数学建模社区-数学中国

标题: Tcpdump的使用 [打印本页]

作者: 韩冰 时间: 2005-3-20 13:48
标题: Tcpdump的使用

作者：李国莉　来源：http://www.eviloctal.com/forum/

6 W# j0 L( v) i$ e! W- k tcpdump采用命令行方式，它的命令格式为： 5 n2 m; [* h E j, H　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ], E' n8 c. T- ]6 C& S% X 　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]# l, a: t0 S5 }, `: |( q 　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]

　　1. tcpdump的选项介绍) h4 Q$ B" A' L( r T5 X 　　　-a 　　　将网络地址和广播地址转变成名字； T. X8 g6 ?! x# v" M3 P# u 　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；3 V: v. L' t8 b 　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出；( @9 k5 a% d6 n" K# ] 　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出；) }0 `5 g2 w, _8 K 　　　-e 　　　在输出行打印出数据链路层的头部信息； + c2 [" l# @7 E2 Z& \9 j9 G8 N　　　-f 　　　将外部的Internet地址以数字的形式打印出来； + z, b# g- P( `# }3 b3 b　　　-l 　　　使标准输出变为缓冲行形式；7 C# [' a0 p) d' y8 n9 C 　　　-n 　　　不把网络地址转换成名字；& j1 r5 L2 R1 V! M( z: t 　　　-t 　　　在输出的每一行不打印时间戳； 1 ?+ w$ Y! \0 [+ Z/ D0 r　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；8 u( ~; J4 `. C/ \& i 　　　-vv 　　　输出详细的报文信息； 7 B7 M3 f% M3 I+ e9 X) E　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止；0 [& |4 H! F/ o; c# _' r6 V 　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式；. Y* ^9 C2 R( L% I* t' B" e 　　　-i 　　　指定监听的网络接口； 1 f7 k/ b" ]& L7 p2 |. J- `　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；+ Z. r% V4 N/ I# V* Y* N3 w* K2 w* f# Y 　　　-w 　　　直接将包写入文件中，并不分析和打印出来；. H7 _( Q* W+ B' o! ] 　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程 $ }5 l3 O/ o+ Y8 ?调用）和snmp（简单　　　　　　　网络管理协议；）

　　2. tcpdump的表达式介绍 X! f% ?: \3 O8 Z 　　　表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表, [6 J7 Q, _# R 达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会/ N7 C* |% ^# r! X& `$ z 被截获。 2 }% C+ Z: B8 W2 b2 s3 u" d1 r3 g　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host， 1 |& I6 x* [2 d" ^! Enet，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明( q3 |3 C# m5 c/ I* o 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是 " N8 T- `3 B7 X# Chost. - h* _& o5 v$ ?. r' I w　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,0 c# w% p; r U; F! l. c 这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27. c9 E1 l! a7 Q6 u/ ^% L48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则 2 ?5 k( e2 t8 c7 f! d缺省是src or dst关键字。/ E% }/ F' _1 w 　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在 + `+ w1 h1 z/ sFDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和e9 N2 Z5 G* i7 _- b ther具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。; D0 w; f' H$ T# _' w 其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会 " `7 u' E& T t) W. X监听所有协议的信息包。- w8 _0 U' _5 }4 w0 k; f 　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less, u+ i7 h6 Z- y0 ]3 N2 B0 Pgreater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'o % ~+ Y' Y/ A& K R: I, a# W) zr' ,'||'； , A" L( ?$ D& r　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来 0 Q: j% }% Q6 n; f6 @1 P) D7 E说明。 2 A5 P0 j& g: N s　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：! H$ }/ W1 Z) O0 @9 q( B 　　　　#tcpdump host 210.27.48.1 ; E5 v5 ]2 I' g4 a0 h 　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令6 g3 l# a) {$ P7 j ：（在命令行中适用　　　括号时，一定要( G% |1 K! ?( n+ m 　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) $ z9 m1 p' z3 D; F8 F) f　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包 ; a1 V- \1 h- p- S# B，使用命令：# Z* ~, Z4 s" i0 d 　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2( U i4 h& L& u: P, Y# g 　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令： 2 J/ a4 D; O6 r! n- N, `8 e　　　　#tcpdump tcp port 23 host 210.27.48.1

　　3. tcpdump 的输出结果介绍' |) \6 g9 U: J' C, t 　　　下面我们介绍几种典型的tcpdump命令的输出信息 7 D1 F9 t0 D" ^& o　　　(1) 数据链路层头信息* `8 N9 }9 ~+ b7 K7 M 　　　使用命令#tcpdump --e host ice ) {! c+ B! B3 A* y8 u) J$ G6 q　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A $ b- X7 O- z( k3 Q a( L　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条 1 p, r0 j1 e5 c# k& _' N) C命令的输出结果如下所示： 0 D& ?" F2 {# l2 ]9 Q% P1 Z; n, e21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice. / G- z5 @) @9 ^4 K, ]6 c) ftelne 6 M' m4 o$ L$ Z, qt 0:0(0) ack 22535 win 8760 (DF) ! Y, P4 a4 ?9 B! j' Y　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该 5 J- p: @2 p6 z7 d8 g数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它# S, L3 M) ^" Y' U$ c& T 表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的3 d# Z0 i0 O+ M$ O) E& H 目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.7 v- x! `( H a) S( \1 X" k telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535 8 D# o* h' [6 K, g8 t表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息8 a: u2 `2 U8 b2 z$ a. U 　　　使用命令#tcpdump arp ( U% U1 c, S" e) m5 [3 U 　　　得到的输出结果是：4 q* Z. s& {$ f. i4 \5 L 　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a) " a7 y6 r. r2 E6 q3 B- K　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af+ F9 q2 E5 k7 N; Y( J :1a)' x4 }6 B" T# {3 e$ ^5 z2 u$ M' c; w1 w 　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是 3 }; r( _$ g* {; k1 NARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5' I! c. n, U& r- @, ^) {5 E 8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息# k. A/ a3 G B2 y4 k8 | 　　　用TCPDUMP捕获的TCP包的一般输出信息是： 4 s6 k/ V5 l* \) o" T/ O　　src > dst: flags data-seqno ack window urgent options + o8 G6 ]# T+ U. r9 @1 q8 W* L　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F7 B7 E+ E% x6 a IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是5 q0 F7 |* D+ } 下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. ' s8 N9 k0 V- lOptions是选项.

　　(4) UDP包的输出信息6 p; N! l* Y5 {3 h; ?, ? 　　　用TCPDUMP捕获的UDP包的一般输出信息是： v) G% Y9 w$ d( G7 u% ?7 f　　route.port1 > ice.port2: udp lenth - u, X3 }/ p: v5 |0 ^2 Q3 `+ X) o　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机 ; f1 l) v* e5 x! ~$ uICE的port2端口，类型是UDP，包的长度是lenth0 Z% e }0 H. Z, F% r0 R1 o 9 D$ i7 a: i0 k$ R9 O ?( u

7 ]9 B* l' d& @& P& E: \; v7 P. E

欢迎光临数学建模社区-数学中国 (http://www.madio.net/)