tcpdump命令的使用方法

　　連接順序對應，并帶有相應TCP控制標志的數據包如下:

　　1) 連接發(fā)起方(nt:Caller)發(fā)送SYN標志的數據包

　　2) 接收方(nt:Recipient)用帶有SYN和ACK標志的數據包進行回應

　　3) 發(fā)起方收到接收方回應后再發(fā)送帶有ACK標志的數據包進行回應

　　0 15 31

　　-----------------------------------------------------------------

　　| source port | destination port |

　　-----------------------------------------------------------------

　　| sequence number |

　　-----------------------------------------------------------------

　　| acknowledgment number |

　　-----------------------------------------------------------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　-----------------------------------------------------------------

　　| TCP checksum | urgent pointer |

　　-----------------------------------------------------------------

　　一個TCP頭部,在不包含選項數據的情況下通常占用20個字節(jié)(nt | rt:options 理解為選項數據，需回譯). 第一行包含0到3編號的字節(jié),

　　第二行包含編號4-7的字節(jié).

　　如果編號從0開始算, TCP控制標志位于13字節(jié)(nt:第四行左半部分).

　　0 7| 15| 23| 31

　　----------------|---------------|---------------|----------------

　　| HL | rsvd |C|E|U|A|P|R|S|F| window size |

　　----------------|---------------|---------------|----------------

　　| | 13th octet | | |

　　讓我們仔細看看編號13的字節(jié):

　　| |

　　|---------------|

　　|C|E|U|A|P|R|S|F|

　　|---------------|

　　|7 5 3 0|

　　這里有我們感興趣的控制標志位. 從右往左這些位被依次編號為0到7, 從而 PSH位在3號, 而URG位在5號.

　　提醒一下自己, 我們只是要得到包含SYN標志的數據包. 讓我們看看在一個包的包頭中, 如果SYN位被設置, 到底

　　在13號字節(jié)發(fā)生了什么:

　　|C|E|U|A|P|R|S|F|

　　|---------------|

　　|0 0 0 0 0 0 1 0|

　　|---------------|

　　|7 6 5 4 3 2 1 0|

　　在控制段的數據中, 只有比特1(bit number 1)被置位.

　　假設編號為13的字節(jié)是一個8位的無符號字符型,并且按照網絡字節(jié)號排序(nt:對于一個字節(jié)來說，網絡字節(jié)序等同于主機字節(jié)序), 其二進制值

　　如下所示:

　　00000010

　　并且其10進制值為:

　　0_^7 + 0_^6 + 0_^5 + 0_^4 + 0_^3 + 0_^2 + 1_^1 + 0_^0 = 2(nt: 1 _2^6 表示1乘以2的6次方, 也許這樣更

　　清楚些, 即把原來表達中的指數7 6 ... 0挪到了下面來表達)

　　接近目標了, 因為我們已經知道, 如果數據包頭部中的SYN被置位, 那么頭部中的第13個字節(jié)的值為2(nt: 按照網絡序, 即大頭方式, 最重要的字節(jié)

　　在前面(在前面,即該字節(jié)實際內存地址比較小, 最重要的字節(jié),指數學表示中數的高位, 如356中的3) ).

　　表達為tcpdump能理解的關系式就是:

　　tcp[13] 2

　　從而我們可以把此關系式當作tcpdump的過濾條件, 目標就是監(jiān)控只含有SYN標志的數據包:

　　tcpdump -i xl0 tcp[13] 2 (nt: xl0 指網絡接口, 如eth0)

　　這個表達式是說"讓TCP數據包的第13個字節(jié)擁有值2吧", 這也是我們想要的結果.

　　現在, 假設我們需要抓取帶SYN標志的數據包, 而忽略它是否包含其他標志.(nt:只要帶SYN就是我們想要的). 讓我們來看看當一個含有

　　SYN-ACK的數據包(nt:SYN 和 ACK 標志都有), 來到時發(fā)生了什么:

　　|C|E|U|A|P|R|S|F|

　　|---------------|

　　|0 0 0 1 0 0 1 0|

　　|---------------|

　　|7 6 5 4 3 2 1 0|

　　13號字節(jié)的1號和4號位被置位, 其二進制的值為:

　　00010010

　　轉換成十進制就是:

　　0_^7 + 0_^6 + 0_^5 + 1_^4 + 0_^3 + 0_^2 + 1_^1 + 0_ = 18(nt: 1 _2^6 表示1乘以2的6次方, 也許這樣更

　　清楚些, 即把原來表達中的指數7 6 ... 0挪到了下面來表達)

　　現在, 卻不能只用'tcp[13] 18'作為tcpdump的過濾表達式, 因為這將導致只選擇含有SYN-ACK標志的數據包, 其他的都被丟棄.

　　提醒一下自己, 我們的目標是: 只要包的SYN標志被設置就行, 其他的標志我們不理會.

　　為了達到我們的目標, 我們需要把13號字節(jié)的二進制值與其他的一個數做AND操作(nt:邏輯與)來得到SYN比特位的值. 目標是:只要SYN 被設置

　　就行, 于是我們就把她與上13號字節(jié)的SYN值(nt: 00000010).

　　00010010 SYN-ACK 00000010 SYN

　　AND 00000010 (we want SYN) AND 00000010 (we want SYN)

　　-------- --------

　　= 00000010 = 00000010

　　我們可以發(fā)現, 不管包的ACK或其他標志是否被設置, 以上的AND操作都會給我們相同的值, 其10進制表達就是2(2進制表達就是00000010).

　　從而我們知道, 對于帶有SYN標志的數據包, 以下的表達式的結果總是真(true):

　　( ( value of octet 13 ) AND ( 2 ) ) ( 2 ) (nt: value of octet 13, 即13號字節(jié)的值)

　　靈感隨之而來, 我們于是得到了如下的tcpdump 的過濾表達式

　　tcpdump -i xl0 'tcp[13] & 2 2'

　　注意, 單引號或反斜桿(nt: 這里用的是單引號)不能省略, 這可以防止shell對&的解釋或替換.