tcpdump抓包

tcpdump抓包工具使用

一、 Tcpdump的安装

yum -y install tcpdump 

tar xvfz tcpdump-3_4a5.tar.Z
vi Makefile.in
. /configure
make
make install

二、常见抓包方式

1、tcpdump的选项

tcpdump采用命令行方式，它的命令格式为：
tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ] [ -T 类型 ] [ -w 文件名 ] [表达式 ]
抓包选项：
-c：在捕获指定个数的数据包后退出。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。
-i：interface，指定监听的网络接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
    ：一旦找到第一个符合条件的接口，搜寻马上结束。可以使用’any’关键字表示所有网络接口。
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析（DNS查询）。
-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。（以ip和port的方式显示来源主机和目的主机，而不是用主机名和服务）
-N：不打印出host的域名部分。例如tcpdump将会打印’nic’而不是’nic.ddn.mil’。
-P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、“out"和"inout”，默认为"inout"。
-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，
    ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，
    ：从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。

输出选项：
-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
-v：输出较周详的信息，例如IP包中的TTL和服务类型信息。
-vv：产生比-v更详细的输出。
-vvv：产生比-vv更详细的输出。

功能性选项：
-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。
-F：从指定的文档中读取过滤规则，忽略命令行中指定的其他过滤规则。
-w：将截获的数据包直接写入指定的文档中，不对其进行分析和输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
-r：从指定的文档中读取数据包(该文档一般通过-w选项产生)。使用"-"表示从标准输入中读取。

其他：
-a 将网络地址和广播地址转变成容易识别的名字
-d 将已截获的数据包的代码以人容易理解的格式输出；
-dd 将已截获的数据包的代码以C程式的格式输出；
-ddd 将已截获的数据包的代码以十进制格式输出；
-e 输出数据链路层的头部信息；
-f 将internet地址以数字形式输出；
-l 将标准输出变为行缓冲方式；
-t 不输出时间戳；
-T 将截获的数据包直接解释为指定类型的报文，现在支持的类型有cnfp、rpc、rtp、snmp、vat和wb。

　　　

2、tcpdump的表达式介绍

表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。
　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，net，port, 例如 host 192.168.2.2，指明 192.168.2.2是一台主机，net 192.168.2.0 指明 192.168.2.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host.
　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 192.168.2.2 ,指明ip包中源地址是192.168.2.2 , dst net 192.168.2.0 指明目的网络地址是192.168.2.0 。如果没有指明方向关键字，则缺省是src or dst关键字。
　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'||'；
　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。
　　　(1)想要截获所有192.168.2.1的主机收到的和发出的所有的数据包：
　　　　#tcpdump host 192.168.2.1
　　　(2) 想要截获主机192.168.2.1和主机192.168.2.2 或192.168.2.3的通信，使用命令：（在命令行中适用　　括号时，一定要
　　　　#tcpdump -i eth0 host 192.168.2.1 and \(192.168.2.2 or 192.168.2.3\) 
　　　(3) 如果想要获取主机192.168.2.1除了和主机192.168.2.2之外所有主机通信的ip包，使用命令：
　　　　#tcpdump ip host 192.168.2.1 and ! 192.168.2.2
　　　(4)如果想要获取主机192.168.2.1接收或发出的telnet包，使用如下命令：
　　　　#tcpdump -i eth0 host 192.168.2.1 and port 23

在tcpdump中，使用net参数可以指定网络地址或子网地址。具体使用方法如下：
tcpdump -i <interface> net <network>
其中， 指定要监听的网络接口， 指定要捕获的网络地址或子网地址。<interface><network>
例如，如果要捕获所有传输到或从网络地址为192.168.2.0/24的子网的数据包，可以使用以下命令：
tcpdump -i eth0 net 192.168.2.0/24
如果要捕获所有传输到或从IP地址为192.168.0.1的主机的数据包，可以使用以下命令：

tcpdump -i eth0 net 192.168.2.1
使用net参数时，可以使用子网掩码指定网络地址的范围。例如，如果要捕获所有传输到或从10.0.0.0/8网络的数据包，可以使用以下命令：

tcpdump -i eth0 net 10.0.0.0 mask 255.0.0.0
这将捕获所有源或目的地址为10.0.0.0到10.255.255.255之间的数据包。
　　3. tcpdump 的输出结果介绍
　　　下面我们介绍几种典型的tcpdump命令的输出信息
　　　(1) 数据链路层头信息
　　　使用命令#tcpdump --e host ice
　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A
　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条命令的输出结果如下所示：
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.telne
t 0:0(0) ack 22535 win 8760 (DF)
　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535 表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息
　　　使用命令#tcpdump arp 
　　　得到的输出结果是：
　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)
　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:58:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息
　　　用TCPDUMP捕获的TCP包的一般输出信息是：
　　src > dst: flags data-seqno ack window urgent options
　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (FIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. Options是选项.

