linux系统中tcpdump抓包命令使用详解.docx

《linux系统中tcpdump抓包命令使用详解.docx》由会员分享，可在线阅读，更多相关《linux系统中tcpdump抓包命令使用详解.docx（13页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、linux系统中tcpdump抓包命令使用详解linux系统中tcpdump抓包命令使用详解Linux系统中tcpdump是一个用于截取网络分组，并输出分组内容的工具，下面由学习啦我为大家整理了linux系统中tcpdump命令的使用详解，希望对大家有帮助!linux系统中tcpdump抓包命令使用详解TCPdump抓包命令tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵敏的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。tcpdump提供了源代码，公开了接口，因而具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcp

2、dump存在于基本的Linux系统中，由于它需要将网络界面设置为混杂形式，普通用户不能正常执行，但具备root权限的用户能够直接执行它来获取网络上的信息。因而系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。一、tcpdump命令概述顾名思义，tcpdump能够将网络中传送的数据包的头完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。引用#tcpdump-vvtcpdump:listeningoneth0,link-typeEN10MB(Ethernet),capturesiz

3、e96bytes11:53:21.444591IP(tos0x10,ttl64,id19324,offset0,flagsDF,proto6,length:92)asptest.localdomain.ssh192.168.228.244.1858:P3962132600:3962132652(52)ack2726525936win1266asptest.localdomain.1077192.168.228.153.domain:badudpcksum166e!325+PTR?244.228.168.192.in-addr.arpa.(46)11:53:21.446929IP(tos0x0,

4、ttl64,id42911,offset0,flagsDF,proto17,length:151)192.168.228.153.domainasptest.localdomain.1077:325NXDomainq:PTR?244.228.168.192.in-addr.arpa.0/1/0ns:168.192.in-addr.arpa.(123)11:53:21.447408IP(tos0x10,ttl64,id19328,offset0,flagsDF,proto6,length:172)asptest.localdomain.ssh192.168.228.244.1858:P168:3

5、00(132)ack1win1266347packetscaptured1474packetsreceivedbyfilter745packetsdroppedbykernel不带参数的tcpdump会采集网络中所有的信息包头，数据量宏大，必须过滤。二、tcpdump命令选项介绍引用-A以ASCII格式打印出所有分组，并将链路层的头最小化。-c在收到指定的数量的分组后，tcpdump就会停止。-C在将一个原始分组写入文件之前，检查文件当前的大小能否超过了参数file_size中指定的大小。假如超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数file_size的单位是兆字节(是1,0

6、00,000字节，而不是1,048,576字节)。-d将匹配信息包的代码以人们能够理解的汇编格式给出。-dd将匹配信息包的代码以c语言程序段的格式给出。-ddd将匹配信息包的代码以十进制的形式给出。-D打印出系统中所有能够用tcpdump截包的网络接口。-e在输出行打印出数据链路层的头部信息。-E用spiipaddralgo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsecESP分组。-f将外部的Internet地址以数字的形式打印出来。-F从指定的文件中读取表达式，忽略命令行中给出的表达式。-i指定监听的网络接口。-l使标准输出变为缓冲行形式，能够把数据导出

7、到文件。-L列出网络接口的已知数据链路。-m从文件module中导入SMIMIB模块定义。该参数能够被使用屡次，以导入多个MIB模块。-M假如tcp报文中存在TCP-MD5选项，则需要用secret作为分享的验证码用于验证TCP-MD5选选项摘要(详情可参考RFC2385)。-b在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。-n不把网络地址转换成名字。-nn不进行端口名称的转换。-N不输出主机名中的域名部分。例如，nic.ddn.mil只输出nic。-t在输出的每一行不打印时间戳。-O不运行分组分组匹配(packet-matching)代码优化程序。-P不将网络接口

8、设置成混杂形式。-q快速输出。只输出较少的协议信息。-r从指定的文件中读取包(这些包一般通过-w选项产生)。-S将tcp的序列号以绝对值形式输出，而不是相对值。-s从每个分组中读取最开场的snaplen个字节，而不是默认的68个字节。-T将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程经过调用)和snmp(简单网络管理协议;)。-t不在每一行中输出时间戳。-tt在每一行中输出非格式化的时间戳。-ttt输出本行和前面一行之间的时间差。-tttt在每一行中输出由date处理的默认格式的时间戳。-u输出未解码的NFS句柄。-v输出一个略微具体的信息，例如在ip包中能够包括ttl和服务类

9、型的信息。-vv输出具体的报文信息。-w直接将分组写入文件中，而不是不分析并打印出来。三、tcpdump的表达式介绍表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，假如一个报文知足表达式的条件，则这个报文将会被捕获。假如没有给出任何条件，则网络上所有的信息包将会被截获。在表达式中一般如下几种类型的关键字：引用第一种是关于类型的关键字，主要包括host，net，port，例如host210.27.48.2，指明210.27.48.2是一台主机，net202.0.0.0指明202.0.0.0是一个网络地址，port23指明端口号是23。假如没有指定类型，缺省的类型是host。第二种

