tcpdump
根据使用者的定义对网络上的数据包进行截获的包分析工具
支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句帮助去掉无用的信息；
实用命令实例：
默认启动
默认情况下,直接启动tcpdump将监视第一个网络接口上所有流过的数据包
tcpdump监听指定网络接口的数据包
tcpdump -i eth1监听指定主机的数据包
1.打印所有进入或离开sundown的数据包
tcpdump host sundown2.指定ip,例如截获所有100.0.0.18的主机收到和发出的所有数据包
tcpdump host 100.0.0.18
3.打印helios于hot或者与ace之间通信的数据包
tcpdump host helios and ( hot or ace )
4.截获主机100.0.0.18与主机100.0.0.3或100.0.0.100的通信
tcpdump host 100.0.0.18 and ( 100.0.0.3 or 100.0.0.100 )
5.打印helios与任何其他主机之间通信的ip数据包,但不包括与aaa之间的数据包
tcpdump ip host helios and not aaa
6.如果想要获取主机100.0.0.18除了和主机100.0.0.100之外所有主机通信的ip包,使用命令:
tcpdump ip host 100.0.0.18 and ! 100.0.0.100
7.截取主机localhost发送的所有数据
tcpdump -i eth0 src host localhost
8.监视所有到主机localhost的数据包
tcpdump -i eth0 dst host localhost
获取指定主机和端口的数据包
1.如果想要获取主机100.0.0.18接收或发出的telnet包,使用如下命令:
tcpdump tcp port 23 and host 100.0.0.18
2.对本机的udp123端口进行监视123为ntp的服务端口
tcpdump udp port 123
监视指定网络的数据包
1.打印本地主机与Berkeley网络上的主机之间的所有通信数据包(nt:ucb-ether,此处可以理解为"Berkeley网络"的网络地址,此表达式最原始的含义可表达为:打印网络地址为ucb-ether的所有数据包)
tcpdump: unknown network 'ucb-ether'
2.打印所有通告网关snup的ftp数据包(表达式被单引号括起来了,这可以防止shell对其中的括号进行解析)
tcpdump 'gateway snup and (port ftp or ftp-data)'
3.打印所有源地址或目标地址是本地主机的IP数据包
(如果本地网络通过网关连接到了另一个网络,则另一个网络并不能算作本地网络;localhost实际使用时要替换为本地网络的名字)
[root@localhost ~]# tcpdump ip and not net localhost
监听指定协议的数据包
1.打印tcp会话中的开始和结束包,并且数据包的源或目的不是本地网络上的主机(localhost实际使用时要替换为本地网络的名字)
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localhost'
2.打印所有源或目的端口是80,网络层协议为ipv4,并且含有数据,而不是SYN,FIN以及ACK-only等不含数据的数据包
tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
ip[2:2] 表示整个ip数据包的长度,
(ip[0]&0xf)<<2)表示ip数据包包头的长度
3.打印长度超过576字节, 并且网关地址是snup的IP数据包
tcpdump 'gateway snup and ip[2:2] > 576'
4.打印所有ip层广播或多播的数据包,但不是物理以太网层的广播或多播数据包
tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'
5.打印除了"echo request"或者"echo reply"类型以外的ICMP数据包(比如:需要打印所有非ping程序产生的数据包时可用到此表达式)
echo request"与"echo reply"这两类的ICMP数据包通常由ping程序产生;
tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'
tcpdump与wireshark
wireshark是windows下非常方便的抓包工具;但是在Linux下很难找到一个很好的图形化抓包工具,所以可以利用tcpdum+wireshark结合使用,即在Linux抓包,然后在windows里分析包;
tcpdump tcp -i eth0 -t -s 0 -c 3 and dst port ! 22 and src port ! 22 and src net 100.0.0.0/24 -w ./target.cap解释:
# tcp ip icmp arp和tcp udp 这些选项等都要放到第一个参数的位置,用来过滤数据包的类型
# -i eth0 只抓经过接口eth0的数据包
# -t 不显示时间戳
# -s 0 抓取的数据包默认抓取长度为68字节,-s 0可以抓到完整的数据包
# -c 100 只抓取100个数据包
# dst port ! 22 不抓取目标端口是22的数据包
# src net 100.0.0.0/24 数据包的源地址
# -w 保存成cap文件.方便用wireshark分析输出信息含义
基本上tcpdump总的输出格式为：系统时间 来源主机.端口 > 目标主机.端口 数据包参数
