|
作者:李国莉 来源:http://www.eviloctal.com/forum/
/ d" w: d, I- W+ q( X( h1 V4 ]
: a ~8 r' U6 wtcpdump采用命令行方式,它的命令格式为:
- r4 {0 e- |$ }6 B1 P5 v6 H5 L4 s tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]+ J0 H& P5 ^9 f) a$ C0 o, Y$ Y0 w+ ]& k& C
[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
' q3 b+ m9 Q; L9 d# ^2 G) q [ -T 类型 ] [ -w 文件名 ] [表达式 ]
$ T& U( I; b; j5 ~$ Z 1. tcpdump的选项介绍
( J U. L2 N* }5 f1 [ -a 将网络地址和广播地址转变成名字;
2 c u) j; Q. u* H% i -d 将匹配信息包的代码以人们能够理解的汇编格式给出;
; R* p, c2 Y3 s0 J& S! T6 ?+ L9 \1 p -dd 将匹配信息包的代码以c语言程序段的格式给出;7 d/ y! L4 e" y5 M ]% Q5 f ?
-ddd 将匹配信息包的代码以十进制的形式给出;
3 [9 O( W! u- S6 n6 _ -e 在输出行打印出数据链路层的头部信息;4 U2 {' u( R @) m
-f 将外部的Internet地址以数字的形式打印出来;% `* V) h3 {9 H/ N! _5 D( k
-l 使标准输出变为缓冲行形式;. G0 l9 f0 H+ ~/ E# u5 a
-n 不把网络地址转换成名字;+ Z( y6 u5 R4 p- M6 ^
-t 在输出的每一行不打印时间戳;
( F, w2 v; Q+ h- c y, X+ y -v 输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息;/ \' ~- L& b' r9 a9 o0 W1 e
-vv 输出详细的报文信息;/ H) Z1 { ? @% H; w7 Q- Z
-c 在收到指定的包的数目后,tcpdump就会停止;
" Q+ O# r. D2 F# E2 ?0 C/ s! p9 o -F 从指定的文件中读取表达式,忽略其它的表达式;
) ?$ p+ B0 A% @" z4 Z( i9 z7 M -i 指定监听的网络接口;, v! @5 j+ |+ X4 Q& e E
-r 从指定的文件中读取包(这些包一般通过-w选项产生);
0 T5 I( s8 v \% @ -w 直接将包写入文件中,并不分析和打印出来;
0 X% q, Y/ d. G" M -T 将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程
# H; w7 ?6 G3 \调用)和snmp(简单 网络管理协议;) 2 p" B8 w& w$ d. Y4 R8 E
2. tcpdump的表达式介绍# B& v' b/ @# a: m2 i! K
表达式是一个正则表达式,tcpdump利用它作为过滤报文的条件,如果一个报文满足表 O0 \& R" _7 h: u) v! Q
达式的条件,则这个报文将会被捕获。如果没有给出任何条件,则网络上所有的信息包将会4 b# M/ p! T# U( N$ k) ^1 j- [ }
被截获。/ v( L) I6 X/ P2 J+ m
在表达式中一般如下几种类型的关键字,一种是关于类型的关键字,主要包括host,
' T% B+ j, A* }0 F1 znet,port, 例如 host 210.27.48.2,指明 210.27.48.2是一台主机,net 202.0.0.0 指明0 g, w3 e8 B6 p p& L' X
202.0.0.0是一个网络地址,port 23 指明端口号是23。如果没有指定类型,缺省的类型是
- Z1 @" U9 C3 `; k8 Vhost.
