来源：蜘蛛抓取(WebSpider)
时间：2017-02-12 05:51
标签：
tcpdump http 抓包
38110人阅读
记录（29）
Linux操作系统tcpdump抓包分析详解
PS：tcpdump是一个用于截取网络分组，并输出分组内容的工具，简单说就是数据包抓包工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为Linux系统下用于网络分析和问题排查的首选工具。
tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的Linux系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。
顾名思义，tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
# tcpdump -vv
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
<span style="font-size:18 color:#:53:21.444591 IP (tos 0x10, ttl &64, id 19324, offset 0, flags [DF], proto 6, length: 92) asptest.localdomain.ssh & 192.168.228.244.1858: P :(52) ack
asptest.localdomain.1077 & 192.168.228.153.domain: [bad udp cksum 166e!] &325+ PTR? 244.228.168.192.in-addr.arpa. (46)
<span style="font-size:18 color:#:53:21.446929 IP (tos 0x0, ttl &64, id 42911, offset 0, flags [DF], proto 17, length: 151) 192.168.228.153.domain & asptest.localdomain.1077: &325 NXDomain q: PTR? 244.228.168.192.in-addr.arpa. 0/1/0 ns: 168.192.in-addr.arpa.
<span style="font-size:18 color:#:53:21.447408 IP (tos 0x10, ttl &64, id 19328, offset 0, flags [DF], proto 6, length: 172) asptest.localdomain.ssh & 192.168.228.244.1858: P 168:300(132) ack 1 win 1266
<span style="font-size:18 color:#7 packets captured
<span style="font-size:18 color:#74 packets received by filter
<span style="font-size:18 color:#5 packets dropped by kernel
不带参数的tcpdump会收集网络中所有的信息包头，数据量巨大，必须过滤。
二、选项介绍
-A 以ASCII格式打印出所有分组，并将链路层的头最小化。
-c 在收到指定的数量的分组后，tcpdump就会停止。
-C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。
-d 将匹配信息包的代码以人们能够理解的汇编格式给出。
-dd 将匹配信息包的代码以程序段的格式给出。
-ddd 将匹配信息包的代码以十进制的形式给出。
-D 打印出系统中所有可以用tcpdump截包的网络接口。
-e 在输出行打印出数据链路层的头部信息。
-E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。
-f 将外部的Internet地址以数字的形式打印出来。
-F 从指定的文件中读取表达式，忽略命令行中给出的表达式。
-i 指定监听的网络接口。
-l 使标准输出变为缓冲行形式，可以把数据导出到文件。
-L 列出网络接口的已知数据链路。
-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。
-M 如果tcp报文中存在TCP-选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。
-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。
-n 不把网络地址转换成名字。
-nn 直接以IP和端口号显示，而非主机与服务器名称。
-N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。
-t 在输出的每一行不打印时间戳。（－tt & -ttt）
-O 不运行分组分组匹配（packet-matching）代码优化程序。
-P 不将网络接口设置成混杂模式。
-q 快速输出。只输出较少的协议信息。
-r 从指定的文件中读取包(这些包一般通过-w选项产生)。
-S 将tcp的序列号以绝对值形式输出，而不是相对值。
-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。-s 0表示不限制长度，输出整个包。
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。
-t 不在每一行中输出时间戳。
-tt 在每一行中输出非格式化的时间戳。
-ttt 输出本行和前面一行之间的时间差。
-tttt 在每一行中输出由date处理的默认格式的时间戳。
-u 输出未解码的NFS句柄。
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。
