Linux使用tcpdump命令抓包并使用wireshark分析常见的场景和解读

最新推荐文章于 2024-09-25 09:46:16 发布

完颜振江

最新推荐文章于 2024-09-25 09:46:16 发布

阅读量3.6k

点赞数 52

文章标签： linux tcpdump wireshark

本文链接：https://blog.csdn.net/ethnicitybeta/article/details/140317736

版权

使用 tcpdump 抓包并使用 Wireshark 分析网络流量是一项重要的网络管理和故障排除技能。以下是一个简单的步骤指南，涵盖了从抓包到分析的常见场景。

抓包

安装 tcpdump

在大多数 Linux 发行版上，您可以使用包管理器安装 tcpdump。例如，在基于 Debian 的系统上：
```
sudo apt-get install tcpdump
```
在基于 Red Hat 的系统上：
```
sudo yum install tcpdump
```
使用 tcpdump 抓包

要抓取所有接口的流量，可以使用以下命令：
```
sudo tcpdump -i any -w capture.pcap
```
- -i any 表示监听所有网络接口。
- -w capture.pcap 表示将抓到的数据保存到 capture.pcap 文件中。
如果只想抓取特定接口（例如 eth0），可以指定接口名称：
```
sudo tcpdump -i eth0 -w capture.pcap
```
要抓取特定端口的数据包（例如 HTTP 端口 80），可以使用过滤器：
```
sudo tcpdump -i eth0 port 80 -w capture.pcap
```
捕获指定数量的数据包

您可以使用 -c 选项来限制捕获的数据包数量：
```
sudo tcpdump -i eth0 -c 100 -w capture.pcap
```
实时查看抓包数据

如果希望在抓包过程中实时查看数据，可以不使用 -w 选项，而是直接在终端输出：
```
sudo tcpdump -i eth0
```

使用 Wireshark 分析抓包数据

安装 Wireshark

在大多数 Linux 发行版上，可以使用包管理器安装 Wireshark。例如，在基于 Debian 的系统上：
```
sudo apt-get install wireshark
```
在基于 Red Hat 的系统上：
```
sudo yum install wireshark
```
打开抓包文件

启动 Wireshark，然后打开 tcpdump 生成的 capture.pcap 文件。可以通过 Wireshark 的菜单 File > Open 来打开文件。
基本分析步骤
- 过滤数据包：使用 Wireshark 的显示过滤器来筛选感兴趣的数据包。例如，过滤 HTTP 流量：
```
http
```
- 查看会话：使用 Statistics > Conversations 查看 TCP 会话，了解主机之间的通信情况。
- 分析特定流量：右键点击某个感兴趣的数据包，选择 Follow > TCP Stream 或 Follow > UDP Stream，可以查看特定会话的全部数据包。
- 检查错误和异常：使用 Statistics > Protocol Hierarchy 查看协议分布，识别异常流量。使用 Analyze > Expert Information 查看分析专家信息，以识别可能的错误和异常。
解读常见场景
- HTTP 请求与响应：在 HTTP 流量中，可以查看请求方法（如 GET、POST）、URL、响应状态码（如 200、404）、内容类型等。
- DNS 查询与响应：在 DNS 流量中，可以查看域名查询和响应的 IP 地址，识别解析时间和可能的解析失败。
- TCP 握手与关闭：查看 TCP 握手过程（SYN、SYN-ACK、ACK）和连接关闭过程（FIN、ACK），识别重传和连接超时问题。
- SSL/TLS 握手：在 HTTPS 流量中，可以查看 SSL/TLS 握手过程，识别加密协议和证书信息。

示例

假设我们需要抓取并分析 HTTP 流量：

使用 tcpdump 抓包

sudo tcpdump -i eth0 port 80 -w http_traffic.pcap

在 Wireshark 中打开文件

启动 Wireshark，打开 http_traffic.pcap 文件。
使用过滤器

在过滤栏中输入 http，仅显示 HTTP 流量。
分析 HTTP 流量
- 查看 HTTP 请求和响应：点击某个 HTTP 数据包，查看详细信息，如请求方法、URL、响应状态码等。
- 检查延迟和错误：使用 Statistics > HTTP > Packet Counter 查看请求和响应统计信息，识别延迟和错误响应。