& z( v6 U _" D& e/ K 第二种是确定传输方向的关键字,主要包括src , dst ,dst or src, dst and src ,* |9 N5 v& E+ L8 t( d- x. |) o! K
这些关键字指明了传输的方向。举例说明,src 210.27.48.2 ,指明ip包中源地址是210.27.+ s& R* X' n% b/ z' d1 N1 T& L
48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字,则9 m: P7 x; L5 S! }$ J' y' r
缺省是src or dst关键字。
& n D3 A- O# d/ @ 第三种是协议的关键字,主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在
$ J, W" p9 B3 } L! ?3 TFDDI(分布式光纤数据接口网络)上的特定的网络协议,实际上它是"ether"的别名,fddi和e- Y H6 k% q+ {
ther具有类似的源地址和目的地址,所以可以将fddi协议包当作ether的包进行处理和分析。
' K2 _( ?/ G J# P( V其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议,则tcpdump将会1 ^6 z5 t6 n0 I9 H' D
监听所有协议的信息包。6 R3 a P, D" f1 a0 c
除了这三种类型的关键字之外,其他重要的关键字如下:gateway, broadcast,less,. n3 F; P) j) ^0 {- y6 H% Y
greater,还有三种逻辑运算,取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
) w; h$ B% D/ V$ p- U7 xr' ,'||';
( C; ]% ~+ g; b$ ?. K3 `! i 这些关键字可以组合起来构成强大的组合条件来满足人们的需要,下面举几个例子来
# c ~$ z' j0 B5 H7 \# l4 W! \! l说明。
1 ]4 E9 z% _- L: C1 a (1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包:4 J7 f/ |7 {' h9 t0 r/ z, L8 o
#tcpdump host 210.27.48.1 * Y0 |; j4 ~! p. k6 }" K* B
(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信,使用命令& s5 L$ X0 c9 s6 W& F- j {
:(在命令行中适用 括号时,一定要
5 B/ u Q" \' X, A #tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) 0 a$ Q, @" r0 m& ~
(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
7 ?/ m$ i p* F1 b1 d. q1 w; },使用命令:
/ |! X! |. p6 d7 d& ?$ ~ #tcpdump ip host 210.27.48.1 and ! 210.27.48.2+ v" V5 ]5 ^- u5 M. t5 p
(4)如果想要获取主机210.27.48.1接收或发出的telnet包,使用如下命令:
) Y: K" E: V0 K0 N4 T6 { #tcpdump tcp port 23 host 210.27.48.1
0 g, O( d: z# c6 J 3. tcpdump 的输出结果介绍3 y/ b1 N) u) ?4 Y- R4 e
下面我们介绍几种典型的tcpdump命令的输出信息* B: ~+ ]5 o; E$ @
(1) 数据链路层头信息 k2 y/ D: `. W/ T F
使用命令#tcpdump --e host ice2 @. Y7 q8 }6 I: S3 f1 g4 Q" G; n7 B
ice 是一台装有linux的主机,她的MAC地址是0:90:27:58:AF:1A: m2 S3 P$ `- J& h0 }7 s0 l
H219是一台装有SOLARIC的SUN工作站,它的MAC地址是8:0:20:79:5B:46;上一条( C) h, i. a S% R- i
命令的输出结果如下所示:
; t9 |1 I1 B. ?21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
4 c3 q4 e- f; H* F( Stelne Y, C1 S- _9 V# ?
t 0:0(0) ack 22535 win 8760 (DF)3 y" i. b6 ?2 P. f7 ^ c7 M% o
分析:21:50:12是显示的时间, 847509是ID号,eth0 <表示从网络接口eth0 接受该
. T" X |7 w1 a& u' E数据包,eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它) q" ~7 z" Y9 Z! j
表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
. ], w2 K+ k, G7 W6 R4 d目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
, k0 H1 E* u1 e. L" _! Rtelnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
" r$ [6 H, }( [1 B表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.
# v! w) ]+ ^: n1 F" f/ [ (2) ARP包的TCPDUMP输出信息/ s1 ~2 ]& y0 u
使用命令#tcpdump arp : \1 p/ _5 s# J7 D! N
得到的输出结果是:3 O: W% O2 o2 {% I, L
22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)9 L5 W# E; c! i1 }0 Q# e
22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
* q- {. Z a$ C* N- e4 m4 w7 m:1a)
* t# B4 S' V9 k. G 分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是% r/ f# E. t/ n+ z( z5 u
ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5' O5 K1 e! j" r5 C; a% Q; h4 G
8:af:1a是主机ICE的MAC地址。 6 |$ e9 V1 D% O6 t8 Q; h# u0 Z! @
(3) TCP包的输出信息
' M) N- ^# j1 k8 a! b3 x 用TCPDUMP捕获的TCP包的一般输出信息是:5 x& l7 M: M# ~( n8 ` Q/ `/ R
src > dst: flags data-seqno ack window urgent options
0 {% u7 Y: z, {2 I( S8 r+ K src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
+ v* O$ ~# e% F9 k: ] JIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是5 h0 q2 l& ]5 U* C/ E! Q
下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. $ G+ r8 o5 ^" D
Options是选项.
7 _5 u# I2 s; F$ B" a( G (4) UDP包的输出信息
6 q* D" F! R# V$ }" P9 E 用TCPDUMP捕获的UDP包的一般输出信息是:' y& t/ V* d2 u% s4 W
route.port1 > ice.port2: udp lenth
9 \" R2 Z# M" p' q# C+ f UDP十分简单,上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
6 N7 I! h$ H$ a9 U jICE的port2端口,类型是UDP, 包的长度是lenth
- T( a8 m6 d- W: P' ^$ A2 C
5 @# i0 ~. X% X9 s U9 b' Y
& A3 \" U" g% j0 p V, j4 X" H; ~9 k9 D+ i* L5 Y0 f! y/ T
|