tcpdump教程入門

海鳥發表於2015-01-25
TCP

tcpdump是一個最基本重要的網路分析工具, 掌握好這, 對於學習tcp/ip協議也是很有幫助的. 理解了tcp/ip協議棧的知識, 分析調優網路的能力才會更高. 所以使用tcpdump相比其它的工具, 更能幫我們理解協議.

tcpdump的一些命令選項

  1. -n不要轉換一些數值, 比如把80埠轉換成http顯示.
  2. -i需要監控的網路卡. 如果不指定, 則監控所有有效的網路卡資料.
  3. -c抓取多少個包後自動停止抓取
  4. -s預設是隻抓取96bytes的資料, 如果想要抓取更多的資料, 則要通過這指定更大的數值. 比如-s 1500抓取1500byte
  5. -S預設每個包的sequence是顯示相對的值, 如果想顯示絕對值, 通過此選項開啟.

過濾表示式

我們抓包時, 一般是有針對性的去關注感興趣的東西, 不然太多的資訊會對我們分析資料造成干擾, tcpdump支援過濾語法.

基本用法

host

host指定主機, 可以是ip或者域名.

tcpdump -s0  -i wlan0 host www.baidu.com

上面的功能是抓取本機網路卡wlan0上和www.baidu.com這個主機打交道的資料. 其中-s0指定抓取所有資料, 查考前面選項介紹.

dst, src

有時候我們只關心資料流其中一個方向上的資料, 可以通過src: 源端, dst:目的端來指定過濾.

tcpdump  -i wlan0 dst  www.baidu.com

port

指定埠

tcpdump -i wlan0  port 6379

抓取redis的資料.

協議

指定協議資料, 比如: tcp, udp, icmp

tcpdump -i wlan0  tcp and udp

抓取所有的tcp和udp資料包.

高階用法

tcpdump表示式可以支援邏輯組合運算, 提供更強大的功能.

  • and
  • or
  • not

這些和所有開發語言中的語義是一樣的. 下面看一些例子:

# 源主機是192.168.1.34, 並且目標埠是80
tcpdump -i eth0 src 192.168.1.34 and dst port 80
# 所有tcp協議並且埠不是22
tcpdump -i eth0 tcp and not port 22

有時候表示式太複雜了, 我們要進行分組, 即用()把一些表示式組合在一起.

# 源主機是192.168.1.34並且目標埠是22或者3389
tcpdump -i eth0 'src 192.168.1.34 and (dst port 22 or 3389)'

我們還可以通過分析資料包其中的部分資料計算過濾:

# 抓取帶有SYN標誌的資料, tcp[13]的意思是從tcp資料包頭中取第14個byte資料, 詳細參考tcp協議頭
sudo tcpdump -i wlan0 'host www.baidu.com and tcp[13]&2!=0'

資料儲存和讀取分析

一般在伺服器上擷取到資料包後, 用於之後的分析, 比如傳到本地機器後用wireshark分析. 可以通過-w選項儲存:

tcpdump -i eth0 src www.baidu.com -w file.cap

上面把資料儲存到了file.cap檔案中

參考: https://danielmiessler.com/study/tcpdump/

相關文章