通过以上步骤，您可以使用 tcpdump 和 Wireshark 有效地捕获和分析网络流量，解决常见的网络问题。

在网络流量分析中，常见的异常场景通常包括网络性能问题、安全问题和协议异常等。以下是一些常见的异常场景及其分析方法：

1. 网络延迟和丢包

症状：用户报告网络响应慢，网站加载时间长，视频缓冲等。

分析方法：

检查丢包：在 Wireshark 中，使用 tcp.analysis.flags && !tcp.analysis.window_update 过滤器，查看 TCP 分析标志是否显示重传、丢包等信息。
查看 RTT（往返时间）：在 Wireshark 中右键点击 TCP 数据包，选择 Conversation Filter > TCP，然后使用 Statistics > TCP Stream Graph > Round Trip Time 查看 RTT 图表，识别高延迟。

解决方法：检查网络设备配置，增加带宽，优化路由等。

2. TCP 重传和重置

症状：网络连接不稳定，经常断开，文件传输中断等。

分析方法：

查看重传包：使用 tcp.analysis.retransmission 过滤器，查看重传数据包。
识别 TCP 重置：使用 tcp.flags.reset==1 过滤器，查看 TCP 重置（RST）包，识别连接被异常关闭的情况。

解决方法：检查网络设备、优化 TCP 参数（如窗口大小）、调整超时设置等。

3. DNS 解析失败

症状：无法访问网站，域名解析错误等。

分析方法：

查看 DNS 查询和响应：使用 dns 过滤器，查看 DNS 查询和响应数据包。
识别失败原因：查看 DNS 响应中的状态码（如 NXDOMAIN 表示域名不存在，SERVFAIL 表示服务器失败）。

解决方法：检查 DNS 服务器配置，确保 DNS 服务器可用，更新 DNS 缓存等。

4. HTTP 错误响应

症状：网页显示错误信息，如 404 错误页面，500 内部服务器错误等。

分析方法：

查看 HTTP 状态码：使用 http.response.code >= 400 过滤器，查看所有错误响应。
分析具体错误：查看 HTTP 响应中的详细信息，如 404 表示资源未找到，500 表示服务器内部错误等。

解决方法：检查服务器配置，确保资源存在，修复服务器错误等。

5. SSL/TLS 握手失败

症状：无法建立 HTTPS 连接，SSL/TLS 握手失败。

分析方法：

查看 SSL/TLS 握手包：使用 ssl.handshake 过滤器，查看 SSL/TLS 握手过程。
识别错误：查看握手过程中的错误消息，如证书无效、协议不匹配等。

解决方法：更新 SSL/TLS 证书，确保客户端和服务器支持相同的加密协议和算法等。

6. 网络攻击和安全威胁

症状：发现异常流量，高流量峰值，服务器被入侵等。

分析方法：

检测 DDoS 攻击：查看大量相似的请求包，使用 ip.src == <victim_ip> 或 ip.dst == <victim_ip> 过滤器查看特定 IP 地址的流量。
识别扫描和爆破攻击：使用 tcp.flags.syn == 1 && tcp.flags.ack == 0 过滤器查看 SYN 扫描，使用 ftp.request.command == "USER" || ftp.request.command == "PASS" 过滤器查看 FTP 爆破尝试。

解决方法：启用防火墙规则，设置流量限制，使用入侵检测系统等。

7. ARP 欺骗和中间人攻击

症状：网络中断，数据包被劫持，通信内容被篡改等。

分析方法：

检测 ARP 欺骗：使用 arp.duplicate-address-frame 过滤器查看重复的 ARP 响应包。
识别中间人攻击：查看可疑的 IP 地址和 MAC 地址配对，检查网络中的 ARP 广播包。

