tcpdump抓包工具

Posted gxlo

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了tcpdump抓包工具相关的知识，希望对你有一定的参考价值。

tcpdump抓包工具

一：TCPDump介绍

? TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。

二：日常使用

1.参数介绍

tcpdump

  • -i 指定网络接口
  • -c 指定要监控的包的数量
  • -w 将抓包结果以文件的形式存放
  • -a 　　　将网络地址和广播地址转变成名字；
  • -d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；
  • -dd 　　 将匹配信息包的代码以c语言程序段的格式给出；
  • -ddd 　　将匹配信息包的代码以十进制的形式给出；
  • -e 　　　在输出行打印出数据链路层的头部信息；
  • -f 　　　将外部的Internet地址以数字的形式打印出来；
  • -l 　　　使标准输出变为缓冲行形式；
  • -n 　　　不把网络地址转换成名字；
  • -t 　　　在输出的每一行不打印时间戳；
  • -v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
  • -vv 　　 输出详细的报文信息；
  • -F 　　　从指定的文件中读取表达式,忽略其它的表达式；
  • -r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；
  • -T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议；）

2.表达式介绍

? 表达式是一个正则表达式，tcpdump利用他过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果表达式为空，则会捕获所有所有的信息包

表达式类型：

  1. 类型关键字
    • host 192.168.30.10 指定一台主机（默认）
    • net 192.168.30.0 指定一个网络段
    • port 80 指定端口号
  2. 方向关键字
    • src 192.168.30.10 指定包中的源地址
    • dst 192.168.30.20 指定包中的目的地址
    • dst 192.168.30.20 or src 192.168.30.20 dst和src满足一个就获取
    • dst 192.168.30.20 and src 192.168.30.20 dst和src必须同时满足
  3. 协议关键字
    • fddi FDDI(分布式光纤数据接口网络)上的特定的网络协议
    • ip
    • arp
    • rarp
    • tcp
    • utp
  4. 其他不常用关键字还有gateway,broadcast,less,greater,还有三种逻辑运算，取非运算是 ‘not ‘ ‘! ‘,与运算是‘and‘,‘&&‘;或运算 是‘or‘,‘││‘；这些关键字可以组合起来构成强大的组合条件来满足人们的需要。

三.日常使用例子

  1. 抓取当前主机所有数据包，tcpdump默认在当前终端运行

    [[email protected] ~]# tcpdump 
tcpdump: WARNING: eth0: no IPv4 address assigned
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:03:25.585291 IP 172.20.10.2.hsrp > all-routers.mcast.net.hsrp: HSRPv0-hello 20: state=active group=10 addr=172.20.10.1
10:03:26.680044

  2. 抓取100个数据包，并且在指定的文件存放起来，默认tcpdump文件是不允许直接查看的

    [[email protected] ~]# tcpdump -c 100 -w tcpdump.out
tcpdump: WARNING: eth0: no IPv4 address assigned
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
100 packets captured     # 抓取100个包后，他就会自动停止
100 packets received by filter
0 packets dropped by kernel

  3. 读取-w参数导出的文件

    [[email protected] ~]# tcpdump -r 443_tcpdump.out 
reading from file 443_tcpdump.out, link-type EN10MB (Ethernet)
10:22:49.771433 IP 180.168.69.242.50838 > mweb07.https: Flags [.], seq 1094068907:1094068908, ack 4179967795, win 16537, length 1
10:22:49.771447 IP mweb07.https > 180.168.69.242.50838: Flags [R], seq 4179967795, win 0, length 0
10:22:51.525702 IP 180.168.69.242.50836 > mweb07.https: Flags [F.], seq 932060733, ack 2342938202, win 16344, length 0

  4. 抓取6379端口的100个包

    [[email protected] ~]# tcpdump -i bond0 -c 100 -w 443_tcpdump.out tcp port 443 
tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
100 packets captured
102 packets received by filter
0 packets dropped by kernel

  5. 抓取源地址为180.168.69.242，端口为443的数据包

    [[email protected] ~]# tcpdump -i bond0 -c 3 -w 443_tcpdump.out src 180.168.69.242 and tcp port 443
tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
3 packets captured
3 packets received by filter
0 packets dropped by kernel

  6. 抓取指定主机的数据包

    # 抓取指定主机的数据包
[[email protected] ~]# tcpdump -i bond0 -c 10 host 172.20.10.17
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:28:40.375233 IP mweb07.34822 > mweb08.vrace: Flags [P.], seq 2258399624:2258400017, ack 3133621198, win 18960, options [nop,nop,TS val 941802562 ecr 941809211], length 393
10:28:40.375935 IP mweb08.vrace > mweb07.34822: Flags [.], seq 1:4345, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 4344
10:28:40.375945 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 4345, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.375957 IP mweb08.vrace > mweb07.34822: Flags [.], seq 4345:7241, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
10:28:40.375960 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 7241, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.376008 IP mweb08.vrace > mweb07.34822: Flags [.], seq 7241:10137, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
10:28:40.376012 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10137, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.376015 IP mweb08.vrace > mweb07.34822: Flags [P.], seq 10137:10298, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 161
10:28:40.376017 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10298, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.397701 IP mweb07.46871 > mweb08.6379: Flags [P.], seq 2597564002:2597564092, ack 617045751, win 1260, options [nop,nop,TS val 941802584 ecr 941811100], length 90
10 packets captured
10 packets received by filter
0 packets dropped by kernel
# 可以发现，如果两台主机之间没有通信，是无法抓取的
[[email protected] ~]# tcpdump -i bond0 -c 10 host 172.20.10.10
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes四：日常场景

以上是关于tcpdump抓包工具的主要内容，如果未能解决你的问题，请参考以下文章

tcpdump抓包分析详解

tcpdump抓包分析详解

TCPdump抓包命令详解

关于Tcpdump抓包总结

TCPDUMP 抓包 怎么查看 抓的包的内容

tcpdump iOS iphone 手机 抓包 流量分析