-vv 输出更详细的信息。
-vv 输出详细的报文信息。
-w 直接将分组写入文件中，而不是不分析并打印出来。 （输出的.pcap文件可以在中用wireshark打开，进行进一步分析）
要让wireshark能分析tcpdump的包，关键的地方是 -s 参数， 还有要为 -w保存输出文件。
-X 以及-XX，以16进制与ASCII方式输出，即可读方式显示数据包，适合http、memcached ascii等明文传输的协议，可以看到内容；
三、tcpdump的表达式介绍
表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表 达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包 将会被截获。
在表达式中一般如下几种类型的关键字：
第一种是关于类型的关键字，主要包括host，net，port，例如 host 210.27.48.2， 指明 210.27.48.2是一台主机，net 202.0.0.0指明202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host。
第二种是确定传输方向的关键字，主要包括src，dst，dst or src，dst and src， 这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ，指明ip包中源地址是 210.27.48.2 ， dst net 202.0.0.0 指明目的网络地址是202.0.0.0。如果没有指明方向关键字，则缺省是src or dst关键字。
第三种是协议的关键字，主要包括fddi，ip，arp，rarp，tcp，udp等类型。Fddi指明是在FDDI (分布式光纤数据接口网络)上的特定的网络协议，实际上它是”ether”的别名，fddi和ether 具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。 其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump 将会 监听所有协议的信息包。
除了这三种类型的关键字之外，其他重要的关键字如下：gateway， broadcast，less， greater， 还有三种逻辑运算，取非运算是 ‘not ‘ ‘! ‘， 与运算是’and’，’&&’;或运算是’or’ ，’||’； 这些关键字可以组合起来构成强大的组合条件来满足人们的需要。
tcpdump -i lo -nn -A -s 0 tcp -w /home/open/1.txt &port 3306 and src host 112.142.34.24 and dst host 192.168.1.33
tcpdump -X -n -s 0 tcp port 8033 -i lo
tcpdump -A -n -x -s 0 tcp port 7430 and host 192.168.3.143
tcpdump -x -n -s 0 tcp port 9024 or 9021 or 9023 or 9020
四、输出结果介绍
下面我们介绍几种典型的tcpdump命令的输出信息
(1) 数据链路层头信息
使用命令：
#tcpdump --e host ICE
ICE 是一台装有linux的主机。它的MAC地址是0：90：27：58：AF：1A H219是一台装有Solaris的SUN工作站。它的MAC地址是8：0：20：79：5B：46； 上一条命令的输出结果如下所示：
<span style="font-size:18 color:#:50:12.847509 eth0 & 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 & ICE. &telne t 0:0(0) ack 22535 win 8760 (DF)
<span style="font-size:18 color:#：50：12是显示的时间， 847509是ID号，eth0 &表示从网络接口eth0接收该分组， eth0 &表示从网络接口设备发送分组， 8:0:20:79:5b:46是主机H219的MAC地址， 它表明是从源地址H219发来的分组. 0:90:27:58:af:1a是主机ICE的MAC地址， 表示该分组的目的地址是ICE。 ip 是表明该分组是IP分组，60 是分组的长度， h219.33357 & ICE. telnet
表明该分组是从主机H219的33357端口发往主机ICE的 TELNET(23)端口。 ack 22535 表明对序列号是222535的包进行响应。 win 8760表明发 送窗口的大小是8760。
(2) ARP包的tcpdump输出信息
使用命令：
#tcpdump arp
得到的输出结果是：
<span style="font-size:18 color:#:32:42.802509 eth0 & arp who-has route tell ICE (0:90:27:58:af:1a)
<span style="font-size:18 color:#:32:42.802902 eth0 & arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)
<span style="font-size:18 color:#:32:42是时间戳， 802509是ID号， eth0 &表明从主机发出该分组，arp表明是ARP请求包， who-has route tell ICE表明是主机ICE请求主机route的MAC地址。 0:90:27:58:af:1a是主机 ICE的MAC地址。
(3) TCP包的输出信息
用tcpdump捕获的TCP包的一般输出信息是：
src & dst: flags data-seqno ack window urgent options
