tcpdump抓包

最新推荐文章于 2025-03-11 12:33:08 发布
最新推荐文章于 2025-03-11 12:33:08 发布
阅读量1.2k 收藏 4
点赞数 1
分类专栏： Golang 网络 文章标签： golang tcpdump
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lanyang123456/article/details/89287446
版权

tcpdump是抓包常用的工具，可以直接从数据链路层抓取网络数据进行分析。tcpdmp提供了很多命令行参数，提供定制的数据捕获功能。
下面首先会介绍其命令行参数，接着以一个使用场景为例说明使用方法。

1.tcpdump使用说明

1.1 命令行参数

  • i interface 网络接口，例如lo0, en0, eth0等
  • c count 指定抓包的个数，如果没有提供，则一直监听并抓取
  • X 以十六进制和ASCII方式打印报头和数据内容
  • v 详细显示指令执行过程
  • vv 更加详细的显示执行的执行过程
  • vvv 更更详细。。。

1.2 类型的关键字

  • host(缺省类型): 指明一台主机，如：host 210.27.48.2
  • net: 指明一个网络地址，如：net 202.0.0.0
  • port: 指明端口号，如：port 23

1.3 方向的关键字

  • src: 例如，src 210.27.48.2, IP包源地址是210.27.48.2
  • dst: 例如，dst net 202.0.0.0, 目标网络地址是202.0.0.0

1.4 协议的关键字

缺省值是监听所有协议的信息包

  • fddi
  • ip
  • arp
  • rarp
  • tcp
  • udp

更多的参数说明，请参考关于tcpdump的man page。

2. 抓包举例

2.1 server和client端准备

server端功能说明

server端监听8080端口，如果有连接到来，建立连接后，向客户端发送一条数据，然后关闭连接。
实现上使用golang，代码如下：

client端功能说明

client端与server建立连接后，从server读取数据，如果对端关闭连接，则client也关闭连接。
实现上使用golang，代码如下：

2.2 抓包步骤

(1) 执行抓包命令

tcpdump -i lo0 port 8080 -n -vvv -X
tcpdump: listening on lo0, link-type NULL (BSD loopback), capture size 262144 bytes

在接口lo0上抓取发送和接收端口为8080的数据包。

由于是在本地测试，client和server在同一台主机上，因此抓取lo0接口。

另外，执行命令时需要超级权限。

(2) 启动server

./server
2019/04/13 18:40:30 rpc listening 0.0.0.0:8080
2019/04/13 18:41:08 send: 28
2019/04/13 18:41:08 connetion end

(3) 启动client

 ./client
2019/04/13 18:41:08 count: 28 msg: You are welcome. I'm server.
2019/04/13 18:41:08 Read failed: EOF

(4) 查看抓到的数据包

首先是三次握手。
SYN:

18:41:05.618523 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 64, bad cksum 0 (->3cb6)!)
    127.0.0.1.61930 > 127.0.0.1.8080: Flags [S], cksum 0xfe34 (incorrect -> 0xdd83), seq 66368567, win 65535, options [mss 16344,nop,wscale 6,nop,nop,TS val 1414333278 ecr 0,sackOK,eol], length 0
	0x0000:  4500 0040 0000 4000 4006 0000 7f00 0001  E..@..@.@.......
	0x0010:  7f00 0001 f1ea 1f90 03f4 b437 0000 0000  ...........7....
	0x0020:  b002 ffff fe34 0000 0204 3fd8 0103 0306  .....4....?.....
	0x0030:  0101 080a 544d 035e 0000 0000 0402 0000  ....TM.^........

SYN+ACK:

18:41:05.618580 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 64, bad cksum 0 (->3cb6)!)
    127.0.0.1.8080 > 127.0.0.1.61930: Flags [S.], cksum 0xfe34 (incorrect -> 0x15f3), seq 3395921258, ack 66368568, win 65535, options [mss 16344,nop,wscale 6,nop,nop,TS val 1414333278 ecr 1414333278,sackOK,eol], length 0
	0x0000:  4500 0040 0000 4000 4006 0000 7f00 0001  E..@..@.@.......
	0x0010:  7f00 0001 1f90 f1ea ca69 a56a 03f4 b438  .........i.j...8
	0x0020:  b012 ffff fe34 0000 0204 3fd8 0103 0306  .....4....?.....
	0x0030:  0101 080a 544d 035e 544d 035e 0402 0000  ....TM.^TM.^....

