tcpdump是一個最基本重要的網路分析工具, 掌握好這, 對於學習tcp/ip協議也是很有幫助的. 理解了tcp/ip協議棧的知識, 分析調優網路的能力才會更高. 所以使用tcpdump相比其它的工具, 更能幫我們理解協議.
tcpdump的一些命令選項
-n不要轉換一些數值, 比如把80埠轉換成http顯示.-i需要監控的網路卡. 如果不指定, 則監控所有有效的網路卡資料.-c抓取多少個包後自動停止抓取-s預設是隻抓取96bytes的資料, 如果想要抓取更多的資料, 則要通過這指定更大的數值. 比如-s 1500抓取1500byte-S預設每個包的sequence是顯示相對的值, 如果想顯示絕對值, 通過此選項開啟.
過濾表示式
我們抓包時, 一般是有針對性的去關注感興趣的東西, 不然太多的資訊會對我們分析資料造成干擾, tcpdump支援過濾語法.
基本用法
host
host指定主機, 可以是ip或者域名.
tcpdump -s0 -i wlan0 host www.baidu.com上面的功能是抓取本機網路卡wlan0上和www.baidu.com這個主機打交道的資料. 其中-s0指定抓取所有資料, 查考前面選項介紹.
dst, src
有時候我們只關心資料流其中一個方向上的資料, 可以通過src: 源端, dst:目的端來指定過濾.
tcpdump -i wlan0 dst www.baidu.comport
指定埠
tcpdump -i wlan0 port 6379抓取redis的資料.
協議
指定協議資料, 比如: tcp, udp, icmp
tcpdump -i wlan0 tcp and udp抓取所有的tcp和udp資料包.
高階用法
tcpdump表示式可以支援邏輯組合運算, 提供更強大的功能.
- and
- or
- not
這些和所有開發語言中的語義是一樣的. 下面看一些例子:
# 源主機是192.168.1.34, 並且目標埠是80
tcpdump -i eth0 src 192.168.1.34 and dst port 80# 所有tcp協議並且埠不是22
tcpdump -i eth0 tcp and not port 22有時候表示式太複雜了, 我們要進行分組, 即用()把一些表示式組合在一起.
# 源主機是192.168.1.34並且目標埠是22或者3389
tcpdump -i eth0 'src 192.168.1.34 and (dst port 22 or 3389)'我們還可以通過分析資料包其中的部分資料計算過濾:
# 抓取帶有SYN標誌的資料, tcp[13]的意思是從tcp資料包頭中取第14個byte資料, 詳細參考tcp協議頭
sudo tcpdump -i wlan0 'host www.baidu.com and tcp[13]&2!=0'資料儲存和讀取分析
一般在伺服器上擷取到資料包後, 用於之後的分析, 比如傳到本地機器後用wireshark分析. 可以通過-w選項儲存:
tcpdump -i eth0 src www.baidu.com -w file.cap上面把資料儲存到了file.cap檔案中