tcpdump使用过滤条件抓包(进阶篇)

引言

这是有关网络协议的第四篇博客。

上一篇博客分享了tcpdump使用过滤条件抓包的一些用法，如果没有特殊的要求，基本能够满足一般的抓包要求，这篇博客分享如何在抓包的过程中将过滤条件更加具体化。

tcpdump常用选项在上一篇博客已经做过介绍，下面列出来方便查看，更多的选项请参考tcpdump官网。

常用选项介绍

• -n 禁止IP名称解析。
• -nn 禁止IP和端口名称解析。
• -i 指定捕获哪个网卡的网络数据包。
• -w 指定将包写入哪个文件，如果文件不存在则创建该文件；如果存在则覆盖其内容。
• -f 指定过滤表达式，例如指定捕获哪个端口，哪个协议等。
• -r 指定从哪个文件读取网络数据包文件。
• -F 指定使用哪个文件的过滤表达式抓包。
• -D 列出所有可以使用tcpdump抓包的网卡。
• -c 指定捕获或者读取包的个数，-c后面直接接数字即可。
• -l 抓包时保存到文件的同时查看包的内容。
• -t 不打印时间戳。
• -tt 秒级时间戳。
• -ttt 打印时间戳到微秒或者纳秒，取决于 –time-stamp-precision option 选项。
• -s 指定每个包捕获的字节数。-s0将不限制大小，如果想捕获完整的包可以这么设置。
• -S 打印绝对的tcp序列号，而不是相对的序列号。
• -v/-vv/-vvv 打印详细信息，v的个数越多， 打印内容越详细。

命令概览

该博客主要介绍如下命令的使用：

> #捕获IPv6的包
> tcpdump -i ens33 ip6 -c3

> #捕获icmp的包
> tcpdump -i ens33 icmp -c3

> #捕获udp包
> tcpdump -nni ens33 udp -c4

> #使用数字代表协议
> tcpdump -nni ens33 proto 17 -c1 -v

> #指定目标端口范围25-110
> tcpdump -nni ens33 dst portrange 25-110 -c3

> #捕获任意网卡的包
> tcpdump -nni any -c3

> #根据网络数据包的大小进行捕获
> tcpdump -nni any less 32 -c3

> #指定源IP和目标端口
> tcpdump -i ens33 -nnvvS src 192.168.248.134 and dst port 53

> #捕获从网络A到网络B的包
> tcpdump -i ens33 -nvX src net 192.168.248.0/24 and dst net 10.0.0.0/8 or 14.215.177.0/24

> #捕获非ICMP包
> tcpdump -nni ens33 dst 14.215.177.39 and not icmp -c3

> #捕获端口不是53的包
> tcpdump -nni ens33 src 192.168.248.134 and not port 53 -c3

> #提取User-Agent
> tcpdump -nni ens33 -A -s 1500 -l | grep "User-Agent:"

> #提取User-Agent和Host
> tcpdump -nni ens33 -A -s 1500 -l | egrep "User-Agent:|Host:"

> #提取HTTP请求URL
> tcpdump -i ens33 -s0 -vnl |egrep -i "POST /|GET /|Host:"

> #提取HTTP请求的密码字段
> tcpdump -i ens33 -s0 -Anl |egrep -i "POST /|pwd=|passwd=|password=|Host:"

> #捕获Cookie
> tcpdump -i ens33 -s0 -Al |egrep -i "Set-Cookie|Host:|Cookie:"

> #捕获非ping命令产生的ICMP包
> tcpdump -nni ens33 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

简单命令

1. 指定协议类型

1）捕获IPv6的包

这里直接在后面接ip6即可，捕获3个包直接输出。

[sunft@localhost ~]$ sudo su
[sudo] sunft 的密码：
[root@localhost sunft]# tcpdump -i ens33 ip6 -c3
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
21:59:04.628607 IP6 fe80::24b1:28c6:e76:62f > gateway: ICMP6, neighbor solicitation, who has gateway, length 32
21:59:05.629175 IP6 fe80::24b1:28