linux工作利器之二，网络分析工具tcpdump

Posted 2022-08-02

简单介绍

tcpdump是一个能够对网络上的数据包进行收集的网络分析工具，根据用户自定义条件截取数据包，具备灵活的策略，是系统管理员分析网络、排查问题的利器。tcpdump提供了源代码，有公开的接口，因此具备很强的可扩展性，它支持针对网络层、协议、主机、网络或端口的过滤，并且支持and、or、not等逻辑语句。普通用户无法执行tcpdump命令，只有具备root权限才能执行。

参数介绍

默认情况下启动tcpdump，将监听在第一个网络接口上所有流过的数据包

tcpdump支持很多参数，往往网络中流量很大，如果不加分辨收集所有的数据包，数据量太大，不容易发现需要的数据包，使用参数定义的过滤规则收集特定的数据包，缩小目标，便于更好的分析网络中存在的问题。

-i 指定网络接口
-w 将结果输出到文件中，通常文件以.pcap作为后缀，可以结合wirkshark分析数据
-n 不把网络地址换成名字（不进行域名解析，速度更快）
-nn 不进行端口名称的转换，直接以ip和端口显示
-v 输出一个稍微详细的信息（例如在ip包中可以包括ttl和服务类型的信息）
-vv 输出详细的报文信息
-c 在收到指定的包的数目后，tcpdump就会停止，默认tcpdump需要crtl+c结束
-C 后接file_size，指定-w写入文件的大小，如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件， file_size 的单位是兆字节
-a 将网络地址和广播地址转变成名字
-A 以ASCII格式打印出所有分组，并将链路层头最小化，方便去收集web页面内容
-d 将匹配信息包的代码以人们能够理解的汇编格式给出
-dd 将匹配信息包的代码以c语言程序段的格式给出
-ddd 将匹配信息包的代码以十进制的形式给出
-D 打印出系统中所有可以用tcpdump分析的网络接口
-q 快速输出，只输出较少信息
-e 在输出行打印出数据链路层的头部信息
-f 将外部的Internet地址以数字的形式打印出来
-l 使标准输出变为缓冲行形式
-t 在输出的每一行不打印时间戳
-tt 在每一行中输出非格式化的时间戳
-ttt 输出本行和前面一行之间的时间差
-F 从指定的文件中读取表达式,忽略其它的表达式
-r 从指定的文件中读取包(这些包一般通过-w选项产生)
-w 直接将包写入文件中，并不分析和打印出来
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议）

tcpdump表达式

格式：
tcpdump [option] 协议 + 传输方向 + 类型 + 具体值
这是一个正则表达式，满足表达式的报文会被收集。
协议：主要包括ip、arp、rarp、tcp、udp、icmp、http，指定监听包的协议内容，如果没有指定，默认是监听所有协议的数据包
传输方向：主要包括src、dst、dst or src、dst and src，指定传输方向，源地址或目标地址，如果没有指定，默认是src or dst
类型：主要包括host、net、port、ip proto、protochain，指定收集的主机或网段，如果默认没有指定，默认是host
其他关键字：gateway, broadcast,less,greate；三种逻辑运算符，取非运算 ‘not ‘ ‘! ‘， 与运算‘and‘,‘&&‘，或运算 ‘or‘ ,‘││‘

使用实例

包含主机192.0.0.19的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 5 host 192.0.0.19

包含192.0.0.0/24网段的数据包

[root@kafka ~]# tcpdump -i eth0 -c 1 net 192.0.0.0/24
[root@kafka ~]# tcpdump -i eth0 -c 1 net 192.0.0.0 mask 255.255.255.0

源ip是192.0.0.19的数据包和目标地址是192.0.0.19的数据包

[root@kafka ~]# tcpdump -i eth0  -c 4 src host 192.0.0.19
[root@kafka ~]# tcpdump -i eth0  -c 4 dst host 192.0.0.19

9092端口的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 4 port 9092

ssh服务的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 4 port ssh

源端口是9092的数据包，目标端口是9092的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 src port 9092
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 dst port 9092

tcp协议、udp协议、icmp协议的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 tcp
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ip proto ‘\tcp‘
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 udp
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ip proto ‘\udp‘
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 icmp
[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ip proto ‘\icmp‘

源ip是192.0.0.19且目标端口是9092的数据包，用and

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 src 192.0.0.19 and dst port 9092

源ip是192.0.0.19或目标端口是9092的数据包，用or

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 src 192.0.0.19 or dst port 9092

源ip是192.0.0.19且端口是9092，或源ip是192.0.0.20且目的端口不是80的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 4 \(src host 192.0.0.19 and port 9092\) or \(src host 192.0.0.20 and not dst port 80\)

流经网卡eth0的1000个数据包保存在文件backup.cap中

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 1000 -w backup.cap

从文件backup.cap中读取tcp协议的10个数据包

[root@kafka ~]# tcpdump -i eth0 -c 10 -r backup.cap tcp

数据包类型是多播且端口不是22且协议不是icmp的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv ether multicast and not port 22 and not icmp

协议是ospf的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv ip proto ospf

包长度大于50，小于100的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 5 less 100 and greater 50

ip信息类型的数据包，ip信息类型协议可以是icmp、icmp6、igmp、igrp、pim、ah、esp、vrrp、udp、tcp

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ip proto ‘\tcp‘

ipv6信息类型的数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ip6 proto ‘\tcp‘

ether信息类型的数据包，ether信息类型协议可以是ip、ip6、arp、rarp、atalk、aarp、decnet、sca、lat、mopdl、moprc、iso、stp、ipx或netbeui

[root@kafka ~]# tcpdump -i eth0 -nnvv -c 3 ether proto ‘\ip‘

以太网广播、多波数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv ether broadcast
[root@kafka ~]# tcpdump -i eth0 -nnvv ether multicast

ipv4广播、多波数据包

[root@kafka ~]# tcpdump -i eth0 -nnvv ip broadcast
[root@kafka ~]# tcpdump -i eth0 -nnvv ip multicast