　　(4) UDP包的输出信息
　　　用TCPDUMP捕获的UDP包的一般输出信息是：
　　route.port1 > ice.port2: udp lenth
　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机ICE的port2端口，类型是UDP， 包的长度是lenth
　　

4、tcpdump示例

tcpdump只能抓取流经本机的数据包，一般有三个类型，比如指定地址，指定协议，或者指定网卡。
tcpdump -i eth0 host 192.168.2.100 and port 7779 -w test.pcap
tcpdump -i any udp and port 6662 -nnA		//直接显示报文(JSON格式可用)

//16进制显示
tcpdump -i any udp port 6005 -nn -xx

//抓取所有经过 7777端口，源地址是 192.168.2.100 的网络数据()
tcpdump -i any src host 192.168.2.100 and port 7777 -nnA
tcpdump -i any dst host 192.168.2.100 and port 7777 -nnA

//ipv6
tcpdump icmp6 -XX
tcpdump ip6 proto 6
tcpdump -i ens32 ip6 proto 6 -w server_ipv6.pcap

5、过滤主机

//抓取所有经过 eth0，目的或源地址是 192.168.1.70 的网络数据
tcpdump -i eth0 host 192.168.1.70

//抓取所有经过 eth0，源地址是 192.168.1.70 的网络数据
tcpdump -i eth0 src host 192.168.1.70

//抓取所有经过 eth0，目的地址是 192.168.1.70 的网络数据
tcpdump -i eth0 dst host 192.168.1.70

6、过滤端口

//抓取所有经过 eth0，目的或源端口是 22 的网络数据
tcpdump -i eth0 port 22

//抓取所有经过 eth0，源端口是 22 的网络数据
tcpdump -i eth0 src port 22

//抓取所有经过 eth0，目的端口是 22 的网络数据
tcpdump -i eth0 dst port 22

7、过滤协议

tcpdump -i eth0 tcp
tcpdump -i eth0 udp
tcpdump -i eth0 ip
tcpdump -i eth0 icmp
tcpdump -i eth0 arp

8、常用表达式

在tcpdump的过滤表达式中，各类关键字之间还能够通过布尔运算符来构成组合表达式，以满足实际运用时的需要。

布尔运算符包括取非运算符(not 或!)、和运算符(and或&&)、或运算符(or或||)，使用布尔运算符能够将表达式组合起来构成强大的组合条件，从而能够对 Tcpdump的过滤器做进一步细化。
//抓取所有经过 eth0，目的地址是 192.168.2.254 或 192.168.2.100 端口是 80 的 TCP 数据
tcpdump -i eth0 '((tcp) and (port 80) and ((dst host 192.168.2.254) or (dst host 192.168.2.100)))'

//抓取所有经过 eth0，目标 MAC 地址是 00:01:02:03:04:05 的 ICMP 数据
tcpdump -i eth0 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'

//抓取所有经过 eth0，目的网络是 192.168，但目的主机不是 192.168.2.100 的 TCP 数据
tcpdump -i eth0 '((tcp) and ((dst net 192.168) and (not dst host 192.168.2.100)))'

9、tcpdump的过滤表达式

表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有的数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。
tcpdump的表达式由一个或多个"单元"组成，每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符：
1、type：类型关键字，指定ID的类型。
可以给定的值有host、net、port、portrange，用于指定主机、网络或端口。例如，能够用“host 192.168.2.100”来标明监听的主机；用“net 192.168.2.0”来标明监听的网络；用“port 23”来标明监听的端口。假如没有在表达式中指明类型，则缺省的类型为host。

2、dir：方向关键字，指定ID的方向。
可以给定的值包括src、dst、src or dst、src and dst，用于指定截获的方向，默认为src or dst。例如，能够用src 9.185.10.57来指明截获的数据包中的源主机地址；用“dst net 9.185.0.0”来指明截获的数据包中的目标网络地址；用"src or dst port 22"表示源或目的端口为22的数据包。假如没有在表达式中指明方向，则缺省的方向为“dst or src”，即两个方向的数据包都将被捕获。对于数据链路层协议(如SLIP和PPP)，使用inbound和outbound来定义方向。

3、proto：协议关键字，通过给定协议限定匹配的数据包类型。
用于指定要截获的数据包所属的协议，包括tcp、udp、arp、ip、ip6、ether、fddi、tr、ip6、arp、rarp、decnet等关键字，若未给定协议类型，则匹配所有可能的类型。例如"tcp port 21"，“udp portrange 7000-7009”。

10、在嵌入式设备中使用tcpdump

准备好tcpdump可执行文件和依赖库（如：libpcap.so.1），通过nfs挂载，将依赖库libpcap.so.1拷贝到/usr/lib目录下，之后再执行tcpdump。
通过tcpdump+Wireshark进行抓包和数据分析；
例如：
tcpdump -i eth0 -w test.cap
tcpdump -i wlan0 -w 10.175.25.100.pcap
tcpdump -i wlan0 -nn 'host 228.228.228.228' -w test.pcap

11、抓包循环写入文件

#循环10个文件、每个文件20M
tcpdump -i any -C 20 -W 10 -w 7777.pcap port 7777
OPTIONS（选项）
-i参数：指定抓包的网口
-C参数：指定了抓包文件的大小（单位1,000,000字节）。当文件写满后会在新打开一个文件，文件名是在-w参数指定的名字后增加后缀1，2，3……。当执行以下命令后，会生成t.pcap，t.pcap1，t.pcap2…
-W参数：与-C参数一起使用时，可以达到循环写入文件的作用。当执行以下命令后，会生成a.pcap00，a.pcap01……
tcpdump -i eth0 -C 1 -w t.pcap
tcpdump -i eth0 -C 5 -W 20  -w a.pcap
expression：表达式为真的包才会被抓取，无表达式时抓取所有包。以下指令表达式会只抓取源ip地址为192.168.2.100，且目的端口为9999的数据包
tcpdump -i eth0 -C 5 -W 20 -w a.pcap src host 192.168.2.100 and dst port 9999

12、tcpdump按进出方向抓包

tcpdump抓取进入网卡的包，或者出网卡的包。
#抓进入网卡的包
tcpdump -i wlan0 -nn -xx " inbound "
#抓出网卡的包
tcpdump -i wlan0 -nn -xx " outbound "