tcpdump抓包工具

最新推荐文章于 2022-09-06 17:28:01 发布
最新推荐文章于 2022-09-06 17:28:01 发布
阅读量243 收藏
点赞数
文章标签： 网络 c/c++
原文链接：http://www.cnblogs.com/GXLo/p/9813742.html
版权

tcpdump抓包工具

一：TCPDump介绍

​ TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。

二：日常使用

1.参数介绍

tcpdump

  • -i 指定网络接口
  • -c 指定要监控的包的数量
  • -w 将抓包结果以文件的形式存放
  • -a 　　　将网络地址和广播地址转变成名字；
  • -d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；
  • -dd 　　 将匹配信息包的代码以c语言程序段的格式给出；
  • -ddd 　　将匹配信息包的代码以十进制的形式给出；
  • -e 　　　在输出行打印出数据链路层的头部信息；
  • -f 　　　将外部的Internet地址以数字的形式打印出来；
  • -l 　　　使标准输出变为缓冲行形式；
  • -n 　　　不把网络地址转换成名字；
  • -t 　　　在输出的每一行不打印时间戳；
  • -v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
  • -vv 　　 输出详细的报文信息；
  • -F 　　　从指定的文件中读取表达式,忽略其它的表达式；
  • -r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；
  • -T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议；）

2.表达式介绍

​ 表达式是一个正则表达式，tcpdump利用他过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果表达式为空，则会捕获所有所有的信息包

表达式类型：

  1. 类型关键字
    • host 192.168.30.10 指定一台主机（默认）
    • net 192.168.30.0 指定一个网络段
    • port 80 指定端口号
  2. 方向关键字
    • src 192.168.30.10 指定包中的源地址
    • dst 192.168.30.20 指定包中的目的地址
    • dst 192.168.30.20 or src 192.168.30.20 dst和src满足一个就获取
    • dst 192.168.30.20 and src 192.168.30.20 dst和src必须同时满足
  3. 协议关键字
    • fddi FDDI(分布式光纤数据接口网络)上的特定的网络协议
    • ip
    • arp
    • rarp
    • tcp
    • utp
  4. 其他不常用关键字还有gateway,broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ',与运算是'and','&&';或运算 是'or','││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要。

三.日常使用例子

  1. 抓取当前主机所有数据包，tcpdump默认在当前终端运行

    [root@mweb07 ~]# tcpdump 
tcpdump: WARNING: eth0: no IPv4 address assigned
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:03:25.585291 IP 172.20.10.2.hsrp > all-routers.mcast.net.hsrp: HSRPv0-hello 20: state=active group=10 addr=172.20.10.1
10:03:26.680044

  2. 抓取100个数据包，并且在指定的文件存放起来，默认tcpdump文件是不允许直接查看的

    [root@mweb07 ~]# tcpdump -c 100 -w tcpdump.out
tcpdump: WARNING: eth0: no IPv4 address assigned
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
100 packets captured     # 抓取100个包后，他就会自动停止
100 packets received by filter
0 packets dropped by kernel

  3. 读取-w参数导出的文件

    [root@mweb07 ~]# tcpdump -r 443_tcpdump.out 
reading from file 443_tcpdump.out, link-type EN10MB (Ethernet)
10:22:49.771433 IP 180.168.69.242.50838 > mweb07.https: Flags [.], seq 1094068907:1094068908, ack 4179967795, win 16537, length 1
10:22:49.771447 IP mweb07.https > 180.168.69.242.50838: Flags [R], seq 4179967795, win 0, length 0
10:22:51.525702 IP 180.168.69.242.50836 > mweb07.https: Flags [F.], seq 932060733, ack 2342938202, win 16344, length 0

  4. 抓取6379端口的100个包

    [root@mweb07 ~]# tcpdump -i bond0 -c 100 -w 443_tcpdump.out tcp port 443 
tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
100 packets captured
102 packets received by filter
0 packets dropped by kernel

  5. 抓取源地址为180.168.69.242，端口为443的数据包

    [root@mweb07 ~]# tcpdump -i bond0 -c 3 -w 443_tcpdump.out src 180.168.69.242 and tcp port 443
tcpdump: listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
3 packets captured
3 packets received by filter
0 packets dropped by kernel

