利用tcpdump抓取udp数据

目录

过滤端口

过滤IP

过滤来源ip

过滤目的ip

过滤数据内容 

显示数据内容

过滤数据内容命令

例子

结论 

---

过滤端口

tcpdump命令不仅可以抓取tcp数据，也可以抓取udp包。其命令格式：

tcpdump -i 网卡名 udp port 端口名

tcpdump将打开“端口名"对应的端口，并监听其收到的数据。

如果不限制网卡，则“网卡名"=any

下面的例子，我先写了一个udp.cpp文件，用来发送udp数据。另一边启动tcpdump监听：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <errno.h>
 
#include <sys/types.h>
#include <sys/socket.h>
#include <netinet/in.h>
#include <arpa/inet.h>
 
int main(int argc, char * argv[])
{
	//检查命令行参数是否匹配
	if(argc != 3)
	{
		printf("请传递对方的ip和端口号");
		return -1;
	}
	
	int port = atoi(argv[2]);//从命令行获取端口号
	if( port<1025 || port>65535 )//0~1024一般给系统使用，一共可以分配到65535
	{
		printf("端口号范围应为1025~65535");
		return -1;
	}
	
	//1 创建udp通信socket
	int udp_socket_fd = socket(AF_INET, SOCK_DGRAM, 0);
	if(udp_socket_fd == -1)
	{
		perror("socket failed!\n");
		return -1;
	}
    
	//设置目的IP地址
    struct sockaddr_in dest_addr = {0};
    dest_addr.sin_family = AF_INET;//使用IPv4协议
    dest_addr.sin_port = htons(port);//设置接收方端口号
    dest_addr.sin_addr.s_addr = inet_addr(argv[1]); //设置接收方IP 
	
	
    char buf[1024] = {0};
	//2 循环发送数据
    while (1)
    {
		printf("Please input msg:");
		scanf("%s",buf);//从键盘输入获取要发送的消息
        sendto(udp_socket_fd, buf, strlen(buf), 0, (struct sockaddr *)&dest_addr,sizeof(dest_addr)); 
        if(strcmp(buf, "exit") == 0)
		{
			break;//退出循环
		}
		memset(buf,0,sizeof(buf));//清空存留消息
    }
	
	//3 关闭通信socket
    close(udp_socket_fd);
    return 0;
}

在启动tcpdump之前，先用ifconfig查看已有的网卡。可以看到，loopback对应的是网卡lo。启用lo的端口12321.

启动udpsend命令，向127.0.0.1的12321端口发送数据。第一次发送字符串ui，tcpdump还没有启动，故没显示。但是后面都收到了。

过滤IP

过滤来源ip

tcpdump -i 网卡名 src host ip地址

过滤目的ip

tcpdump -i 网卡名 dst host ip地址

过滤数据内容 

显示数据内容

在tcpdump命令的最后加入-X选项，即可通过16进制的格式打印内容。注意，与wireshark不同，tcpdump打印的内容不包括以太网帧头，而是从IP帧头开始显示。

过滤数据内容命令

tcpdump -i 网卡名 udp and "udp[udp包的第x个字节:过滤字节数（默认一字节）] == 十进制数" 

例子

利用网络助手发送udp数据 0xaaaaaa

tcpdump截取

tcpdump -i any udp and "udp[0] == 233" -X

 可见，udp[0]并不对应被打印的第一个字节--此处是0x45。为什么呢？前面说了，tcpdump从ip包的开头打印。而根据以太网帧、IP 帧、UDP/TCP帧、http 报文结构解析_tcp帧结构-CSDN博客

所说，ip包包头至少20字节。20字节之后是可选项，但是长度必须是4字节的整倍数（0当然也算4的倍数）。所以，我们看到，这里的ip包从0x4500开始，到0x3EB6结束，共20字节，选项字节数=0.

0x3eb6之后，就是udp包。

顺便说一句，IP包包头的第17-20字节显示的是目的计算机的IP地址（下图是IP包头结构）：

在这里，tcpdump -X打印出来的第17-20字节0x0A643EB6 对应 10(0A).100(64).62(3E). 182(B6)，也就是目的地址。

udp协议的格式如下：

所以，0xE976 = 59766就是数据源的端口：

事实上，我们也可以利用udp[0:2]==59766这个条件 来过滤端口。

真正有效的数据，其实是从udp[8]开始的：

另外，tcpdump一个过滤条件最多取4个字节：

结论 

1 我们通过-X选项打印udp包。但是打印出的数据开头20字节是IP包的数据。udp[0]数据从被打印的第21字节开始显示

2 由于udp数据的开头是8字节的端口、校验等数据，所以过滤我们发送的数据要从udp[8]开始：

第0字节--udp[8+0]

第1字节--udp[8+1]

.....

第X字节--udp[8+X]

tcpdump -i 网卡名 udp and "udp[8+x] == 十进制数"