ACK:

18:41:05.618593 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.61930 > 127.0.0.1.8080: Flags [.], cksum 0xfe28 (incorrect -> 0x76fc), seq 1, ack 1, win 6379, options [nop,nop,TS val 1414333278 ecr 1414333278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 f1ea 1f90 03f4 b438 ca69 a56b  ...........8.i.k
	0x0020:  8010 18eb fe28 0000 0101 080a 544d 035e  .....(......TM.^
	0x0030:  544d 035e                                TM.^

接着，连接建立后，server端向client端发送数据:

18:41:05.618605 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.8080 > 127.0.0.1.61930: Flags [.], cksum 0xfe28 (incorrect -> 0x76fc), seq 1, ack 1, win 6379, options [nop,nop,TS val 1414333278 ecr 1414333278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 1f90 f1ea ca69 a56b 03f4 b438  .........i.k...8
	0x0020:  8010 18eb fe28 0000 0101 080a 544d 035e  .....(......TM.^
	0x0030:  544d 035e                                TM.^
18:41:08.620640 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 80, bad cksum 0 (->3ca6)!)
    127.0.0.1.8080 > 127.0.0.1.61930: Flags [P.], cksum 0xfe44 (incorrect -> 0x6769), seq 1:29, ack 1, win 6379, options [nop,nop,TS val 1414336278 ecr 1414333278], length 28: HTTP
	0x0000:  4500 0050 0000 4000 4006 0000 7f00 0001  E..P..@.@.......
	0x0010:  7f00 0001 1f90 f1ea ca69 a56b 03f4 b438  .........i.k...8
	0x0020:  8018 18eb fe44 0000 0101 080a 544d 0f16  .....D......TM..
	0x0030:  544d 035e 596f 7520 6172 6520 7765 6c63  TM.^You.are.welc
	0x0040:  6f6d 652e 2049 276d 2073 6572 7665 722e  ome..I'm.server.

client接收数据后，发送ACK给server端:

18:41:08.620685 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.61930 > 127.0.0.1.8080: Flags [.], cksum 0xfe28 (incorrect -> 0x5f70), seq 1, ack 29, win 6379, options [nop,nop,TS val 1414336278 ecr 1414336278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 f1ea 1f90 03f4 b438 ca69 a587  ...........8.i..
	0x0020:  8010 18eb fe28 0000 0101 080a 544d 0f16  .....(......TM..
	0x0030:  544d 0f16                                TM..

server关闭到client方向的连接，发送FIN:

18:41:08.620751 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.8080 > 127.0.0.1.61930: Flags [F.], cksum 0xfe28 (incorrect -> 0x5f6f), seq 29, ack 1, win 6379, options [nop,nop,TS val 1414336278 ecr 1414336278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 1f90 f1ea ca69 a587 03f4 b438  .........i.....8
	0x0020:  8011 18eb fe28 0000 0101 080a 544d 0f16  .....(......TM..
	0x0030:  544d 0f16                                TM..

client发送ACK：

18:41:08.620787 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.61930 > 127.0.0.1.8080: Flags [.], cksum 0xfe28 (incorrect -> 0x5f6f), seq 1, ack 30, win 6379, options [nop,nop,TS val 1414336278 ecr 1414336278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 f1ea 1f90 03f4 b438 ca69 a588  ...........8.i..
	0x0020:  8010 18eb fe28 0000 0101 080a 544d 0f16  .....(......TM..
	0x0030:  544d 0f16                                TM..

client 断开到server方向的连接，发送FIN：

18:41:08.621085 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.61930 > 127.0.0.1.8080: Flags [F.], cksum 0xfe28 (incorrect -> 0x5f6e), seq 1, ack 30, win 6379, options [nop,nop,TS val 1414336278 ecr 1414336278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 f1ea 1f90 03f4 b438 ca69 a588  ...........8.i..
	0x0020:  8011 18eb fe28 0000 0101 080a 544d 0f16  .....(......TM..
	0x0030:  544d 0f16                                TM..

server端发送ACK：

18:41:08.621133 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52, bad cksum 0 (->3cc2)!)
    127.0.0.1.8080 > 127.0.0.1.61930: Flags [.], cksum 0xfe28 (incorrect -> 0x5f6e), seq 30, ack 2, win 6379, options [nop,nop,TS val 1414336278 ecr 1414336278], length 0
	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
	0x0010:  7f00 0001 1f90 f1ea ca69 a588 03f4 b439  .........i.....9
	0x0020:  8010 18eb fe28 0000 0101 080a 544d 0f16  .....(......TM..
	0x0030:  544d 0f16                                TM..