src & dst:表明从源地址到目的地址， flags是TCP报文中的标志信息，S 是SYN标志， F (FIN)， P (PUSH) ， R (RST) “.” (没有标记); data-seqno是报文中的数据 的顺序号， ack是下次期望的顺序号， window是接收缓存的窗口大小， urgent表明 报文中是否有紧急指针。 Options是选项。
(4) UDP包的输出信息
用tcpdump捕获的UDP包的一般输出信息是：
route.port1 & ICE.port2: udp lenth
UDP十分简单，上面的输出行表明从主机route的port1端口发出的一个UDP报文 到主机ICE的port2端口，类型是UDP， 包的长度是lenth。
(1) 想要截获所有210.27.48.1 的主机收到的和发出的所有的分组：
#tcpdump host 210.27.48.1
(2) 想要截获主机210.27.48.1 和主机210.27.48.2或210.27.48.3的通信，使用命令（注意：括号前的反斜杠是必须的）：
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
(4) 如果想要获取主机192.168.228.246接收或发出的ssh包，并且不转换主机名使用如下命令：
#tcpdump -nn -n src host 192.168.228.246 and port 22 and tcp
(5) 获取主机192.168.228.246接收或发出的ssh包，并把mac地址也一同显示：
# tcpdump -e src host 192.168.228.246 and port 22 and tcp -n -nn
(6) 过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头：
tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24
(7) 过滤源主机物理地址为XXX的报头：
tcpdump ether src 00:50:04:BA:9B and dst……
（为什么ether src后面没有host或者net？物理地址当然不可能有网络）。
(8) 过滤源主机192.168.0.1和目的端口不是telnet的报头，并导入到tes.t.txt文件中：
Tcpdump src host 192.168.0.1 and dst port not telnet -l & test.txt
ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。
例题：如何使用tcpdump监听来自eth0适配卡且通信协议为port 22，目标来源为192.168.1.100的数据包资料？
答：tcpdump -i eth0 -nn port 22 and src host 192.168.1.100
例题：如何使用tcpdump抓取访问eth0适配卡且访问端口为tcp 9080？
答:tcpdump -i eth0 dst 172.168.70.35 and tcp port 9080
例题：如何使用tcpdump抓取与主机192.168.43.23或着与主机192.168.43.24通信报文，并且显示在控制台上
tcpdump -X -s 1024 -i eth0 host (192.168.43.23 or 192.168.43.24) and &host 172.16.70.35
---------------------------------------------------------------------------------
& & & &tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c count ]
& & & & & & & &[ -C file_size ] [ -F file ]
& & & & & & & &[ -i interface ] [ -m module ] [ -M secret ]
& & & & & & & &[ -r file ] [ -s snaplen ] [ -T type ] [ -w file
& & & & & & & &[ -W filecount ]
& & & & & & & &[ -E spi@ipaddr algo:secret,... &]
& & & & & & & &[ -y datalinktype ] [ -Z user ]
& & & & & & & &[ expression ]
c 设定抓多少个包后自动停止
s 指定抓每个包的前多少字节(默认56字节)
w 保存到某个文件
v&显示更详细
n 不显示主机名,显示IP
nn 也把端口显示为数值,否则显示端口服务名
i 指定哪块网卡
host 指定某个主机
port 指定某个端口
net 指定某个网络
tcp 指定抓tcp包
udp 指定抓udp包
ip 指定抓ip包
icmp 指定抓icmp包
指定源主机
指定目的主机
指定目的端口
实例 抓164访问本地22端口的包 ,单向的
[root@stu24 ~]# tcpdump -i eth0 -n src host 192.168.0.164 and dst port 22
抓164ping本地的包
[root@stu24 ~]# tcpdump -i eth0 -n icmp and src host 192.168.0.164
当网卡工作于混杂模式里时
[root@stu24 ~]# tcpdump -i eth0 -n dst port 22 or dst port 80&
有可能抓到别人的包
有个包可解决...以后说
两种条件一起抓
[root@stu24 ~]# tcpdump -i eth0 -n 'src host 192.168.0.164 and dst port 22' or 'src host 192.168.0.4 and dst port 80'二者等价
