[实践成功]Tcpdump命令的使用与示例——linux下的网络分析

Wed, 17 Dec 2008 12:52:55 +0000

实际例子先：
（1）想要截获所有172.25.38.70的主机收到的和发出的所有的数据包：

（2）

（3）截取长度为5000，抓取10000个包，网卡为eth1，所有80端口到日志文件log.dmp中：

上面参数的说明如下：
tcpdump -i $Nnet -s 5000 -c 10000 dst port $db -w log.dmp 监听$nnet，抓取10000个送到$db端口的包，截取每个包的前5000bytes保存到log.dmp文件中。
-i 指定监听哪个网络端口
-s 截取包的长度，0表示截取整个数据包
-c参数指定要监听的数据包数量
dst 监视所有目标端口为$db的数据包
-w 输出到名为log.dmp的文件中

再看URL：
http://blog.chinaunix.net/u/3477/article_17655.html
tcpdump实在是linux下非常好用的一个抓包分析工具，据说其数据包分析文件还可以与ethreal通用，我没有用过，哪位用过不妨一起分享一下。
tcpdump在各个版本的linux中基本上被默认安装了，用法很简单，我只举几个例子，各位用过的补充一下吧，把自己觉得最好用的参数都推荐一下。
1）tcpdump -i eth0
这个命令监听所有流经eth0的数据包，如果你的网络环境很复杂，数据包很多的话，恐怕会刷屏刷到看不清楚，所以一般建议加过滤参数以便进一步分析。
2）tcpdump not port 22（或者tcpdump not port ssh）
因为我们平常往往使用ssh进行登录linux主机，如果使用tcpdump的话，它会把我们和主机之间的ssh信息全都反映出来，而每次信息的变化又会引起新的数据变化，所以干脆不看任何关于ssh连接的数据。
3）tcpdump not port 22 and port 80 or port 21 or host 192.168.1.1
注意and的意思是“并且”，or的意思是“或者”，因此当你用这些参数的时候，会在屏幕上显示所有非ssh的，并且是与主机192.168.1.1有关的或者访问端口涉及80或者21的数据包。注意与192.168.1.1关联的数据包中，只有ssh连接不会被显示出来，而非192.168.1.1这台主机关联的数据包，只显示与80端口或21端口有关的。如果你用了这样的方式：tcpdump not port 22 and port 80 and port 21 and host 192.168.1.1，则基本不会显示什么数据包，因为它要同时满足四个条件——不是ssh端口，连接的是80端口并且是21端口并且是与主机192.168.1.1有关，这样基本不可能存在符合条件的数据包。
4）tcpdump -i eth0 broadcast
捕捉流经设备eth0的广播包，也可以用ipx、arp之类的协议代替broadcast，使得针对性更强一些。当然如果tcpdump -i eth0 not broadcast就意味着监听除广播外的所有数据包了。
5）tcpdump -i eth0 broadcast -v
详细显示流经eth0上的广播包的内容，不过我想不研究一下恐怕看不明白。
大概的用法就是这样，是不是很方便呢？欢迎大家把自己觉得很常用的参数都列出来帮菜鸟们学习linux

补充内容：
这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来
说明。
　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
　　　　#tcpdump host 210.27.48.1
　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用　　　括号时，一定要
　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
　　　　#tcpdump tcp port 23 host 210.27.48.1

　　3. tcpdump 的输出结果介绍
　　　下面我们介绍几种典型的tcpdump命令的输出信息
　　　(1) 数据链路层头信息
　　　使用命令#tcpdump --e host ice
　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A
　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条
命令的输出结果如下所示：
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
telne
t 0:0(0) ack 22535 win 8760 (DF)
　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该
数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它
表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息
　　　使用命令#tcpdump arp
　　　得到的输出结果是：
　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
:1a)
　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是
ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5
8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息
　　　用TCPDUMP捕获的TCP包的一般输出信息是：
　　src > dst: flags data-seqno ack window urgent options
　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是
下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针.
Options是选项.

　　(4) UDP包的输出信息
　　　用TCPDUMP捕获的UDP包的一般输出信息是：
　　route.port1 > ice.port2: udp lenth
　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
ICE的port2端口，类型是UDP，包的长度是lenth
(http://www.fanqiang.com)

[评论] [实践成功]Tcpdump命令的使用与示例——linux下的网络分析

Thu, 01 Jan 1970 00:00:00 +0000

向东博客 专注WEB应用 构架之美 --- 构架之美，在于尽态极妍 | 应用之美，在于药到病除

[实践成功]Tcpdump命令的使用与示例——linux下的网络分析

[评论] [实践成功]Tcpdump命令的使用与示例——linux下的网络分析

向东博客专注WEB应用构架之美 --- 构架之美，在于尽态极妍 | 应用之美，在于药到病除