参考

http://www.mamicode.com/info-detail-2089175.html

也谈tcpdump抓包
sxd2001的博客
12-02 805
本文不关心tcpdump的具体使用，主要针对tcpdump和bridge、promisc以及loopback设备的一些技术细节进行了展开，还对数据包的进出方向进行了分析。
python调用tcpdump抓包过滤的方法
12-25
本文实例为大家分享了python调用tcpdump抓包过滤的具体代码，供大家参考，具体内容如下 之前在linux用python脚本写一个抓包分析小工具，实在不想用什么libpcap、pypcap所以，简单来了个tcpdump加grep搞定。基本思路...
Go-xdpcap是一个类似tcpdump的工具用于XDP数据抓包
08-13
xdpcap是一个类似tcpdump的工具，用于eXpress数据路径（XDP）。 它可以使用标准的tcpdump / libpcap过滤器表达式从XDP程序捕获数据包和操作/返回代码。
tcpdump抓包命令
sunshine716的专栏
11-06 1670
           tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。    tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的Linux系统中，由于它需要将网络界面设...
linux下的网络抓包(tcpdump)介绍
最新发布
weixin_42333247的博客
03-11 1637
抓包原理抓包工具通过将网络接口设置为混杂模式（Promiscuous Mode）来工作，在混杂模式下，网络接口会接收所有经过它的数据包，而不仅仅是目标地址为本机的数据包，抓包工具会捕获这些数据包，并将其存储或显示出来，以便后续分析数据包结构数据包通常由头部和数据两部分组成，头部包含了源地址、目的地址、协议类型、端口号等信息，而数据部分则是实际传输的内容，不同的协议有不同的头部结构，了解这些结构有助于分析数据包协议分析常见的网络协议如。
TCPdump抓包命令详解
weixin_34248849的博客
09-23 3843
TCPdump抓包命令tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和***者都是非常有用的工具。tcpdump存在于基本的Linux系统中，由于它需要将网络界面设置为混杂模式，普...
tcpdump命令以及简单使用
super_m@n的博客
09-11 1219
0*00首先给出参数： root@kali:~# tcpdump -h tcpdump version 4.9.2 libpcap version 1.9.0 (with TPACKET_V3) OpenSSL 1.1.1c 28 May 2019 Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ] ...
tcpdump
killua7080的专栏
11-26 293
http://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html
tcpdump抓包工具离线安装包
10-13
在Linux系统中，tcpdump通常作为命令行工具使用，通过指定网络接口、过滤条件以及输出格式来控制抓包行为。 在离线安装tcpdump时，首先你需要下载与系统架构相匹配的安装包。这个压缩包可能包含了编译好的二进制...
Linux下使用tcpdump抓包的实现方法
01-11
很多时候我们的系统部署在Linux系统上面，在一些情况下定位问题就需要查看各个系统之间发送数据报文是否正常，下面我就简单讲解一下如何使用tcpdump抓包 tcpdump是Linux下面的一个开源的抓包工具，和Windows下面的...
夜神模拟器tcpdump抓包教程
06-14
### 夜神模拟器tcpdump抓包教程 #### 一、前言 随着移动互联网的发展，Android设备在我们的生活中扮演着越来越重要的角色。对于开发者来说，掌握如何在Android环境中进行网络调试是一项非常实用且必要的技能。本文...
像XDP数据包捕获一样的tcpdump-Golang开发
05-26
xdpcap xdpcap是类似tcpdump的eXpress数据路径（XDP）工具。 它可以使用标准tcpdump / libpcap过滤器表达式捕获来自XDP程序的数据包和动作/返回码。 仪器XDP程序xdpcap xdpcap是类似tcpdump的eXpress数据路径（XDP）工具。 它可以使用标准的tcpdump / libpcap过滤器表达式捕获来自XDP程序的数据包和动作/返回码。 规范XDP程序需要公开至少一个挂钩点：struct bpf_map_def xdpcap_hook = {.type = BPF_MAP_TYPE_PROG_ARRAY，.key_size = sizeof（int），.value_size = sizeof（int），.max_entries = 4，// XDP_的最大值*常数}; 该映射必须固定在bpffs内。 hook.h提供了一个
tcpdump 抓包命令详解
白飞飞_Alan
03-25 2598
linux下的抓包工具tcpdump用法 网络数据采集分析工具TcpDump的简介 顾名思义，TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是
Tcpdump抓包命令详解
Romanticn_chu的博客
04-23 3万+
一、采用命令行方式对接口的数据包进行筛选抓取。 不带任何选项的tcpdump ,默认抓取第一个网络接口。只有将tcpdump进程终止，抓包停止。 二、选项 选项 含义 -c 指定抓取包的数量。即最终获取的包，真实获取的包是10个。即只有10个包满足条件。不一定只抓取了10个包。 -i 指定tcpdump需要监听的接口。未指定将在系统接口列表中搜寻编号最小的最小已配置接口。-i any (所有网络接口) -i lo(loopback接口「该接口不在自动搜索范...
TCPDUMP(命令行操作)-抓包、筛选、高级筛选、过程文档记录
热门推荐
含笑
05-15 9万+
TCPDUMP No-GUI的抓包分析工具 Linux、Unix系统默认安装TCPdump—–抓包 抓包 默认只抓68个字节 tcpdump -i eth0 -s 0 -w file.pcap tcpdump -i eth0 port 22 读取抓包文件 Tcpdump -r file.pcap选项介绍-A 以ASCII格式打印出所有分组，并将链路层的头最小化
对tcpdump不熟的可以试试用这个Go官方库排查网络问题
kevin_tech的博客，微信搜「网管叨bi叨」
06-09 458
最近把一个负责的HTTP服务搬上了公司的内部的k8s平台。由于部分HTTP服务还未接入k8s平台，所以内部服务之间的交互主要通过内网域名。说到这里，一天下午小土负责的A服务跟下游服务B的请求一直报警超时，开始小土使用tcpdump定时抓包系统采集了一些pcap文件，由于小土对抓包也不是很在行，HTTP抓包也碰了一鼻子灰。在跟同事交流的同时，想到了httptrace包，下面...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值