tcpdump抓包工具

tcpdump抓包工具

一：TCPDump介紹

​ TcpDump能夠將網絡中傳送的數據包的「頭」徹底截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾，並提供and、or、not等邏輯語句來幫助你去掉無用的信息。tcpdump就是一種免費的網絡分析工具，尤爲其提供了源代碼，公開了接口，所以具有很強的可擴展性，對於網絡維護和入侵者都是很是有用的工具。tcpdump存在於基本的FreeBSD系統中，因爲它須要將網絡界面設置爲混雜模式，普通用戶不能正常執行，但具有root權限的用戶能夠直接執行它來獲取網絡上的信息。所以系統中存在網絡分析工具主要不是對本機安全的威脅，而是對網絡上的其餘計算機的安全存在威脅。

二：平常使用

1.參數介紹

tcpdump

• -i 指定網絡接口
• -c 指定要監控的包的數量
• -w 將抓包結果以文件的形式存放
• -a 　　　將網絡地址和廣播地址轉變成名字；
• -d 　　　將匹配信息包的代碼以人們可以理解的彙編格式給出；
• -dd 　　 將匹配信息包的代碼以c語言程序段的格式給出；
• -ddd 　　將匹配信息包的代碼以十進制的形式給出；
• -e 　　　在輸出行打印出數據鏈路層的頭部信息；
• -f 　　　將外部的Internet地址以數字的形式打印出來；
• -l 　　　使標準輸出變爲緩衝行形式；
• -n 　　　不把網絡地址轉換成名字；
• -t 　　　在輸出的每一行不打印時間戳；
• -v 　　　輸出一個稍微詳細的信息，例如在ip包中能夠包括ttl和服務類型的信息；
• -vv 　　 輸出詳細的報文信息；
• -F 　　　從指定的文件中讀取表達式,忽略其它的表達式；
• -r 　　　從指定的文件中讀取包(這些包通常經過-w選項產生)；
• -T 　　　將監聽到的包直接解釋爲指定的類型的報文，常見的類型有rpc （遠程過程調用）和snmp（簡單網絡管理協議；）

2.表達式介紹

​ 表達式是一個正則表達式，tcpdump利用他過濾報文的條件，若是一個報文知足表達式的條件，則這個報文將會被捕獲。若是表達式爲空，則會捕獲全部全部的信息包

表達式類型：

1. 類型關鍵字
   • host 192.168.30.10 指定一臺主機（默認）
   • net 192.168.30.0 指定一個網絡段
   • port 80 指定端口號
2. 方向關鍵字
   • src 192.168.30.10 指定包中的源地址
   • dst 192.168.30.20 指定包中的目的地址
   • dst 192.168.30.20 or src 192.168.30.20 dst和src知足一個就獲取
   • dst 192.168.30.20 and src 192.168.30.20 dst和src必須同時知足
3. 協議關鍵字
   • fddi FDDI(分佈式光纖數據接口網絡)上的特定的網絡協議
   • ip
     
   • arp
   • rarp
   • tcp
   • utp
4. 其餘不經常使用關鍵字還有gateway,broadcast,less,greater,還有三種邏輯運算，取非運算是 'not ' '! ',與運算是'and','&&';或運算 是'or','││'；這些關鍵字能夠組合起來構成強大的組合條件來知足人們的須要。

三.平常使用例子

1. 抓取當前主機全部數據包，tcpdump默認在當前終端運行

   [root@mweb07 ~]# tcpdump 
   tcpdump: WARNING: eth0: no IPv4 address assigned
   tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
   listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
   10:03:25.585291 IP 172.20.10.2.hsrp > all-routers.mcast.net.hsrp: HSRPv0-hello 20: state=active group=10 addr=172.20.10.1
   10:03:26.680044

2. 抓取100個數據包，而且在指定的文件存放起來，默認tcpdump文件是不容許直接查看的

   [root@mweb07 ~]# tcpdump -c 100 -w tcpdump.out
   tcpdump: WARNING: eth0: no IPv4 address assigned
   tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
   100 packets captured     # 抓取100個包後，他就會自動中止
   100 packets received by filter
   0 packets dropped by kernel

3. 讀取-w參數導出的文件

   [root@mweb07 ~]# tcpdump -r 443_tcpdump.out 
   reading from file 443_tcpdump.out, link-type EN10MB (Ethernet)
   10:22:49.771433 IP 180.168.69.242.50838 > mweb07.https: Flags [.], seq 1094068907:1094068908, ack 4179967795, win 16537, length 1
   10:22:49.771447 IP mweb07.https > 180.168.69.242.50838: Flags [R], seq 4179967795, win 0, length 0
   10:22:51.525702 IP 180.168.69.242.50836 > mweb07.https: Flags [F.], seq 932060733, ack 2342938202, win 16344, length 0

4. 抓取6379端口的100個包

   [root@mweb07 ~]# tcpdump -i bond0 -c 100 -w 443_tcpdump.out tcp port 443 
   tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
   100 packets captured
   102 packets received by filter
   0 packets dropped by kernel

5. 抓取源地址爲180.168.69.242，端口爲443的數據包

   [root@mweb07 ~]# tcpdump -i bond0 -c 3 -w 443_tcpdump.out src 180.168.69.242 and tcp port 443
   tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
   3 packets captured
   3 packets received by filter
   0 packets dropped by kernel

6. 抓取指定主機的數據包

   # 抓取指定主機的數據包
   [root@mweb07 ~]# tcpdump -i bond0 -c 10 host 172.20.10.17
   tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
   listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
   10:28:40.375233 IP mweb07.34822 > mweb08.vrace: Flags [P.], seq 2258399624:2258400017, ack 3133621198, win 18960, options [nop,nop,TS val 941802562 ecr 941809211], length 393
   10:28:40.375935 IP mweb08.vrace > mweb07.34822: Flags [.], seq 1:4345, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 4344
   10:28:40.375945 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 4345, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
   10:28:40.375957 IP mweb08.vrace > mweb07.34822: Flags [.], seq 4345:7241, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
   10:28:40.375960 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 7241, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
   10:28:40.376008 IP mweb08.vrace > mweb07.34822: Flags [.], seq 7241:10137, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
   10:28:40.376012 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10137, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
   10:28:40.376015 IP mweb08.vrace > mweb07.34822: Flags [P.], seq 10137:10298, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 161
   10:28:40.376017 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10298, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
   10:28:40.397701 IP mweb07.46871 > mweb08.6379: Flags [P.], seq 2597564002:2597564092, ack 617045751, win 1260, options [nop,nop,TS val 941802584 ecr 941811100], length 90
   10 packets captured
   10 packets received by filter
   0 packets dropped by kernel
   # 能夠發現，若是兩臺主機之間沒有通訊，是沒法抓取的
   [root@mweb07 ~]# tcpdump -i bond0 -c 10 host 172.20.10.10
   tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
   listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes四：平常場景