[root@stu24 ~]# tcpdump -i eth0 -n \(src host 192.168.0.164 and dst port 22\) or \(src host 192.168.0.4 and dst port 80\)
tcpdump -i eth0&
tcpdump -i eth0 -v -n&
& & & & & & & & & & & －v 显示包含有TTL，TOS值等等更详细的信息
&& & & －n不要做IP解析为主机名
&& & &－nn不做名字解析和端口解析
更有针对性的抓包：
针对IP，网段，端口，协议
[root@ ftp]# tcpdump -i eth0 -vnn host 192.168.0.154
[root@ ftp]# tcpdump -i eth0 -vnn net 192.168.0.0/24
[root@ ftp]# tcpdump -i eth0 -vnn port 22&
[root@ ftp]# tcpdump -i eth0 -vnn &udp
[root@ ftp]# tcpdump -i eth0 -vnn icmp
[root@ ftp]# tcpdump -i eth0 -vnn arp
[root@ ftp]# tcpdump -i eth0 -vnn ip
[root@ ftp]# tcpdump -i eth0 -vnn src host 192.168.0.154
[root@ ftp]# tcpdump -i eth0 -vnn dst host 192.168.0.154
[root@ ftp]# tcpdump -i eth0 -vnn src port 22
[root@ ftp]# tcpdump -i eth0 -vnn src host 202.106.0.254 and dst port 22
& & & & & & & & &
[root@ ftp]# tcpdump -i eth0 -vnn src host 192.168.0.154 or port 22
[root@ ftp]# tcpdump -i eth0 -vnn src host 192.168.0.154 and not port 22&
[root@ ftp]# tcpdump -i eth0 -vnn \( src host 192.168.0.2 and dst port 22 \) or & \( src host 192.168.0.65 and dst port 80 \)
[root@ ~]# tcpdump -ieth0 -vnn -r &/tmp/fil1 tcp
[root@ ~]# tcpdump -ieth0 -vnn -r &/tmp/fil1 host &202.106.0.258
[root@ ~]# tcpdump -ieth0 -vnn -r &/tmp/fil1 tcp
[root@ ~]# tcpdump -ieth0 -vnn -w &/tmp/fil1 -c 100
&&相关文章推荐
参考知识库
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：399450次
积分：3828
积分：3828
排名：第7568名
原创：94篇
转载：13篇
评论：28条
(1)(1)(1)(2)(1)(1)(1)(1)(1)(1)(1)(1)(3)(1)(1)(4)(2)(2)(2)(3)(1)(7)(7)(3)(2)(3)(2)(1)(3)(1)(1)(3)(10)(2)(18)(13)tcpdump抓包命令
&&tcpdump支持相当多的参数，如使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用，使用-c参数指定要监听的数据包数量，使用-w参数指定将监听到的数据包写入文件中保存，等等。如下：&
-a&将网络地址和广播地址转变成名字；&
-b&在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。&
-c&指定要监听的数据包数量，在收到指定的包的数目后，tcpdump就会停止.&
-d&将匹配信息包的代码以人们能够理解的汇编格式给出；&
-dd&将匹配信息包的代码以c语言程序段的格式给出；&
-ddd&将匹配信息包的代码以十进制的形式给出；&
-e&在输出行打印出数据链路层的头部信息；&
-F&从指定的文件中读取表达式,忽略其它的表达式；&
-f&将外部的Internet地址以数字的形式打印出来；&
-i&指定监听的网络接口，这在计算机具有多个网络接口时非常有用.&
-l&用于输出为行缓冲的形式，可以将数据重定向。&
-N&不打印出默认的域名。前面信息-N后就是：eth0&&&ntc9.1165&&&router.telnet。&
-n&不进行IP地址到主机名的转换。如果不使用这一项，当系统中存在某一主机的主机名时，TcpDump会把IP地址转换为主机名显示，就像这样：eth0&&&ntc9.1165&&router.domain.net.telnet，使用-n后变成了：eth0&&&192.168.0.9.1165&&&192.168.0.1.telnet。&
-nn&不进行端口名称的转换。前面那条信息使用-nn后就变成了：eth0&&&ntc9.1165&&&router.domain.net.23。&
-O&不进行匹配代码的优化。&
-r&从指定的文件中读取包(这些包一般通过-w选项产生)；&
-T&将监听到的包直接解释为指定的类型的报文，常见的类型有rpc&（远程过程调用）和snmp（简单网络管理协议；）&
-t&在输出的每一行不打印时间戳；&
-tt&打印原始的、未格式化过的时间。&
-v&输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；&
-vv&输出详细的报文信息；&
-w&指定将监听到的数据包写入文件中保存而并不分析和打印出来.
