不卡AV在线|网页在线观看无码高清|亚洲国产亚洲国产|国产伦精品一区二区三区免费视频

學(xué)習(xí)啦 > 學(xué)習(xí)電腦 > 操作系統(tǒng) > Linux教程 > 關(guān)于Linux下抓包工具tcpdump使用的介紹

關(guān)于Linux下抓包工具tcpdump使用的介紹

時(shí)間: 曉斌668 分享

關(guān)于Linux下抓包工具tcpdump使用的介紹

  在傳統(tǒng)的網(wǎng)絡(luò)分析和測(cè)試技術(shù)中,嗅探器(sniffer)是最常見(jiàn),也是最重要的技術(shù)之一。sniffer工具首先是為網(wǎng)絡(luò)管理員和網(wǎng)絡(luò)程序員進(jìn)行網(wǎng)絡(luò)分析而設(shè)計(jì)的。那么學(xué)習(xí)啦小編就要在這里介紹下Linux下抓包工具tcpdump使用方法了。

  匹配ether廣播包。ether廣播包的特征是mac全1.故如下即可匹配:

  tcpdump 'ether dst ff:ff:ff:ff:ff:ff'

  ylin@ylin:~$ sudo tcpdump -c 1 'ether dst ff:ff:ff:ff:ff:ff'

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  10:47:57.784099 arp who-has 192.168.240.77 tell 192.168.240.189

  在此,只匹配1個(gè)包就退出了。第一個(gè)是arp請(qǐng)求包,arp請(qǐng)求包的是采用廣播的方式發(fā)送的,被匹配那是當(dāng)之無(wú)愧的。

  匹配ether組播包,ether的組播包的特征是mac的最高位為1,其它位用來(lái)表示組播組編號(hào),如果你想匹配其的多播組,知道它的組MAC地址即可。如

  tcpdump 'ether dst ' Mac_Address表示地址,填上適當(dāng)?shù)募纯?。如果想匹配所有的ether多播數(shù)據(jù)包,那么暫時(shí)請(qǐng)放下,下面會(huì)繼續(xù)為你講解更高級(jí)的應(yīng)用。

  (2)匹配arp包

  arp包用于IP到Mac址轉(zhuǎn)換的一種協(xié)議,包括arp請(qǐng)求和arp答應(yīng)兩種報(bào)文,arp請(qǐng)求報(bào)文是ether廣播方式發(fā)送出去的,也即 arp請(qǐng)求報(bào)文的mac地址是全1,因此用ether dst FF;FF;FF;FF;FF;FF可以匹配arp請(qǐng)求報(bào)文,但不能匹配答應(yīng)報(bào)文。因此要匹配arp的通信過(guò)程,則只有使用arp來(lái)指定協(xié)議。

  tcpdump 'arp' 即可匹配網(wǎng)絡(luò)上arp報(bào)文。

  ylin@ylin:~$ arping -c 4 192.168.240.1>/dev/null& sudo tcpdump -p 'arp'

  [1] 9293

  WARNING: interface is ignored: Operation not permitted

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  11:09:25.042479 arp who-has 192.168.240.1 (00:03:d2:20:04:28 (oui Unknown)) tell ylin.local

  11:09:25.042702 arp reply 192.168.240.1 is-at 00:03:d2:20:04:28 (oui Unknown)

  11:09:26.050452 arp who-has 192.168.240.1 (00:03:d2:20:04:28 (oui Unknown)) tell ylin.local

  11:09:26.050765 arp reply 192.168.240.1 is-at 00:03:d2:20:04:28 (oui Unknown)

  11:09:27.058459 arp who-has 192.168.240.1 (00:03:d2:20:04:28 (oui Unknown)) tell ylin.local

  11:09:27.058701 arp reply 192.168.240.1 is-at 00:03:d2:20:04:28 (oui Unknown)

  11:09:33.646514 arp who-has ylin.local tell 192.168.240.1

  11:09:33.646532 arp reply ylin.local is-at 00:19:21:1d:75:e6 (oui Unknown)

  本例中使用arping -c 4 192.168.240.1產(chǎn)生arp請(qǐng)求和接收答應(yīng)報(bào)文,而tcpdump -p 'arp'匹配出來(lái)了。此處-p選項(xiàng)是使網(wǎng)絡(luò)工作于正常模式(非混雜模式),這樣是方便查看匹配結(jié)果。

