查看: 3196|回复: 0

Tcpdump的使用

字体大小: 正常放大

韩冰

823 主题	3 听众	4048 积分

我的地盘我做主

该用户从未签到

电梯直达

1^#

发表于 2005-3-20 13:48 |只看该作者 |倒序浏览

|招呼Ta 关注Ta

作者：李国莉　来源：http://www.eviloctal.com/forum/

9 Q- ?$ O9 C1 P! P/ R- X z: ptcpdump采用命令行方式，它的命令格式为： 1 o$ f; q) I; K# y' V　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] Z8 u/ e# E, K$ M# [* M+ R' T8 d, k. S　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]; v+ M7 t# W3 T4 R 　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]

　　1. tcpdump的选项介绍- I- o& \; s4 q 　　　-a 　　　将网络地址和广播地址转变成名字；+ c3 u, x5 C5 L8 L' U! c$ [ 　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；# |2 g1 ?6 i, @% p8 ]/ H 　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出； . R, J; g0 d' u# f　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出；3 F- g2 T. T q! t$ ~9 h 　　　-e 　　　在输出行打印出数据链路层的头部信息；; ^- q5 \( ~- T4 F6 | 　　　-f 　　　将外部的Internet地址以数字的形式打印出来；$ ^# \5 Z! y% w6 e, N3 V7 M) u 　　　-l 　　　使标准输出变为缓冲行形式；% u" {7 Q( P$ a" q 　　　-n 　　　不把网络地址转换成名字； + G) c2 H' q6 g% h　　　-t 　　　在输出的每一行不打印时间戳；0 M# O. Z6 `# r- {4 r, n1 o, y 　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息； * H) I9 z( A0 e4 j' X Y4 E　　　-vv 　　　输出详细的报文信息；3 {, H2 h C4 X. y1 k3 g 　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止；* H& ^; U% x4 n 　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式； 7 ?- ~ }% {7 b5 W　　　-i 　　　指定监听的网络接口；# m5 [" o) U% `7 z0 B3 \ 　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；( `+ }) H2 w, d! a7 M 　　　-w 　　　直接将包写入文件中，并不分析和打印出来；' c, t$ o: F3 l8 f 　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程 ; E" f- W: I1 K9 g5 A A调用）和snmp（简单　　　　　　　网络管理协议；）

　　2. tcpdump的表达式介绍0 u, ~7 `: y* w* G, K 　　　表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表& q6 r6 [ a; Q, Q+ x 达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会9 R- P" ?! s1 W+ q 被截获。 + U: e5 r3 E& V　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host， 3 o( b9 y: D6 e7 d* ^, @; lnet，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 4 t; @# K: u/ H6 j, W202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是6 e$ f& F: E3 }" n& Q8 x host. 1 K$ A1 w6 ^: o5 M. L8 K- _　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src , . d; E' O0 F8 q |$ I5 Z% n% ^这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27. 8 y# p" _1 W/ a9 P48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则 / h" |% i2 e, E: n缺省是src or dst关键字。/ i/ ?; `% H! _8 l, N* {9 a: g+ K 　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在 5 V3 `0 M$ W8 Q) _FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和e ) f' Q5 E8 ^; n2 g( A2 Wther具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。. z0 }/ E$ L. @ 其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会' D# d. a% L" `+ V. U8 c6 A+ H 监听所有协议的信息包。 % \+ D+ B' p, H7 C　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less, " @3 r* ?. ~& F) c( rgreater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'o, p" `+ m# ~4 K1 W9 O r' ,'||'；9 Q$ T7 d) P% m6 }, @: I 　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来 7 c4 e+ L9 p1 f7 m说明。 ) k6 Y: l+ k: N, s- H9 N　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：2 Z% S8 c. g9 L0 t/ j7 I 　　　　#tcpdump host 210.27.48.1 8 m g; n! ]1 N6 O! i6 P: S　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令 0 ^' T; `0 K+ h2 d：（在命令行中适用　　　括号时，一定要8 s7 j- V- k' y: w) d 　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) 1 @! }; p5 K. T. v+ e% l9 F　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包: h0 O8 E } @1 ^' c; [( p+ I ，使用命令：5 t6 N2 H# ^' M& x0 t( s! D4 k" `( t 　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2 8 p: S3 j6 w' M　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令： ; M1 C7 y% \" Z　　　　#tcpdump tcp port 23 host 210.27.48.1

　　3. tcpdump 的输出结果介绍 & V; ~& r3 s. [7 V# j　　　下面我们介绍几种典型的tcpdump命令的输出信息 , ?/ U) \6 T4 R9 X" ^5 v　　　(1) 数据链路层头信息 q+ X$ s+ p! b9 G7 @　　　使用命令#tcpdump --e host ice 9 Z( k+ i) K: Z$ O+ i　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A+ @. j+ k3 G$ [ 　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条& }4 A+ ^! |- P, u$ N 命令的输出结果如下所示： 3 x8 m2 i6 w5 w) h& x# Y, U21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.6 ?) u1 }; C+ t7 w0 h1 u- ^ telne * _" u/ a& t5 ?- B# Nt 0:0(0) ack 22535 win 8760 (DF)% N; `: X# w0 { c 　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该6 C1 o! Y: Q/ n. \( K8 l: c! U1 q; a 数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它' O7 d% h9 }5 R 表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的$ J7 s" b- v" m% n$ v 目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.7 |" R& W, L! O. ?4 H- | telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535 / f) H7 M" V8 ]5 Z' O+ [2 x' |4 ^表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息 $ j* M! J m$ {2 x, T　　　使用命令#tcpdump arp % n& M i' J+ C8 y% e 　　　得到的输出结果是：, w6 z4 U r0 R, T 　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a) 8 B& a$ D) t; d% @+ O5 J$ x/ _　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af q3 ?2 o& _. B4 c :1a)* C% G) I( u( }+ G# {7 w7 E& o: m- x 　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是- Z1 H% C3 }. R1 z. q" a ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5 " q3 j: o2 a k3 C. r; y. J8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息 , i+ O, h( C3 I& w" h& o) e　　　用TCPDUMP捕获的TCP包的一般输出信息是：3 _4 a' l, [" ]: u/ n/ r+ K7 n 　　src > dst: flags data-seqno ack window urgent options 8 u, v1 e* N# K$ I6 i　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F 8 v+ e4 f2 c2 b( NIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是 % G; H6 j2 e& R下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. 9 Q1 [: X1 ~% {5 y Options是选项.

　　(4) UDP包的输出信息 0 N( F+ p( c T Z9 }3 Y9 b' C- P( ]　　　用TCPDUMP捕获的UDP包的一般输出信息是：2 ]9 R- e x) t' F) l# @2 ], g 　　route.port1 > ice.port2: udp lenth 6 G, S4 F' D: m+ R9 A; X! W　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机 ( R% r8 ~: v: S% NICE的port2端口，类型是UDP，包的长度是lenth" w$ M3 k/ ^% F% Q 8 Y' T2 w4 y* C3 B/ j0 j$ k

! ^' Q' h3 h9 l4 l

zan