tcpdump Linux 抓包工具使用介绍

发布时间： 更新时间： 总字数：6788 阅读时间：14m 作者：IP：上海 网址

用简单的话来定义 tcpdump，就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump 可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句来帮助你去掉无用的信息。

安装

yum install tcpdump -y

help

  • tcpdump 命令格
tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c count ]
           [ -C file_size ] [ -F file ]
           [ -i interface ] [ -m module ] [ -M secret ]
           [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]
           [ -W filecount ]
           [ -E spi@ipaddr algo:secret,...  ]
           [ -y datalinktype ] [ -Z user ]
           [ expression ]
  • help
tcpdump -h ↕

指定网络接口的数据包

tcpdump -vv -nnt -i eth1
tcpdump -i eth1

如果不指定网卡，默认 tcpdump 只会监视第一个网络接口，一般是 eth0，下面的例子都没有指定网络接口。

指定主机的数据包

打印所有进入或离开 xiexianbin-cn 的数据包.

tcpdump host xiexianbin-cn

也可以指定 ip,例如截获所有 192.168.88.88 的主机收到的和发出的所有的数据包

tcpdump host 192.168.88.88

打印 helios 与 hot 或者与 ace 之间通信的数据包

tcpdump host helios and \( hot or ace \)

截获主机 192.168.88.88 和主机 192.168.88.89 或 192.168.88.90 的通信

tcpdump host 192.168.88.88 and \ (192.168.88.89 or 192.168.88.90 \)

打印 ace 与任何其他主机之间通信的 IP 数据包, 但不包括与 helios 之间的数据包.

tcpdump ip host ace and not helios

如果想要获取主机 192.168.88.88 除了和主机 192.168.88.89 之外所有主机通信的 ip 包，使用命令：

tcpdump ip host 192.168.88.88 and ! 192.168.88.89

截获主机 hostname 发送的所有数据

tcpdump -i eth0 src host hostname

监视所有送到主机 hostname 的数据包

tcpdump -i eth0 dst host hostname

抓取指定来源端口的包，并写到 pcap 文件

tcpdump -i eth0 tcp and port 443 and host 1.1.1.1 -s0 -nn -w test.pcap

指定主机和端口的数据包

如果想要获取主机 210.27.48.1 接收或发出的 telnet 包，使用如下命令

tcpdump tcp port 23 and host 210.27.48.1

对本机的 udp 123 端口进行监视 123 为 ntp 的服务端口

tcpdump udp port 123

指定网络的数据包

打印本地主机与 Berkeley 网络上的主机之间的所有通信数据包(nt: ucb-ether, 此处可理解为’Berkeley 网络’的网络地址,此表达式最原始的含义可表达为: 打印网络地址为 ucb-ether 的所有数据包)

tcpdump net ucb-ether

打印所有通过网关 snup 的 ftp 数据包(注意, 表达式被单引号括起来了, 这可以防止 shell 对其中的括号进行错误解析)

tcpdump 'gateway snup and (port ftp or ftp-data)'

打印所有源地址或目标地址是本地主机的 IP 数据包

(如果本地网络通过网关连到了另一网络, 则另一网络并不能算作本地网络.(nt: 此句翻译曲折,需补充).localnet 实际使用时要真正替换成本地网络的名字)

tcpdump ip and not net localnet

指定协议的数据包

打印 TCP 会话中的的开始和结束数据包, 并且数据包的源或目的不是本地网络上的主机.(nt: localnet, 实际使用时要真正替换成本地网络的名字))

tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

打印所有源或目的端口是 80, 网络层协议为 IPv4, 并且含有数据,而不是 SYN,FIN 以及 ACK-only 等不含数据的数据包.(ipv6 的版本的表达式可做练习)

tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

(nt: 可理解为, ip[2:2]表示整个 ip 数据包的长度, (ip[0]&0xf)«2)表示 ip 数据包包头的长度(ip[0]&0xf 代表包中的 IHL 域, 而此域的单位为 32bit, 要换算

成字节数需要乘以 4,　即左移 2.　(tcp[12]&0xf0)»4 表示 tcp 头的长度, 此域的单位也是 32bit,　换算成比特数为 ((tcp[12]&0xf0) » 4)　«　２, 即 ((tcp[12]&0xf0)»2).　((ip[2:2] - ((ip[0]&0xf)«2)) - ((tcp[12]&0xf0)»2)) != 0 　表示: 整个 ip 数据包的长度减去 ip 头的长度,再减去 tcp 头的长度不为 0, 这就意味着, ip 数据包中确实是有数据.对于 ipv6 版本只需考虑 ipv6 头中的’Payload Length’ 与 ’tcp 头的长度’的差值, 并且其中表达方式’ip[]‘需换成’ip6[]’.)

打印长度超过 576 字节, 并且网关地址是 snup 的 IP 数据包

tcpdump 'gateway snup and ip[2:2] > 576'

打印所有 IP 层广播或多播的数据包， 但不是物理以太网层的广播或多播数据报

tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'

打印除’echo request’或者’echo reply’类型以外的 ICMP 数据包( 比如,需要打印所有非 ping 程序产生的数据包时可用到此表达式 . (nt: ’echo reuqest’ 与 ’echo reply’ 这两种类型的 ICMP 数据包通常由 ping 程序产生))

tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

html 包

# tcpdump 抓取 HTTP 包
tcpdump  -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854

tcpdump 抓包 vlan

tcpdump -i eth0 vlan 100

流量回放

tcpdump -i eth0 -vv -nnt -w tcp.cap

tcpdump -vv -nnt -r tcp.cap

http 请求头过滤

tcpdump -i ens160 -vvAls0 -nnt -l | grep "Content-Type"
最新评论
本文总阅读量 次 本站总访问量 次 本站总访客数 人