  (3)匹配IP包

  眾所周知,IP協(xié)議是TCP/IP協(xié)議中最重要的協(xié)議之一,正是因?yàn)樗拍馨袸nternet互聯(lián)起來(lái),它可謂功不可沒(méi),下面分析匹配IP包的表達(dá)式。

  對(duì)IP進(jìn)行匹配

  tcpdump 'ip src 192.168.240.69'

  ylin@ylin:~$ sudo tcpdump -c 3 'ip src 192.168.240.69'

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  11:20:00.973605 IP ylin.local.51486 > walnut.crossbeamsys.com.ssh: S 2706301341:2706301341(0) win 5840

  11:20:00.974328 IP ylin.local.32849 > 192.168.200.150.domain: 5858+ PTR? 20.200.168.192.in-addr.arpa. (45)

  11:20:01.243490 IP ylin.local.51486 > walnut.crossbeamsys.com.ssh: . ack 2762262674 win 183

  IP廣播組播數(shù)據(jù)包匹配:只需指明廣播或組播地址即可

  tcpdump 'ip dst 240.168.240.255'

  ylin@ylin:~$ sudo tcpdump 'ip dst 192.168.240.255'

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  11:25:29.690658 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 1, length 64

  11:25:30.694989 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 2, length 64

  11:25:31.697954 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 3, length 64

  11:25:32.697970 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 4, length 64

  11:25:33.697970 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 5, length 64

  11:25:34.697982 IP dd.local > 192.168.240.255: ICMP echo request, id 10022, seq 6, length 64

  此處匹配的是ICMP的廣播包,要產(chǎn)生此包,只需要同一個(gè)局域網(wǎng)的另一臺(tái)主機(jī)運(yùn)行ping -b 192.168.240.255即可,當(dāng)然還可產(chǎn)生組播包,由于沒(méi)有適合的軟件進(jìn)行模擬產(chǎn)生,在此不舉例子。

  (4)匹配TCP數(shù)據(jù)包

  TCP同樣是TCP/IP協(xié)議棧里面最為重要的協(xié)議之一,它提供了端到端的可靠數(shù)據(jù)流,同時(shí)很多應(yīng)用層協(xié)議都是把TCP作為底層的通信協(xié)議,因?yàn)門(mén)CP的匹配是非常重要的。

  如果想匹配HTTP的通信數(shù)據(jù),那只需指定匹配端口為80的條件即可

  tcpdump 'tcp dst port 80'

  ylin@ylin:~$ wget http://www.baidu.com 2>1 1 >/dev/null & sudo tcpdump -c 5 'tcp port 80'

  [1] 10762

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  12:02:47.549056 IP xd-22-43-a8.bta.net.cn.www > ylin.local.47945: S 1202130469:1202130469(0) ack 1132882351 win 2896

  12:02:47.549085 IP ylin.local.47945 > xd-22-43-a8.bta.net.cn.www: . ack 1 win 183

  12:02:47.549226 IP ylin.local.47945 > xd-22-43-a8.bta.net.cn.www: P 1:102(101) ack 1 win 183

  12:02:47.688978 IP xd-22-43-a8.bta.net.cn.www > ylin.local.47945: . ack 102 win 698

  12:02:47.693897 IP xd-22-43-a8.bta.net.cn.www > ylin.local.47945: . 1:1409(1408) ack 102 win 724

  (5)匹配udp數(shù)據(jù)包

  udp是一種無(wú)連接的非可靠的用戶數(shù)據(jù)報(bào),因此udp的主要特征同樣是端口,用如下方法可以匹配某一端口

  tcpdump 'upd port 53' 查看DNS的數(shù)據(jù)包

  ylin@ylin:~$ ping -c 1 www.baidu.com > /dev/null& sudo tcpdump -p udp port 53

  [1] 11424

  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

  listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

  12:28:09.221950 IP ylin.local.32853 > 192.168.200.150.domain: 63228+ PTR? 43.22.108.202.in-addr.arpa. (44)

  12:28:09.222607 IP ylin.local.32854 > 192.168.200.150.domain: 5114+ PTR? 150.200.168.192.in-addr.arpa. (46)

  12:28:09.487017 IP 192.168.200.150.domain > ylin.local.32853: 63228 1/0/0 (80)

  12:28:09.487232 IP 192.168.200.150.domain > ylin.local.32854: 5114 NXDomain* 0/1/0 (140)