解决方法：使用静态 ARP 表，启用 ARP 检测，使用加密协议（如 HTTPS）等。

通过使用上述方法，您可以在 Wireshark 中识别和分析常见的网络异常场景，并采取相应的措施来解决这些问题。

网络拥堵和丢包率高是常见的网络问题，会影响网络性能，导致连接不稳定、响应时间长等问题。以下是如何分析网络拥堵和高丢包率场景的方法。

1. 使用 `tcpdump` 抓包

首先，我们需要使用 tcpdump 抓取网络流量数据：

sudo tcpdump -i eth0 -w congestion.pcap

2. 在 Wireshark 中打开抓包文件

使用 Wireshark 打开 congestion.pcap 文件，开始分析流量。

3. 分析网络拥堵和丢包

检查丢包

TCP 重传：
- 使用过滤器 tcp.analysis.retransmission 来查看 TCP 重传的数据包。
- 重传是丢包的一个明显标志。当网络拥堵时，TCP 会检测到数据包没有到达目的地并重新发送。
TCP 窗口缩小：
- 使用过滤器 tcp.window_size < 1000 来查看窗口大小缩小的数据包。
- 当网络拥堵时，TCP 的接收窗口可能会缩小，这是由于接收端无法处理数据的速度跟不上发送端的速度。

检查网络延迟

RTT（往返时间）：
- 在 Wireshark 中右键点击任意 TCP 数据包，选择 Conversation Filter > TCP，然后使用 Statistics > TCP Stream Graph > Round Trip Time Graph 查看 RTT 图表。
- 高 RTT 表示网络延迟增加，这通常是网络拥堵的结果。

检查流量峰值

I/O 图表：
- 使用 Statistics > I/O Graph，查看流量的变化情况。
- 如果在特定时间段内流量突然增加，这可能导致网络拥堵。

检查带宽利用率

带宽利用情况：
- 使用 Statistics > Endpoints 查看每个 IP 地址的流量。
- 使用 Statistics > Conversations 查看各对端之间的流量。
- 带宽过度使用是网络拥堵的常见原因，尤其是在共享网络环境中。

4. 识别问题根源

通过上述分析步骤，可以帮助识别网络拥堵和丢包的根源：

高流量应用：某些应用或服务可能占用了大量带宽，如视频流、文件传输等。
网络设备性能问题：路由器、交换机等设备可能性能不足，无法处理高流量。
网络配置问题：不合理的网络配置，如过低的带宽限制、错误的路由配置等，可能导致拥堵。

5. 解决方案

优化网络配置

增加带宽：根据需求增加带宽，避免带宽不足导致的拥堵。
优先级设置：配置 QoS（服务质量）策略，为关键应用和服务设置优先级。
流量控制：使用流量控制技术（如流量整形）来平衡网络流量。

设备升级

升级网络设备：升级路由器、交换机等设备，以处理更高的流量。
优化设备配置：确保设备配置合理，如调整缓冲区大小、优化路由表等。

监控和预警

持续监控网络流量：使用网络监控工具（如 Nagios、Zabbix）持续监控网络流量，及时发现和处理问题。
设置预警机制：当流量达到一定阈值时，自动触发预警，及时采取措施。

通过这些步骤，可以有效地分析和解决网络拥堵和丢包问题，确保网络的稳定和高效运行。

网络攻击是严重的安全问题，会导致数据泄露、服务中断等。以下是一些常见的网络攻击场景分析方法，包括检测、分析和缓解措施。

1. 使用 `tcpdump` 抓包

首先，我们需要使用 tcpdump 抓取网络流量数据：

sudo tcpdump -i eth0 -w attack_scenario.pcap

2. 在 Wireshark 中打开抓包文件

使用 Wireshark 打开 attack_scenario.pcap 文件，开始分析流量。

3. 分析常见的网络攻击场景

1. DDoS 攻击

症状：网络流量异常高，服务响应缓慢或无法访问。

分析方法：

检测流量峰值：使用 Statistics > I/O Graph 查看流量变化情况。如果流量在短时间内急剧增加，可能是 DDoS 攻击。
检查同源 IP 地址：使用 Statistics > Endpoints 查看同一 IP 地址发出的大量请求。

解决方法：

设置流量限制：使用防火墙规则限制每个 IP 地址的最大连接数。
启用 DDoS 保护：使用 DDoS 防护服务，如 Cloudflare 或 Akamai。

2. SYN 洪泛攻击

症状：大量半开连接，服务器资源耗尽。

分析方法：

检测大量 SYN 包：使用 tcp.flags.syn==1 && tcp.flags.ack==0 过滤器查看大量 SYN 包。
检查未完成的 TCP 握手：使用 tcp.flags.syn==1 && tcp.flags.ack==0 && tcp.flags.fin==0 过滤器查看未完成的 TCP 握手。

解决方法：