1.监视第一个网络界面上所有流过的数据包:
普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包，注意这里使用超级用户。当用户上网得时候，就会将监视得数据打印出来。
2.监视指定网络接口的数据包：
tcpdump&-ið1
如果不指定网卡，默认tcpdump只会监视第一个网络接口，一般是eth0。
3.监视指定主机的数据包：
tcpdump&host&sundown
tcpdump&host&210.27.48.1&
4.监视指定主机和端口的数据包：
tcpdump&tcp&port&23&host&210.27.48.1
5.重定向输出：
tcpdump&-l&&tcpcap.txt&
将得到的数据存入tcpcap.txt文件中。
6.匹配一次：
tcpdump&-c&1
这样就只匹配一个包，然后tcpdump就退出。
7.监视指定主机和另外主机之间得通信：&
tcpdump&host&10.126.1.222&and&(10.126.1.1&or&10.126.1.13&)&
将监视主机10.126.1.222和10.126.1.1或者10.126.1.13之间的通信，注意这里得括号。
8.监视时排除某一主机：
tcpdump&ip&host&10.126.1.1&and&!&10.126.1.13&
这里监视10.1.6.1.1除了和10.126.1.13之外所有主机的通信。&
9.指定源主机和目的网络的过滤:&
tcpdump&src&host&10.126.1.222&and&dst&net&10.126.1.0/24&
过滤的是源主机为10.126.1.222与目的网络为10.126.1.0/24的报头。&
10.匹配指定网络：
tcpdump&-ið1&net&10.1.10.0&mask&255.255.255.0
这里有掩码只支持IPV4，或者使用"tcpdump&10.1.10.0/24"，同样这个格式只对IPV4有用。&
11.监视指定主机指定协议的包：&
tcpdump&ip&host&10.126.1.13&
这里监视主机10.126.1.13收发的所有ip包。
12.监视指定主机和端口的数据包：
tcpdump&-ið0&host&10.126.1.1&and&port&80&
监视10.126.1.1端口80的TCP或UDP数据包
13.监视指定方向和接口的包1：&
tcpdump&-ið0&src&host&10.126.1.222&
监视10.126.1.222发送的，eth0上面的包。
14.监视指定方向和接口的包2：
tcpdump&-ið0&dst&host&10.126.1.222&
监视10.126.1.222接收的，eth0上面的包。
15.监视指定链路层信息：&
tcpdump&-b&arp&
只显示网络中的arp即地址转换协议信息。&
16.过滤源主机mac为00:50:04:BA:9B的报头：&
tcpdumpðer&src&00:24:7e:03:62:14&
可以使用ifconfig查看本地主机的mac，使用arp&-n来查看本地已知其他主机的mac。&
17.过滤源主机为10.126.1.222目的主机端口不是telnet的报文：
tcpdump&src&host&10.126.1.222&and&dst&port¬&telnet&
18.匹配ether包：&
tcpdump&-ið1&'ether&src&00:24:7e:03:62:14'&
将会在eth1上面监听来自mac为"00:24:7e:03:62:14"的数据包。&
19.监听ip广播组播数据包&：
tcpdump&'ip&dst&192.168.240.255'&
只需指明广播或组播地址即可。在同一个局域网的另一台主机运行"ping&-b&192.168.240.255"即可发送ICMP的广播包。&
20.监听80端口的tcp数据包：&
tcpdump&'tcp&dst&port&80'&
一般HTTP的通信数据，只需指定匹配端口为80的条件即可。&
21.匹配arp包：
tcpdump&arp&
可以使用"arping&"产生arp请求和接收答应报文，使用"tcpdump&-p&'arp'"来监视，此处-p选项是使网络工作于正常模式（非混杂模式），这样是方便查看匹配结果，我们可以使用"ssh&-p&80&"或者"wget&&下载地址&"来产生http包。&
22.监视通过指定网关的数据包：
tcpdump&gateway&hostname&
23.匹配端口53上的udp数据包：&
tcpdump&'upd&port&53'&
实际53号端口是DNS协议所用的端口，可以用'ping&-c&1&来产生DNS请求和答应。
24.抓取wireshark工具能够分析的包：
tcpdump&-w&dumpfile.pcap
这样抓取内容存放在dumpfile.pcap中，可以用wireshark图形工具进行分析。有的说需要加-s参数，例如"tcpdump&-s&0&-w&dumpfile.pcap"。
三.&tcpdump&与wireshark：
Wireshark(以前是ethereal)是Windows下非常简单易用的抓包工具。但在Linux下很难找到一个好用的图形化抓包工具。还好有Tcpdump。我们可以用Tcpdump&+&Wireshark&的完美组合实现：在&Linux&里抓包，然后在Windows&里分析包。
tcpdump&tcp&-ið1&-t&-s&0&-c&100&and&dst&port&!&22&and&src&net&192.168.1.0/24&-w&./target.cap