  12:28:14.488054 IP ylin.local.32854 > 192.168.200.150.domain: 60693+ PTR? 69.240.168.192.in-addr.arpa. (45)

  12:28:14.755072 IP 192.168.200.150.domain > ylin.local.32854: 60693 NXDomain 0/1/0 (122)

  使用ping www.baidu.com目標(biāo)是產(chǎn)生DNS請(qǐng)求和答應(yīng),53是DNS的端口號(hào)。

  此外還有很多qualitifer是還沒(méi)有提及的,下面是其它合法的primitive,在tcpdump中是可以直接使用的。

  gateway host

  匹配使用host作為網(wǎng)關(guān)的數(shù)據(jù)包,即數(shù)據(jù)報(bào)中mac地址(源或目的)為host,但I(xiàn)P報(bào)的源和目的地址不是host的數(shù)據(jù)包。

  dst net net

  src net net

  net net

  net net mask netmask

  net net/len

  匹配IPv4/v6地址為net網(wǎng)絡(luò)的數(shù)據(jù)報(bào)。

  其中net可以為192.168.0.0或192.168這兩種形式。如net 192.168 或net 192.168.0.0

  net net mask netmask僅對(duì)IPv4數(shù)據(jù)包有效,如net 192.168.0.0 mask 255.255.0.0

  net net/len同樣只對(duì)IPv4數(shù)據(jù)包有效,如net 192.168.0.0/16

  dst portrange port1-port2

  src portrange port1-port2

  portrange port1-port2

  匹配端口在port1-port2范圍內(nèi)的ip/tcp,ip/upd,ip6/tcp和ip6/udp數(shù)據(jù)包。dst, src分別指明源或目的。沒(méi)有則表示src or dst

  less length 匹配長(zhǎng)度少于等于length的報(bào)文。

  greater length 匹配長(zhǎng)度大于等于length的報(bào)文。

  ip protochain protocol 匹配ip報(bào)文中protocol字段值為protocol的報(bào)文

  ip6 protochain protocol 匹配ipv6報(bào)文中protocol字段值為protocol的報(bào)文

  如tcpdump 'ip protochain 6 匹配ipv4網(wǎng)絡(luò)中的TCP報(bào)文,與tcpdump 'ip && tcp'用法一樣,這里的&&連接兩個(gè)primitive。6是TCP協(xié)議在IP報(bào)文中的編號(hào)。

  ether broadcast

  匹配以太網(wǎng)廣播報(bào)文

  ether multicast

  匹配以太網(wǎng)多播報(bào)文

  ip broadcast

  匹配IPv4的廣播報(bào)文。也即IP地址中主機(jī)號(hào)為全0或全1的IPv4報(bào)文。

  ip multicast

  匹配IPv4多播報(bào)文,也就是IP地址為多播地址的報(bào)文。

  ip6 multicast

  匹配IPv6多播報(bào)文,即IP地址為多播地址的報(bào)文。

  vlan vlan_id

  匹配為vlan報(bào)文 ,且vlan號(hào)為vlan_id的報(bào)文

  到些為此,我們一直在介紹primitive是如何使用的,也即expression只有一個(gè)primitive。通過(guò)學(xué)會(huì)寫(xiě)好每個(gè)primtive,我們就很容易把多個(gè)primitive組成一個(gè)expression,方法很簡(jiǎn)單,通過(guò)邏輯運(yùn)算符連接起來(lái)就可以了,邏輯運(yùn)算符有以下三個(gè):

  “&&” 或”and”

  “||” 或“or”

  “!” 或“not”

  并且可通過(guò)()進(jìn)行復(fù)雜的連接運(yùn)算。

  如tcpdump ‘ip && tcp’

  tcpdump ‘ host 192.168.240.3 &&( tcp port 80 || tcp port 443)’

  通過(guò)上面的各種primitive,我們可以寫(xiě)出很豐富的條件,如ip, tcp, udp,vlan等等。如IP,可以按址址進(jìn)行匹,tcp/udp可以按端口匹配。但是,如果學(xué)習(xí)啦想匹配更細(xì)的條件呢?如tcp中只含syn標(biāo)志,fin標(biāo)志的報(bào)文呢?上面的primitive恐怕無(wú)能為力了。不用怕,tcpdump為你提供最后一個(gè)功能最強(qiáng)大的primitive,記住是primitive,而不是expression。你可以用多個(gè)這個(gè)的primitive組成更復(fù)雜的 expression.

360116