10、是确定传输方向的关键字，主要包括src，dst，dstorsrc，dstandsrc，这些关键字指明了传输的方向。举例讲明，src210.27.48.2，指明ip包中源地址是210.27.48.2，dstnet202.0.0.0指明目的网络地址是202.0.0.0。假如没有指明方向关键字，则缺省是srcordst关键字。第三种是协议的关键字，主要包括fddi，ip，arp，rarp，tcp，udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是ether的别名，fddi和ether具有类似的源地址和目的地址，所以能够将fddi协议包当作ether的包进行

11、处理和分析。其他的几个关键字就是指明了监听的包的协议内容。假如没有指定任何协议，则tcpdump将会监听所有协议的信息包。除了这三种类型的关键字之外，其他重要的关键字如下：gateway，broadcast，less，greater，还有三种逻辑运算，取非运算是not!，与运算是and，或运算是or，|这些关键字能够组合起来构成强大的组合条件来知足人们的需要。四、输出结果介绍下面我们介绍几种典型的tcpdump命令的输出信息(1)数据链路层头信息使用命令：#tcpdump-ehostICEICE是一台装有linux的主机。它的MAC地址是0：90：27：58：AF：1AH219是一台装有Sol

12、aris的SUN工作站。它的MAC地址是8：0：20：79：5B：46;上一条命令的输出结果如下所示：引用21:50:12.847509eth08:0:20:79:5b:460:90:27:58:af:1aip60:h219.33357ICE.telnet0:0(0)ack22535win8760(DF)21：50：12是显示的时间，847509是ID号，eth0表示从网络接口eth0接收该分组，eth0表示从网络接口设备发送分组，8:0:20:79:5b:46是主机H219的MAC地址，它表明是从源地址H219发来的分组.0:90:27:58:af:1a是主机ICE的MAC地址，表示该分组的

13、目的地址是ICE。ip是表明该分组是IP分组，60是分组的长度，h219.33357ICE.telnet表明该分组是从主机H219的33357端口发往主机ICE的TELNET(23)端口。ack22535表明对序列号是222535的包进行响应。win8760表明发送窗口的大小是8760。(2)ARP包的tcpdump输出信息使用命令：#tcpdumparp得到的输出结果是：引用22:32:42.802509eth0arpwho-hasroutetellICE(0:90:27:58:af:1a)22:32:42.802902eth0arpreplyrouteis-at0:90:27:12:10:

14、66(0:90:27:58:af:1a)22:32:42是时间戳，802509是ID号，eth0表明从主机发出该分组，arp表明是ARP请求包，who-hasroutetellICE表明是主机ICE请求主机route的MAC地址。0:90:27:58:af:1a是主机ICE的MAC地址。(3)TCP包的输出信息用tcpdump捕获的TCP包的一般输出信息是：引用srcdst:flagsdata-seqnoackwindowurgentoptionssrcdst:表明从源地址到目的地址，flags是TCP报文中的标志信息，S是SYN标志，F(FIN)，P(PUSH)，R(RST).(没有标记);

15、data-seqno是报文中的数据的顺序号，ack是下次期望的顺序号，window是接收缓存的窗口大小，urgent表明报文中能否有紧急指针。Options是选项。(4)UDP包的输出信息用tcpdump捕获的UDP包的一般输出信息是：引用route.port1ICE.port2:udplenthUDP特别简单，上面的输出行表明从主机route的port1端口发出的一个UDP报文到主机ICE的port2端口，类型是UDP，包的长度是lenth。五、linuxtcpdump命令使用举例(1)想要截获所有210.27.48.1的主机收到的和发出的所有的分组：#tcpdumphost210.27.4

16、8.1(2)想要截获主机210.27.48.1和主机210.27.48.2或210.27.48.3的通信，使用命令(注意：括号前的反斜杠是必须的)：#tcpdumphost210.27.48.1and210.27.48.2or210.27.48.3(3)假如想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：#tcpdumpiphost210.27.48.1and!210.27.48.2(4)假如想要获取主机192.168.228.246接收或发出的ssh包，并且不转换主机名使用如下命令：#tcpdump-nn-nsrchost192.168.

17、228.246andport22andtcp(5)获取主机192.168.228.246接收或发出的ssh包，并把mac地址也一同显示：#tcpdump-esrchost192.168.228.246andport22andtcp-n-nn(6)过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头：tcpdumpsrchost192.168.0.1anddstnet192.168.0.0/24(7)过滤源主机物理地址为XXX的报头：tcpdumpethersrc00:50:04:BA:9Banddst(为什么ethersrc后面没有host或者net?物理地址当然不可

18、能有网络喽)。(8)过滤源主机192.168.0.1和目的端口不是telnet的报头，并导入到tes.t.txt文件中：Tcpdumpsrchost192.168.0.1anddstportnottelnet-ltest.txtipicmparprarp和tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。linux系统中tcpdump抓包命令使用详解Linux系统中tcpdump是一个用于截取网络分组，并输出分组内容的工具，下面由学习啦我为大家整理了linux系统中tcpdump命令的使用详解，希望对大家有帮助!linux系统中tcpdump抓包命令使用详解TCPdump抓包命令tcpdump是一个用于截取网推荐度：