linux下使用tcpdump工具分析UDP报文

1、背景

在调试UDP协议时，总是会遇到需要查看UDP报文的内容情况，或许是为了验证自己写的序列化组包是否正确，或者接受到的报文是否合法，亦或是为了查看自己发送或者接收的报文频率是否合格。无论出于什么目的，都要查看报文原始内容。在进行这一工作时，总是要百度搜tcpdump，还要搜UDP协议格式，还得搜IP协议格式。所以特此综合网络上的先者们的优秀博文。方便有此种特定需求场景的后者们参考。

 

2、tcpdump工具使用方式

简介：

tcpdump命令行工具的详细使用方法，可以仔细通读man手册。

man tcpdump

参数有很多，但如果掌握如下几个参数就可以满足大部分的调试场景了：

• -i：interface 指定要监听的网卡。
• -nn：表示以ip和port的方式显示来源主机和目的主机，而不是用主机名和服务。
• -A：以ascii的方式显示数据包，抓取带有字符串的数据包时可以很方便的看到对应的字符串内容。
• -X：数据包将会以16进制（左）ascii（右）的方式分两排显示，方便对照。

tcpdump [-i 网卡] -nnAX '规则表达式'

规则表达式：

规则表达式中要使用关键字并且要遵从特定的语法要求。

常用的关键字有：

• host：主机；
• port：端口；
• src host：发包主机；
• dst host： 收包主机。
• and、or、!：逻辑"与""或""非"，多个条件时可以组合使用，更多的使用可以查看 man 7 pcap-filter。

 

实例：

# 查看本机发往ip为10.1.5.11的主机的11262端口号的报文
tcpdump -i eth0 -nnX 'dst host 10.1.5.11 and port 11262'

 

截取一个报文示例如下：

15:16:07.849810 IP 10.1.5.6.42481 > 10.1.5.11.11262: UDP, length 86
        0x0000:  4500 0072 7f16 4000 4011 9d52 0a01 0506  E..r..@.@..R....
        0x0010:  0a01 050b a5f1 2bfe 005e 1e82 fafb 0101  ......+..^......
        0x0020:  2205 004b 46b2 1422 8dcd 4c6e 6466 0606  "..KF.."..Lndf..
        0x0030:  a917 2765 3644 64db 81d8 0000 44ab 000d  ..'e6Dd.....D...
        0x0040:  ef00 10ca 0032 0cc6 e5bf 6a08 7b37 f5c8  .....2....j.{7..
        0x0050:  b104 1c78 f4e4 cbbb a20a 1cb7 eecb c002  ...x............
        0x0060:  afff 226f fce6 cb00 097f 0011 0c00 6250  .."o..........bP
        0x0070:  eced    

 

 

3、报文分析

通过tcpdump工具获取到了发送或接收到的报文包，但是如何读取，还需要了解UDP报文格式。

UDP报文格式

UDP协议和TCP协议同位于传输层，介于网络层（IP）和应用层之间。

UDP数据部分为应用层报文，而UDP报文再向下层（OSI七层网络模型）网络层（IP协议）传递时，会被加上IP协议头。

一个通用的IP报文的示例如下图所示： 

IP首部：

 

 

UDP首部