1. tcpdump简介及安装
Tcpdump是linux环境下的报文抓包工具。支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
Windows下一般使用wireshark进行报文抓取和报文分析。Linux下一般可以使用tcpdump+（tcptrace或wireshark）。
|
1 |
$ yum install -y tcpdump |
2. tcpdump命令格式
tcpdump是个命令行方式的网络嗅探器。他通过使用命令选项来过滤网卡截获的数据包，假如不进行过滤，过多数量的包会使网络管理员很难理清头绪。
2.1 tcpdump选项
通过tcpdump --help或者man tcpdump或者info tcpdump查看tcpdump帮助说明文档，tcpdump的命令格式如下：
|
1 2 3 4 5 6 7 8 9 10 11 12 |
$ tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ] [ -c count ] [ -C file_size ] [ -G rotate_seconds ] [ -F file ] [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ] [ --number ] [ -Q in|out|inout ] [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ] [ -E spi@ipaddr algo:secret,... ] [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ] [ --time-stamp-precision=tstamp_precision ] [ --immediate-mode ] [ --version ] [ expression ] |
- 抓包选项
|
1 2 3 4 5 6 7 |
-c：在捕获指定个数的数据包后退出。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。 -i：interface，指定监听的网络接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，一旦找到第一个符合条件的接口，搜寻马上结束。可以使用’any’关键字表示所有网络接口。 -n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析（DNS查询）。 -nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。（以ip和port的方式显示来源主机和目的主机，而不是用主机名和服务） -N：不打印出host的域名部分。例如tcpdump将会打印’nic’而不是’nic.ddn.mil’。 -P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、“out"和"inout”，默认为"inout"。 -s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。 |
- 输出选项
|
1 2 3 4 5 6 7 |
-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。 -q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。 -X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。 -XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。 -v：输出较周详的信息，例如IP包中的TTL和服务类型信息。 -vv：产生比-v更详细的输出。 -vvv：产生比-vv更详细的输出。 |
- 功能性选项
|
1 2 3 4 |
-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。 -F：从指定的文档中读取过滤规则，忽略命令行中指定的其他过滤规则。 -w：将截获的数据包直接写入指定的文档中，不对其进行分析和输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。 -r：从指定的文档中读取数据包(该文档一般通过-w选项产生)。使用"-"表示从标准输入中读取。 |
- 其他
|
1 2 3 4 5 6 7 8 9 |
-a 将网络地址和广播地址转变成容易识别的名字 -d 将已截获的数据包的代码以人容易理解的格式输出； -dd 将已截获的数据包的代码以C程式的格式输出； -ddd 将已截获的数据包的代码以十进制格式输出； -e 输出数据链路层的头部信息； -f 将internet地址以数字形式输出； -l 将标准输出变为行缓冲方式； -t 不输出时间戳； -T 将截获的数据包直接解释为指定类型的报文，现在支持的类型有cnfp、rpc、rtp、snmp、vat和wb。 |
3. 使用tcpdump抓包实例
|
1 2 3 4 5 6 7 8 9 10 11 |
$ tcpdump $ tcpdump -i 网卡 $ tcpdump -nn 数字的方式显示IP和端口。一个n是ip $ tcpdump -c x 抓包数量，x为数字 $ tcpdump port xx 抓指定端口的包，xx为端口号 $ tcpdump tcp and port xx 指定协议和端口，xx为端口号，and可以省略不写 $ tcpdump host xx.xx.xx.xx 指定来源IP或目标IP的包 xx.xx.xx.xx为IP地址。 $ tcpdump -w xx.txt 把抓的包写入一个文件，xx.txt为文件名 $ tcpdump -s0 -w xx.txt 抓包时防止包截断，s0的0为数字0，抓一个完整的包必须加s0。 $ tcpdump -r xx.txt 用户查看-w抓的包，xx.txt为文件名 -w抓的包实际是包的内容，非简单的流向。如果访问一张图片，用-w可以把这张图片抓出来。只看流向的话，可以使用重定向。 |
