使用tcpdump和wireshark分析tcp流

Posted 一口Linux

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了使用tcpdump和wireshark分析tcp流相关的知识,希望对你有一定的参考价值。

使用tcpdump和wireshark分析tcp流

使用tcpdump和wireshark分析tcp流

Tcpdump抓包

tcpdump -w packets.pcap -n -i eth0 tcp port 60 and dst host 10.22.47.66
  • -i: 指定网络接口
  • -n: 不做域名解析,使用ip
  • -w: 抓包存储为可供wireshark解析的pcap格式
  • tcp port 60 and dst host 10.22.47.66: 条件表达式

Tcpdump条件式

条件表达式语法可以参考: man pcap-filter,下面是一些常见的例子:

只抓udp的包:

tcpdump -i eth0 'udp'

只想查看源机器和目的机器的包:

tcpdump -i eth0 'dst 8.8.8.8'

只想查看目标机器端口是53或80的包:

tcpdump -i eth0 'dst port 53 or dst port 80'

抓到那些通过eth0网卡的,且来源是roclinux.cn服务器或者目标是roclinux.cn服务器的网络包:

tcpdump -i eth0 'host roclinux.cn'

抓通过eth0网卡的,且roclinux.cn和baidu.com之间通讯的网络包,或者,roclinux.cn和qiyi.com之间通讯的网络包:

tcpdump -i eth0 'host roclinux.cn and (baidu.com or qiyi.com)'

获取使用ftp端口和ftp数据端口的网络包:

tcpdump 'port ftp or ftp-data'

获取roclinux.cn和baidu.com之间建立TCP三次握手中第一个网络包,即带有SYN标记位的网络包,另外,目的主机不能是 qiyi.com:

tcpdump 'tcp[tcpflags] & tcp-syn != 0 and not dst host qiyi.com'

打印IP包长超过576字节的网络包:

tcpdump 'ip[2:2] > 576'

proto [ expr : size],只要掌握了这个语法格式,就能看懂上面的三个稀奇古怪的表达式了。

proto就是protocol的缩写,表示这里要指定的是某种协议的名称,比如ip、tcp、ether。其实proto这个位置,总共可以指定的协议类型有15个之多,包括:

  • ether – 链路层协议
  • fddi – 链路层协议
  • tr – 链路层协议
  • wlan – 链路层协议
  • ppp – 链路层协议
  • slip – 链路层协议
  • link – 链路层协议
  • ip
  • arp
  • rarp
  • tcp
  • udp
  • icmp
  • ip6
  • radio

expr用来指定数据报偏移量,表示从某个协议的数据报的第多少位开始提取内容,默认的起始位置是0;而size表示从偏移量的位置开始提取多少个字节,可以设置为1、2、4。 如果只设置了expr,而没有设置size,则默认提取1个字节。比如ip[2:2],就表示提取出第3、4个字节;而ip[0]则表示提取ip协议头的第一个字节。

在我们提取了特定内容之后,我们就需要设置我们的过滤条件了,我们可用的“比较操作符”包括:>,<,>=,<=,=,!=,总共有6个。

ip[0] & 0xf != 5

IP协议的第0-4位,表示IP版本号,可以是IPv4(值为0100)或者IPv6(0110);第5-8位表示首部长度,单位是“4字节”,如果首部长度为默认的20字节的话,此值应为5。

安装Mac版Wireshark

Wireshark支持多种OS,包括Windows, Mac和Linux,我在这里是使用的Mac版本。

$ brew search wireshark
==> Formulae
wireshark

==> Casks
wireshark  wireshark-chmodbpf

$ brew cask install wireshark

Wireshark分析指定的tcp流

在过滤条件中填写tcp.flags.syn==1,或者tcp.flags.fin==1, 找到tcp连接的首包或者尾包,这样的tcp流会相对比较完整;

使用tcpdump和wireshark分析tcp流

 

在找到的包上点右键,选择Follow=>TCP Stream, 找到这条完整的tcp流:

使用tcpdump和wireshark分析tcp流

 

以上是关于使用tcpdump和wireshark分析tcp流的主要内容,如果未能解决你的问题,请参考以下文章

如何分析wireshark追踪tcp流中的信息

kali linux之wireshark/tcpdump

Linux抓包(wireshark+tcpdump)

聊聊tcpdump与Wireshark抓包分析

iOS小技能:截获分析网络数据包( tcpdump Wireshark的原理和基本使用 使用Charles联调测试)

iOS小技能:截获分析网络数据包( tcpdump Wireshark的原理和基本使用 使用Charles联调测试)