  6. 抓取指定主机的数据包

    # 抓取指定主机的数据包
[root@mweb07 ~]# tcpdump -i bond0 -c 10 host 172.20.10.17
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:28:40.375233 IP mweb07.34822 > mweb08.vrace: Flags [P.], seq 2258399624:2258400017, ack 3133621198, win 18960, options [nop,nop,TS val 941802562 ecr 941809211], length 393
10:28:40.375935 IP mweb08.vrace > mweb07.34822: Flags [.], seq 1:4345, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 4344
10:28:40.375945 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 4345, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.375957 IP mweb08.vrace > mweb07.34822: Flags [.], seq 4345:7241, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
10:28:40.375960 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 7241, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.376008 IP mweb08.vrace > mweb07.34822: Flags [.], seq 7241:10137, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 2896
10:28:40.376012 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10137, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.376015 IP mweb08.vrace > mweb07.34822: Flags [P.], seq 10137:10298, ack 393, win 2841, options [nop,nop,TS val 941811328 ecr 941802562], length 161
10:28:40.376017 IP mweb07.34822 > mweb08.vrace: Flags [.], ack 10298, win 18960, options [nop,nop,TS val 941802563 ecr 941811328], length 0
10:28:40.397701 IP mweb07.46871 > mweb08.6379: Flags [P.], seq 2597564002:2597564092, ack 617045751, win 1260, options [nop,nop,TS val 941802584 ecr 941811100], length 90
10 packets captured
10 packets received by filter
0 packets dropped by kernel
# 可以发现，如果两台主机之间没有通信，是无法抓取的
[root@mweb07 ~]# tcpdump -i bond0 -c 10 host 172.20.10.10
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bond0, link-type EN10MB (Ethernet), capture size 65535 bytes四：日常场景

