tcpdump抓包分析

目录

1. Tcpdump

用法

具体参数细节

2. 实例

ARP包 

Icmp包

UDP包

TCP包

---

协议格式详细介绍文章：Wireshark网络抓包分析

1. Tcpdump

用法

tcpdum是Linux上强大的网络数据采集分析工具

1 第一种类型的关键字：host    net     port        

host 210.27.48.3指明 210.27.48.3是一台主机。net202.0.0.0指明202.0.0.0是一个网络地址port 23指明端口23。

2 第二种确定传输方向的关键字，主要包括 src,dst，dst or src，dst and src。这些关键字指明了传输的方向。

    src 源；dst 目的；没有指明方向关键字，则缺省是src or dst.

3 第三种是协议的关键字，主要包括ip,arp，udp,tcp,fddi

具体参数细节

-A 以ASCII格式打印出所有分组，并将链路层的头最小化。

-c 在收到指定的数量的分组后，tcpdump就会停止。
-C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。

-d 将匹配信息包的代码以人们能够理解的汇编格式给出。
-dd 将匹配信息包的代码以c语言程序段的格式给出。
-ddd 将匹配信息包的代码以十进制的形式给出。

-D 打印出系统中所有可以用tcpdump截包的网络接口。

-e 在输出行打印出数据链路层的头部信息。
-E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。

-f 将外部的Internet地址以数字的形式打印出来。
-F 从指定的文件中读取表达式，忽略命令行中给出的表达式。

-i 指定监听的网络接口。

-l 使标准输出变为缓冲行形式，可以把数据导出到文件。
-L 列出网络接口的已知数据链路。

-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。
-M 如果tcp报文中存在TCP-MD5选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。

-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。

-n 不把网络地址转换成名字。
-nn 不进行端口名称的转换。
-N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。

-t 在输出的每一行不打印时间戳。

-O 不运行分组分组匹配（packet-matching）代码优化程序。

-P 不将网络接口设置成混杂模式。

-q 快速输出。只输出较少的协议信息。

-r 从指定的文件中读取包(这些包一般通过-w选项产生)。

-S 将tcp的序列号以绝对值形式输出，而不是相对值。
-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。

-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。
-t 不在每一行中输出时间戳。
-tt 在每一行中输出非格式化的时间戳。
-ttt 输出本行和前面一行之间的时间差。
-tttt 在每一行中输出由date处理的默认格式的时间戳。

-x：以16进制的形式打印每个包的头部数据（但不包括数据链路层的头部）
-xx：以16进制的形式打印每个包的头部数据（包括数据链路层的头部）
-X：以16进制和 ASCII码形式打印出每个包的数据(但不包括连接层的头部)，这在分析一些新协议的数据包很方便。
-XX：以16进制和 ASCII码形式打印出每个包的数据(包括连接层的头部)，这在分析一些新协议的数据包很方便。
-u 输出未解码的NFS句柄。

-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。
-vv 输出详细的报文信息。
-w 直接将分组写入文件中，而不是不分析并打印出来。

2. 实例

sudo  tcpdump  -ni  ens38  -xxvv

-i 选择过滤的网络接口

-nn 不进行端口名称的转换。

-xx：以16进制的形式打印每个包的头部数据（包括数据链路层的头部）

-vv 输出详细的报文信息

ARP包 

ffff	ffff	ffff	0050	56c0	0008	0806	0001
目的以太网地址			源以太网地址			类型ARP	硬件地址的类型
0800	0604	0001	0050	56c0	0008	c0a8	f001
IP类型	硬件地址的长度，协议地址的长度	操作类型: 1 ARP请求 2 ARP应答	发送方以太网地址			发送方的IP地址
0000	0000	0000	c0a8	f082
接收方的以太网地址。			接收方的IP地址。

Icmp包

000c	297b	e467	0050	56c0	0008	0800	4500
目的以太网地址			源以太网地址			类型IP协议=0x0800	4：表示为IPV4；首部长度服务类型
003c	8b62	0000	4001	8d89	c0a8	f001	c0a8
整个IP数据报的长度	分片重组时会用到该字段	标志位;片偏移	生存时间;协议1: ICMP	首部检验和	源IP地址		目的IP地址
f082	0800	4d3e	0001	001d	6162	6364	6566
目的IP地址	0：回显应答报文 8：请求回显报文;	检验和。	标识符，	序列号，1
6768	696a	6b6c	6d6e	6f70	7172	7374	7576
7761	6263	6465	6667	6869

UDP包

0050	56e5	d27c	000c	297b	e467	0800	4500
目的以太网地址			源以太网地址			类型IP协议=0x0800	4：表示为IPV4；首部长度服务类型
003e	07a8	4000	4011	d130	c0a8	f082	c0a8
整个IP数据报的长度	分片重组时会用到该字段	标志位;片偏移	生存时间;协议17: udp	首部检验和	源IP地址		目的IP地址
f002	9b72	0035	002a	6212	8606	0100	0001
目的IP地址	源端口	目的端口	UDP首部加上UDP数据的字节数，最小为8。	CRC	数据区
0000	0000	0000	0564	6169	7379	0675	6275
数据区
6e74	7503	636f	6d00	0001	0001
数据区

TCP包

000c	297b	e467	0050	56e5	d27c	0800	4500
目的以太网地址			源以太网地址			类型IP协议=0x0800	4：表示为IPV4；首部长度服务类型
004e	1051	0000	8006	863a	2278	d07b	c0a8
整个IP数据报的长度	分片重组时会用到该字段	标志位;片偏移	生存时间;协议06: utcp	首部检验和	源IP地址		目的IP地址
f082	01bb	99b2	323b	2ef4	cbe3	b404	5018
目的IP地址	源端口	目的端口	Seq序号字段		Ack num确认号		FLAG
faf0	d8ab	0000	1703	0300	2100	0000	0000
窗口	校验字段	紧急指针	选项字段	数据区
0000	02aa	a0f5	661f	8757	dc2b	44eb	3955
数据区

 推荐一个不错的学习网站 C/C++后台高级服务器https://ke.qq.com/course/417774?flowToken=1010783