数学建模社区-数学中国

标题: Tcpdump的使用 [打印本页]

作者: 韩冰 时间: 2005-3-20 13:48
标题: Tcpdump的使用

作者：李国莉　来源：http://www.eviloctal.com/forum/

0 D v1 L" j$ C# Z! ?. Htcpdump采用命令行方式，它的命令格式为： ' ], X/ j0 P( e9 E- Y5 I0 {　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]* v* C3 x$ F- Y% i- U6 ~7 w* y 　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ] # K4 r H3 i; y1 z6 a+ l　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]

　　1. tcpdump的选项介绍( f% I$ V2 y3 B% B 　　　-a 　　　将网络地址和广播地址转变成名字； 9 ^ }" i1 V# y) ?! W) f; z5 `1 E　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出； 2 h- L( U) x( Y: A, f2 [: t2 h　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出； % a. P" \. ~4 n: g5 i　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出； - k6 Q/ w6 M! M5 V　　　-e 　　　在输出行打印出数据链路层的头部信息； + I5 M! z, V. u/ F) j. l　　　-f 　　　将外部的Internet地址以数字的形式打印出来；7 n0 j9 Q! w3 D7 {4 T 　　　-l 　　　使标准输出变为缓冲行形式； # I: H" P9 g4 j) y: N6 W　　　-n 　　　不把网络地址转换成名字；1 ^) r Z4 y/ V. z! h% c 　　　-t 　　　在输出的每一行不打印时间戳； - \6 Y8 K1 i7 |+ E　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息； $ o1 N, D$ R+ f. a/ A9 v- D d& D　　　-vv 　　　输出详细的报文信息； 9 @/ W X. y9 q( r' M+ o$ v) Z9 a　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止； + f( }( D, p$ K9 v　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式；6 j0 }$ V8 j1 o0 N) M( K3 @ 　　　-i 　　　指定监听的网络接口；3 m5 M1 _- Z& H1 j5 n 　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；. b J8 q3 Q/ m: e9 V( m. n+ J 　　　-w 　　　直接将包写入文件中，并不分析和打印出来； w3 S4 G, \; S8 X5 ~- N$ S) V8 n8 f 　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程! D- k& ^7 Y, X- t 调用）和snmp（简单　　　　　　　网络管理协议；）

　　2. tcpdump的表达式介绍' g9 Y2 B# i: W: `5 n/ D 　　　表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表' x/ L. l4 A$ E6 r0 J' V. t 达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会: x# v& C: L' H# G; C 被截获。 + _; Z- H3 O( `( C$ T　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，. c1 G& Q8 j( q+ W: C; @, v1 p net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明2 D1 v3 ]# ^6 f8 |2 t, t 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是' W1 Q5 M. F9 o, z- |; A host. $ O- U2 |" y' E* |　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,4 y' E* E/ N5 h& z 这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.4 c5 C* l" M5 o9 s" P% i5 F 48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则 % o' Q: B. P8 V; R# {! F2 L) n) ?" y缺省是src or dst关键字。, X% \! }( |6 |# ]' r l 　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在 % W/ t7 i. ` ]+ Z6 [FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和e: I4 c8 }, Z. F$ T5 K$ J+ F ther具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。; `- v& M M W w# R+ H 其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会. g, e4 {% D5 K. q 监听所有协议的信息包。 # ~/ I6 Q( P# A: v2 ]5 v, ^　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less, ; s p* g' O5 E( |# ?greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'o2 e$ Y3 r& A2 z6 a, }# E! N+ C; W r' ,'||'；# h" s* K- L+ t) t# H 　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来 , k! n6 Q) d$ |" S说明。+ Y1 U1 q9 r0 S# Z8 [ 　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包： ; R9 a0 U( a6 H　　　　#tcpdump host 210.27.48.1 % E; F* U0 L' W0 O3 j　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令4 ~9 X" o; h( K3 q) B( L5 k+ w& `, G ：（在命令行中适用　　　括号时，一定要6 y& C# @+ m* c" H9 H 　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) # s4 ?& F v8 k% C: d　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包9 N8 T: y6 a/ s9 x l' E! y ，使用命令： 7 Y+ u% r: [2 W3 m3 ~　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.25 a* U7 s! c7 _, i! m/ r 　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令： , _4 ~/ h2 z: |& `% N　　　　#tcpdump tcp port 23 host 210.27.48.1

　　3. tcpdump 的输出结果介绍8 C+ r" {1 z/ k9 P& K6 g, T0 W& r/ {' U 　　　下面我们介绍几种典型的tcpdump命令的输出信息 : V- n" U3 T0 Q1 J b: x　　　(1) 数据链路层头信息( K" e! }& W8 I y6 d* j7 a 　　　使用命令#tcpdump --e host ice ! k: r3 H! R+ {% n) W* f/ V( O/ l　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A & F6 E0 \4 r4 g% p% X7 [( E　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条% t- W% `1 S8 p3 K 命令的输出结果如下所示：9 {. n+ ^4 P* @' b& h; s 21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice./ P2 `& k3 V3 h7 {( E, V telne h# a( i* g9 n# ?1 L8 K; m t 0:0(0) ack 22535 win 8760 (DF)5 u( [5 ^1 R( ` 　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该 # l/ Q8 B" p1 H- K" ^, `+ `: F# V数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它 9 O6 Z9 u0 C* h& v" Y9 {表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的 1 N- d0 ?. v. E6 w% H$ n目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice. # F- Q0 @, P, Htelnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535 $ [7 P0 D: m+ ]' H表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息 3 ]4 z: |$ \+ z( B　　　使用命令#tcpdump arp - J* a/ |, j% U2 I) b+ Y6 K/ g 　　　得到的输出结果是：$ d5 g _8 A0 I- `5 W 　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a) % D) M2 L# Z" ~, ^　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af 5 S7 G) N2 j0 q7 Z9 W% T& I) b:1a) & B1 K1 E# \: s- b　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是/ t/ M0 H0 i" a. C) \2 a# p ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5 + I O+ g/ v0 W' H8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息4 r l i( \! c) ^ 　　　用TCPDUMP捕获的TCP包的一般输出信息是：# Y: t. {& O6 L8 P/ } 　　src > dst: flags data-seqno ack window urgent options! Z0 S7 S7 s: V! o 　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F U4 o( X% ~6 [1 B7 xIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是2 B4 [' E0 V4 P) m+ e/ z* O6 z, R 下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. ' |; o3 P; l9 Z3 i6 e) \ Options是选项.

　　(4) UDP包的输出信息* T! P \# n# a 　　　用TCPDUMP捕获的UDP包的一般输出信息是： 2 a8 d8 g+ f2 I' z# [　　route.port1 > ice.port2: udp lenth2 \, }# V! z& X& H4 W 　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机( D O" h, W" v' W& j ICE的port2端口，类型是UDP，包的长度是lenth ; t( {0 |# Z1 c' w $ ~& M5 S4 k( @

2 J- f% `/ g0 J" P3 X

欢迎光临数学建模社区-数学中国 (http://www.madio.net/)