(1)tcp:&ip&icmp&arp&rarp&和&tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
(2)-ið1&:&只抓经过接口eth1的包
(3)-t&:&不显示时间戳
(4)-s&0&:&抓取数据包时默认抓取长度为68字节。加上-S&0&后可以抓到完整的数据包
(5)-c&100&:&只抓取100个数据包
(6)dst&port&!&22&:&不抓取目标端口是22的数据包
(7)src&net&192.168.1.0/24&:&数据包的源网络地址为192.168.1.0/24
(8)-w&./target.cap&:&保存成cap文件，方便用ethereal(即wireshark)分析
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。博客访问： 339570
博文数量： 79
博客积分： 2043
博客等级： 大尉
技术积分： 722
注册时间：
IT168企业级官微
微信号：IT168qiye
系统架构师大会
微信号：SACC2013
分类： LINUX
查看tcpdump帮助只要添加一个参数-C 就可以实现抓包自动按包的大小切换包可是尝试了好多次总是提示tcpdump: test: Permission denied执行如下命令：[root@TestServer2 ~]# tcpdump -i eth0 port 6100 -n -vv -s 1500 -C 2 -w testtcpdump: test: Permission denied查了一些资料最后必须切换到/var/tmp目录下执行以上命令才算成功。[root@TestServer2 ~]# cd /var/tmp/[root@TestServer2 tmp]#&tcpdump -i eth0 port 6100 -n -vv -s 1500 -C 2 -w tadu_api以下是抓到的包自动按大小切换：[root@TestServer2 tmp]# ll总计 24720-rw-r--r-- 1 pcap pcap -05 10:03 tadu_api-rw-r--r-- 1 pcap pcap -05 10:09 tadu_api1-rw-r--r-- 1 pcap pcap -05 11:12 tadu_api10-rw-r--r-- 1 pcap pcap -05 11:18 tadu_api11-rw-r--r-- 1 pcap pcap -05 11:21 tadu_api12-rw-r--r-- 1 pcap pcap -05 10:15 tadu_api2-rw-r--r-- 1 pcap pcap -05 10:23 tadu_api3-rw-r--r-- 1 pcap pcap -05 10:30 tadu_api4-rw-r--r-- 1 pcap pcap -05 10:38 tadu_api5-rw-r--r-- 1 pcap pcap -05 10:45 tadu_api6-rw-r--r-- 1 pcap pcap -05 10:53 tadu_api7-rw-r--r-- 1 pcap pcap -05 11:00 tadu_api8-rw-r--r-- 1 pcap pcap -05 11:06 tadu_api9
阅读(7820) | 评论(1) | 转发(1) |
相关热门文章
给主人留下些什么吧！~~
楼主&我想问一下为什么必须切换到/var/tmp目录下才行？&我最近也遇到这个问题
请登录后评论。1060人阅读
Linux（19）
-a —— 将网络地址和广播地址转变成名字
-d —— 将匹配信息包的代码以人们能够理解的汇编格式给出
-dd —— 将匹配信息包的代码以c语言程序段的格式给出
-ddd —— 将匹配信息包的代码以十进制的形式给出
-e —— 在输出行打印出数据链路层的头部信息
-f —— 将外部的Internet地址以数字的形式打印出来
-l —— 使标准输出变为缓冲行形式
-n —— 不把网络地址转换成名字
-t —— 在输出的每一行不打印时间戳
-v —— 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息
-vv —— 输出详细的报文信息
-c —— 在收到指定的包的数目后，tcpdump就会停止
-F —— 从指定的文件中读取表达式,忽略其它的表达式
-i —— 指定监听的网络接口
-r —— 从指定的文件中读取包(这些包一般通过-w选项产生)
-w —— 直接将包写入文件中，并不分析和打印出来
-T —— 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议）
普通情况下，直接启动tcpdump将监视第一个网络接口上所有流过的数据包。
监视指定网络接口的数据包
tcpdump -i eth1
如果不指定网卡，默认tcpdump只会监视第一个网络接口，一般是eth0，下面的例子都没有指定网络接口。
监视指定主机的数据包
打印所有进入或离开sundown的数据包.
tcpdump host sundown
也可以指定ip,例如截获所有210.27.48.1 的主机收到的和发出的所有的数据包
tcpdump host 210.27.48.1
打印helios 与 hot 或者与 ace 之间通信的数据包
tcpdump host helios and \( hot or ace \)
截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信
tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包.
