tcpdump的输出分析

最新推荐文章于 2025-01-16 21:11:32 发布

原创

最新推荐文章于 2025-01-16 21:11:32 发布 · 1.9w 阅读

12 ·

CC 4.0 BY-SA版权

文章标签：

#db2 #server #tcp #c #character #socket

本文通过实例分析了tcpdump的使用，展示了如何监听特定端口的TCP连接，并解释了tcpdump输出的详细信息，包括TCP三次握手、数据传输和关闭连接的过程。通过tcpdump的输出，可以深入理解TCP连接的各个环节。

以前在TCP卷一里，看到过tcpdump的使用。当时，没太在意，尤其它输出的格式，因为不熟悉，更不愿去用它。这段时间的开发，用socket比较多。在遇到问题时，仅从socket api函数的返回值，往往看不出问题的实质。

后来，经laser提醒，才知道tcpdump的强大。这里不想介绍tcpdump的选项，我只想举一些实例，以便给自己作个笔记。

使用以下命令，监听15001端口的tcp连接，-X 表示以16进制显示报文，-s 0 表示显示整个ip报的内容(默认为68bytes)，但如果太长的话，tcpdump的缓冲区可能不够用而引发丢失报文：

$ tcpdump 'port 15001 and tcp' -X -s 0

例如，使用telnet发起连接：
yunkai@lsyp1002:~/tmp $ telnet 10.111.112.7 15001
Trying 10.111.112.7...
Connected to 10.111.112.7 (10.111.112.7).
Escape character is '^]'.
$W2,53,100,200,057181932602,13656645563,85022088,#
$X2,14,100,1,#^]
telnet> quit

Connection closed.

tcpdump的输出如下：

root@lsyp1002:~ # /usr/sbin/tcpdump 'port 15001 and tcp' -X -s 0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
13:37:07.448992 IP lsyp1002.xxx.xxxx.com.58939 > 10.111.112.7.15001: S 3188757698:3188757698(0) win 5840 <mss 1460,sackOK,timestamp 870140741 0,nop,wscale 7>
    0x0000: 4510 003c df87 4000 4006 e10b cbd1 fe80 E..<..@.@.......
    0x0010: 3cbf 7307 e63b 3a99 be10 94c2 0000 0000 <.s..;:.........
    0x0020: a002 16d0 c44c 0000 0204 05b4 0402 080a .....L..........
    0x0030: 33dd 4b45 0000 0000 0103 0307            3.KE........