump -i eth1 
 
打印所有进入或离开sundown的数据包。 
tcpdump host sundown 
 
# 也可以指定ip,例如截获所有210.27.48.1 的主机收到的和发出的所有的数据包 
tcpdump host 210.27.48.1 
 
# 打印helios 与 hot 或者与 ace 之间通信的数据包 
tcpdump host helios and /( hot or ace /) 
 
# 截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信 
tcpdump host 210.27.48.1 and / (210.27.48.2 or 210.27.48.3 /) 
 
# 打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包. 
tcpdump ip host ace and not helios 
 
# 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包,使用命令: 
tcpdump ip host 210.27.48.1 and ! 210.27.48.2 
 
#截获主机hostname发送的所有数据 
tcpdump -i eth0 src host hostname 
 
# 监视所有送到主机hostname的数据包 
tcpdump -i eth0 dst host hostname

监视指定主机的数据包

Linux tcpdump抓包详解程序员

# 如果想要获取主机210.27.48.1接收或发出的telnet包,使用如下命令 
tcpdump tcp port 23 host 210.27.48.1 
 
# 对本机的udp 123 端口进行监视 123 为ntp的服务端口 
tcpdump udp port 123

监视指定主机和端口的数据包

Linux tcpdump抓包详解程序员

# 打印本地主机与Berkeley网络上的主机之间的所有通信数据包 
tcpdump net ucb-ether 
注:ucb-ether此处可理解为“Berkeley网络”的网络地址,此表达式最原始的含义可表达为:打印网络地址为ucb-ether的所有数据包 
 
# 打印所有通过网关snup的ftp数据包 
tcpdump 'gateway snup and (port ftp or ftp-data)' 
注:表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析 
 
# 打印所有源地址或目标地址是本地主机的IP数据包 
tcpdump ip and not net localnet 
注:如果本地网络通过网关连到了另一网络,则另一网络并不能算作本地网络。

监视指定网络的数据包

 

原创文章,作者:奋斗,如若转载,请注明出处:https://blog.ytso.com/tech/aiops/6367.html

(0)
上一篇 2021年7月16日 23:23
下一篇 2021年7月16日 23:23

相关推荐

发表回复

登录后才能评论