3.1 默认显示 tcpdump
|
1 |
$ tcpdump |
默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。
3.2 综合示例
|
1 |
$ ./tcpdump -i eth0 host 192.168.1.70 -w test.pcap |
3.3 过滤主机
|
1 2 3 4 5 6 7 8 |
//抓取所有经过 eth0，目的或源地址是 192.168.1.70 的网络数据 $ tcpdump -i eth0 host 192.168.1.70 //抓取所有经过 eth0，源地址是 192.168.1.70 的网络数据 $ tcpdump -i eth1 src host 192.168.1.70 //抓取所有经过 eth0，目的地址是 192.168.1.70 的网络数据 $ tcpdump -i eth1 dst host 192.168.1.70 |
3.4 过滤端口
|
1 2 3 4 5 6 |
//抓取所有经过 eth0，目的或源端口是 22 的网络数据 $ tcpdump -i eth0 port 22 //抓取所有经过 eth0，源端口是 22 的网络数据 $ tcpdump -i eth1 src port 22 //抓取所有经过 eth0，目的端口是 22 的网络数据 $ tcpdump -i eth1 dst port 22 |
3.5 过滤协议
|
1 2 3 4 5 |
$ tcpdump -i eth0 tcp $ tcpdump -i eth0 udp $ tcpdump -i eth0 ip $ tcpdump -i eth0 icmp $ tcpdump -i eth0 arp |
3.6 常用表达式：
在tcpdump的过滤表达式中，各类关键字之间还能够通过布尔运算符来构成组合表达式，以满足实际运用时的需要。
布尔运算符包括取非运算符(not 或!)、和运算符(and或&&)、或运算符(or或||)，使用布尔运算符能够将表达式组合起来构成强大的组合条件，从而能够对 Tcpdump的过滤器做进一步细化。
|
1 2 3 4 5 6 |
//抓取所有经过 eth0，目的地址是 192.168.1.254 或 192.168.1.200 端口是 80 的 TCP 数据 $ tcpdump -i eth0 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))' //抓取所有经过 eth1，目标 MAC 地址是 00:01:02:03:04:05 的 ICMP 数据 $ tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))' //抓取所有经过 eth1，目的网络是 192.168，但目的主机不是 192.168.1.200 的 TCP 数据 $ tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))' |
3.7 保存到指定文件
|
1 2 3 4 |
//实时抓取3721端口，多播地址为228.228.228.228的包，然后写入228.228.228.228.pcap,然后通过Wireshark分析数据 $ tcpdump -i any '(host 228.228.228.228 && port 3721)' -w 228.228.228.228.pcap //实时抓取端口号8000的GET包，然后写入GET.log $ tcpdump -i eth0 '((port 8000) and (tcp[(tcp[12]>>2):4]=0x47455420))' -nnAl -w /tmp/GET.log |
通过组合不同的关键字和表达式，能够实现对任意网卡、协议、地址、端口数据包的过滤
3.8 其他相关命令
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
//抓取所有网卡的包 $ tcpdump -i any //ARP过滤，比如从指定的网络接口截获5个ARP数据包，并且不将网络地址转换成主机名 $ tcpdump arp -i eth0 -c 5 -n //截获在主机“9.185.10.57”和主机“9.185.10.58”或“9.185.10.59”之间传递的数据包 tcpdump host 9.185.10.57 and 9.185.10.58 or 9.185.10.59 //假如想要截获主机“9.185.10.57”和除主机“9.186.10.58”外任何其他主机之间通信的IP数据包，能够使用如下命令 $ tcpdump ip host 9.185.10.57 and ! 9.185.10.58 //抓取回环网口的包： $ tcpdump -i lo //防止包截断： $ tcpdump -s0 //以数字显示主机及端口： $ tcpdump -n |
4. 抓包的格式理解
主要看来源IP和目标IP，这两列。
例如显示报文如下：
16:52:25.923003 IP 10.10.8.3.59557 > 192.168.0.139.22: Flags [.], ack 196, win 16324, length 0
|
1 2 3 4 |
# 16:52:25.923003：时间.毫秒 # IP：IP 10.10.8.3.59557：来源IP.port # > 192.168.0.139.22：目标IP.port # Flags [.], ack 196, win 16324, length 0：略 |
微信赞赏
支付宝赞赏