tcpdump ip host ace and not helios
如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
tcpdump ip host 210.27.48.1 and ! 210.27.48.2
截获主机hostname发送的所有数据
tcpdump -i eth0 src host hostname
监视所有送到主机hostname的数据包
tcpdump -i eth0 dst host hostname
监视指定主机和端口的数据包
如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令
tcpdump tcp port 23 and host 210.27.48.1
对本机的udp 123 端口进行监视 123 为ntp的服务端口
tcpdump udp port 123
监视指定网络的数据包
打印本地主机与Berkeley网络上的主机之间的所有通信数据包(nt: ucb-ether, 此处可理解为’Berkeley网络’的网络地址,此表达式最原始的含义可表达为: 打印网络地址为ucb-ether的所有数据包)
tcpdump net ucb-ether
打印所有通过网关snup的ftp数据包(注意, 表达式被单引号括起来了, 这可以防止shell对其中的括号进行错误解析)
tcpdump 'gateway snup and (port ftp or ftp-data)'
打印所有源地址或目标地址是本地主机的IP数据包
(如果本地网络通过网关连到了另一网络, 则另一网络并不能算作本地网络.(nt: 此句翻译曲折,需补充).localnet 实际使用时要真正替换成本地网络的名字)
tcpdump ip and not net localnet
监视指定协议的数据包
打印TCP会话中的的开始和结束数据包, 并且数据包的源或目的不是本地网络上的主机.(nt: localnet, 实际使用时要真正替换成本地网络的名字))
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'
打印所有源或目的端口是80, 网络层协议为IPv4, 并且含有数据,而不是SYN,FIN以及ACK-only等不含数据的数据包.(ipv6的版本的表达式可做练习)
tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)&&2)) - ((tcp[12]&0xf0)&&2)) != 0)'
(nt: 可理解为, ip[2:2]表示整个ip数据包的长度, (ip[0]&0xf)&&2)表示ip数据包包头的长度(ip[0]&0xf代表包中的IHL域, 而此域的单位为32bit, 要换算成字节数需要乘以4, 即左移2. (tcp[12]&0xf0)&&4 表示tcp头的长度, 此域的单位也是32bit, 换算成比特数为 ((tcp[12]&0xf0) && 4) && ２, 即 ((tcp[12]&0xf0)&&2). ((ip[2:2] - ((ip[0]&0xf)&&2)) - ((tcp[12]&0xf0)&&2)) != 0 表示: 整个ip数据包的长度减去ip头的长度,再减去tcp头的长度不为0, 这就意味着, ip数据包中确实是有数据.对于ipv6版本只需考虑ipv6头中的’Payload Length’ 与 ‘tcp头的长度’的差值, 并且其中表达方式’ip[]’需换成’ip6[]’.)
打印长度超过576字节, 并且网关地址是snup的IP数据包
tcpdump 'gateway snup and ip[2:2] & 576'
打印所有IP层广播或多播的数据包， 但不是物理以太网层的广播或多播数据报
tcpdump 'ether[0] & 1 = 0 and ip[16] &= 224'
打印除’echo request’或者’echo reply’类型以外的ICMP数据包( 比如,需要打印所有非ping 程序产生的数据包时可用到此表达式 .
(nt: ‘echo reuqest’ 与 ‘echo reply’ 这两种类型的ICMP数据包通常由ping程序产生))
tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'
tcpdump 与wireshark
Wireshark(以前是ethereal)是Windows下非常简单易用的抓包工具。但在Linux下很难找到一个好用的图形化抓包工具。
还好有Tcpdump。我们可以用Tcpdump + Wireshark 的完美组合实现：在 Linux 里抓包，然后在Windows 里分析包。
tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
(1)tcp: ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
(2)-i eth1 : 只抓经过接口eth1的包
(3)-t : 不显示时间戳
(4)-s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完整的数据包
(5)-c 100 : 只抓取100个数据包
(6)dst port ! 22 : 不抓取目标端口是22的数据包
(7)src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24
(8)-w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析
使用tcpdump抓取HTTP包
-XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
0x4745 为”GET”前两个字母”GE”,0x4854 为”HTTP”前两个字母”HT”。
tcpdump 对截获的数据并没有进行彻底解码，数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障，通常的解决办法是先使用带-w参数的tcpdump 截获数据并保存到文件中，然后再使用其他程序(如Wireshark)进行解码分析。当然也应该定义过滤规则，以避免捕获的数据包填满整个硬盘。
&&相关文章推荐
参考知识库
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：478452次
积分：5001
积分：5001
排名：第5071名
原创：76篇
转载：75篇
评论：48条
(5)(1)(4)(9)(7)(2)(1)(3)(1)(1)(1)(1)(2)(1)(6)(1)(1)(6)(1)(14)(11)(19)(37)(16)