转载于:https://www.cnblogs.com/GXLo/p/9813742.html

aodui1862
关注
tcpdump抓网络封装包
weixin_43634461的博客
03-18 453
一：TCPDump介绍 TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网...
linux系统中一次网络连接的建立过程中的连接状态 文件描述符 以及抓包详解
top_explore的博客
08-01 805
使用到的命令 lsof -p <pid> 查看一个进程中的文件描述符分配情况 netstat -antp |grep <pid>/<port>查看一个进程的网络连接情况 tcpdump -nn -i eth0 port <port> 监听一个端口的包 首先用socket启动一个服务端端口，不接受客户端 tcp抓包开始，此时没有连接请求： [root@node01 ~]# tcpdump -nn -i eth0 port 9090 tcpdump.
一个网络包的旅程
红豆和绿豆的博客
02-13 518
写在最前面的 我相信你脑子里关于网络的概念都在下面这张图上，但是乱成一团麻，这就是因为知识没有贯通、没有实践、没有组织 上面的概念在RFC1180中讲的无比的通熟易懂了，但是抱歉，当时你也许看懂了，但是一个月后又忘记了，或者碰到问题才发现之前即使觉得看懂了的东西实际没懂 所以这篇文章希望解决书本知识到实践的贯通，希望把网络概念之间的联系通过实践来组织起来 最近客户环境碰到一个网络ping不通的问题，折腾了一周，所以记录一下 当时的网络链路是（大概是这样，略有简化）： 容器1->容器1
tcpdump命令详解
沉默的鹏先生
10-30 9573
tcpdump将网络接口设置成混杂模式以便捕获到达的每一个数据包.下面给出TCPdump的部分常用选项:   -i &lt;interface&gt; 指定监听的网络接口 -t  不显示时间戳 -c 限制抓取数据包个数 -w 保存文件 -v 指定详细模式输出详细的报文信息 -vv 指定更详细模式输出更详细的报文信息 -x 指定以16进制数格式显示数据包（ 解析和打印时，作为打印每一...
tcpdump 详细使用指南（请尽情食用）
热门推荐
叮当猫的喵i
09-06 2万+
本文主要介绍了tcpdump的基本语法和使用方法，并通过一些示例来展示它强大的过滤功能。将 tcpdump 与 wireshark 进行组合可以发挥更强大的功效，本文也展示了如何优雅顺滑地结合 tcpdump 和 wireshark。如果你想了解更多的细节，可以查看 tcpdump 的man手册。
tcpdump抓包工具离线安装包
最新发布
10-13
tcpdump是一款广泛使用的...总结来说，tcpdump是一款强大的网络抓包工具，通过离线安装包，用户可以在没有互联网连接的情况下在系统上安装和使用。掌握其基本用法和过滤技巧，对于提升网络管理和故障排查能力至关重要。
使用tcpdump 进行网络包分析
Daniel 的技术笔记 不积跬步无以至千里，不积小流无以成江海。
01-18 1万+
tcpdump介绍 tcpdump 是一个运行在命令行下的抓包工具。它允许用户拦截和显示发送或收到过网络连接到该计算机的TCP/IP和其他数据包。tcpdump 适用于 大多数的类Unix系统操作系统(如linux,BSD等)。类Unix系统的 tcpdump 需要使用libpcap这个捕捉数据的库就像 windows下的WinPcap。 在学习tcpdump前最好对基本网络的网络知识有
tcpdump抓包命令
sunshine716的专栏
11-06 1581
           tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。    tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的Linux系统中，由于它需要将网络界面设...
tcpdump 的使用
duhaomin的专栏
04-25 1936
001: tcpdump  host 192.168.1.100 tcpdump: no suitable device found
实验验证为什么tcpdump输出看到cksum错误（by quqi99)
技术并艺术着
04-27 2万+
作者：张华 发表于：2016-04-27 版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本版权声明 ( http://blog.csdn.net/quqi99 ) 问题 经常看到tcpdump显示校验错误（cksum 0x0a2b (incorrect -> xxx），如下： hua@node1:~$ tcpdump -vv...
libpcap/tcpdump—2—网络信息（listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes）
We do not claim to have achieved that goal in every aspect of the software, but we strive for it.
09-17 5401
这条信息在运行tcpdump的时候都会见到，那它到底代表什么，又是怎么产生的。这篇文章就说一下这个事。这条信息共有4个内容，分别是：ens33，EN10MB，Ethernet 和 262144.这是最全的情况，查看tcpdump代码你会发现还有3个内容的情况，那个比这个要简单。忘了说了，我使用的tcpdump是4.9.2，libpcap是1.9.0.下面就把这4个内容分别介绍一下。 ens3...
超详细的网络抓包神器 Tcpdump 使用指南
云原生实验室
02-10 4299
点击 "阅读原文" 可以获得更好的阅读体验。前言本文主要内容翻译自《Tcpdump Examples》[1]。tcpdump 是一款强大的网络抓包工具，它使用 libpc...
MySQLDBA修炼之道读书笔记
a2796749的专栏
03-01 1222
以下的命令将查看慢查询是否启用了，以及慢查询的日志路径。mysql&gt; show variables like'%query_log%'; -------------show variables like'%query_log%' -------------+---------------------+-----------------------------------------+ | V...
linux抓包工具-tcpdump用法说明
tinysakura的博客
10-16 7421
抓包工具tcpdump基本使用 tcpdump采用命令行方式对接口的数据包进行筛选抓取，其丰富特性表现在灵活的表达式上。 不带任何选项的tcpdump，默认会抓取第一个网络接口，且只有将tcpdump进程终止才会停止抓包。 例如： shell&amp;gt; tcpdump -nn -i eth0 icmp 下面是详细的tcpdump用法。 详细使用 1.1 tcpdump选项 它的命令格式为： tcp...
KVM虚拟化技术之virt-manager使用及KVM虚拟化平台网络模型介绍
止境博客
02-20 8114
一.使用virt-manager创建和管理虚拟机 1.使用VNC Viewer连接进入虚拟化平台主机 2.打开终端输入virt-manager命令启动virt-manager虚拟机管理界面 #virt-manager 3.通过virt-manager安装CentOS 6.6的虚拟机 点击如图所示图标新建虚拟机： 选择PXE引导，我的网络内存在一个系统自动化部署服务器： 选择操作系统类型和版本： 设置内存和CPU个数： 设置硬盘大小，这里采用动态扩展...
关于Linux 下的错误路由产生火星包的问题
和盼晨的专栏
07-24 4931
关于linux下的错误路由产生火星包的问题错误原理linux 下的route表，不仅负责包的转发路径选择，还负责检验包的来源的合理性
tcpdump 抓包工具
06-10
tcpdump 是一个常用的抓包工具，可以在 Linux、Unix 等操作系统上使用。它可以通过监听网络接口抓取网络数据包，并通过控制台输出或保存到文件中，供后续分析和研究。 以下是 tcpdump 的常用选项和示例: - `-i` ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值