tcpdump快速入门及实践手册

于 2024-08-16 21:05:08 发布
阅读量728 收藏 8
点赞数 6
分类专栏： 网络 文章标签： tcpdump 网络 服务器 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mageriletu2012/article/details/141269484
版权

tcpdump快速入门及实践手册

1. 快速入门

[1]. 基本用法

基本用法： tcpdump [选项 参数] [过滤器 参数]

[root@kysrv1 pwe]# tcpdump -h
tcpdump version 4.9.3
libpcap version 1.9.1 (with TPACKET_V3)
OpenSSL 1.1.1f  31 Mar 2020
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
		[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
		[ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
		[ -Q in|out|inout ]
		[ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
		[ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
		[ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
		[ -Z user ] [ expression ]
[root@kysrv1 pwe]#

[2]. 参数及选项

  • 【-A】：以ASCII打印报文的数据内容，与参数-X冲突。
  • 【-b】: 指定协议，包括 ip、arp、rarp、icmp等。
  • 【-c】：数字，指定抓包数量。
  • 【-C】：数字，保存文件的大小(单位为MB) ，常配合-W使用，代表抓取的包构成多少个pcap文件，每个文件大小多少。
  • 【-D】：列出所有可用网络接口。
  • 【-e】：显示通信双方MAC地址。
  • 【-i】 ：指定监听网卡名称，-i any 表示监听所有网卡。
  • 【-n】: 不解析主机名，直接用IP地址显示；默认用hostname显示，不带该参数会导致回显比较慢，因为要处理域名翻译。
  • 【-nn】: 不解析主机名和端口，直接用Port显示; 默认显示Port对应的服务名。
  • 【-P】：指定抓取的包是进入还是流出的，可选参数有in、out、inout，默认 inout。
  • 【-p】: 关闭接口的混杂模式。
  • 【-q】: 快速打印输出，只输出少量的协议相关信息。
  • 【-r】：从抓包文件读取内容。
  • 【-s】： 数字，设置要抓取的包长，默认96字节；如果-s 0，会截取全部内容。
  • 【-S】：以绝对值形式输出TCP序列号，缺省时以相对值形式输出。
  • 【-t】：不打印时间戳。
  • 【-tt】：显示时间戳。
  • 【-ttt】：显示请求与响应的时间间隔而非绝对时间。
  • 【-vv】：输出详细信息。
  • 【-w】：输出到指定pcap文件；缺省时默认保存在系统的默认路径下；当指定输出文件时，就不会输出到屏幕了。
  • 【-W】：数字，抓取多少个pcap文件，配合-C使用。
  • 【-x】：用16进制显示从ip层及以上开始的帧内容。
  • 【-X】：用16进制和ascii显示ip层及以上的报文头。
  • 【-xx】：同-x，但是从数据链路层(即以太网头部)开始打印。
  • 【-XX】：同-X，但是从数据链路层(即以太网头部)开始打印。
  • 【-Z】：用户名，以该用户权限来执行抓包。
  • 【-G】：从缓存写入到文件的时间间隔(默认是 2 秒)；如果想要 tcpdump 立即将数据写入文件，可以使用 -G 参数。

[3]. 过滤器及参数

过滤器分类

  • 协议(Proto)： 可选有 ip, arp, rarp, tcp, udp, icmp, ether 等，默认是所有协议的包。
  • 方向(Dir)： 可选有 src, dst, src or dst, src and dst，默认为 src or dst 。
  • 类型(Type)： 可选有 host, net, port, portrange（端口范围，比如 21-42），默认为 host。
  • 组合逻辑运行符： 可选有 and 、or 、not 和 括号 等。

括号：

()等特殊符号需要加转义符或者用单引号 ，如下示例：

tcpdump host 192.168.58.1 and \(192.168.58.151 or 192.168.58.131\)
tcpdump host 192.168.58.1 and '(192.168.58.151 or 192.168.58.131)'

上述表达式的含义为：抓取主机192.168.58.1 与（主机192.168.58.151 或 主机 192.168.58.131）之间的通信包。

2. 常用命令

[1]. 监听指定网卡

tcpdump -i ens33

[2]. 监听全部网卡

tcpdump -i any

[3]. 保存Wireshark识别文件格式

tcpdump -i ens33 -w output.pcap

[4]. 查看已有数据包

tcpdump -r output.pcap

[5]. 指定抓取数据包的个数

tcpdump -i ens33 -c 200

上述语句的含义是只抓取200个数据包，然后tcpdump就结束抓取报文。

[6]. 时间格式命名保存报文文件名称

tcpdump -i ens33 port 8080 -w /tmpgram//$(date +%Y%m%d_%H%M).pcap

[7]. 显示通信双方IP地址和端口

tcpdump -i ens33 -nn

[8]. 显示通信双方MAC地址

tcpdump -i ens33 -e

[9]. 显示通信双方MAC地址+IP地址.端口

tcpdump -i ens33 -nne

[10]. 显示通信双方相对时间

tcpdump -i ens33 -ttt

[11]. 抓取指定主机所有收发数据包

tcpdump host 10.16.21.61

[12]. 抓取主机指定网卡所有数据包

比如：抓取主机192.168.58.145 上，经过指定网卡ens33的所有数据包

tcpdump -i ens33 host 192.168.58.145

[13]. 抓取指定端口数据包

抓取指定端口收发报文

tcpdump -i ens33 port 512

抓取目标端口为512的数据包

tcpdump dst port 512

抓取源端口为512的数据包

tcpdump src port 512

[14]. 抓取某一范围端口数据包

抓取 1000 至 1200 UDP 端口数据

tcpdump udp and portrange 1000-1200

[15]. 抓取指定网段数据包

指定收发网段

tcpdump net 192.168.10

指定源网段

tcpdump src net 192.168.20

指定目标网段

tcpdump dst net 192.168.20

[16]. 抓取指定协议类型数据包

tcpdump -i ens33 ip
tcpdump -i ens33 tcp
tcpdump -i ens33 udp

3. 组合逻辑表达式命令

组合表达式

tcpdump -i ens33 -xx -c 5 '((udp) and (port 1281) and ((dst host 192.168.58.145) and (src host 192.168.58.1)))'

表达式含义： 抓取网络接口ens33上主机192.168.58.1向主机192.168.58.145发送的 UDP端口为1281 的数据包。

4. 案例讲解

[1]. 指定端口UDP抓包

表达式如下

tcpdump -i ens33 -e -xx -XX -vv -c 5 udp and dst port 1281

参数说明

  • -i： 指定网络接口名称，ens33 为主机接口名称；
  • -e： 显示通信双方MAC地址；
  • -xx -XX： 用十六进制显示以太网数据帧；
  • -vv： 输出详细信息；
  • -c： 指定抓包数量，本示例中抓取5个数据包就结束抓包；
  • udp: 抓取UDP 数据包；
  • dst port: 抓取目标端口为1281的数据包。

测试数据

在这里插入图片描述

抓取效果

在这里插入图片描述

[2]. UDP以太网帧分析

以太网帧

在这里插入图片描述

0x0000:  000c 2972 87e0 0050 56c0 0008 0800 4500  ..)r...PV.....E.
0x0010:  0053 b360 0000 8011 9156 c0a8 3a01 c0a8  .S.`.....V..:...
0x0020:  3a91 c351 0501 003f 0715 90eb 0303 0004  :..Q...?........
0x0030:  a700 b461 a001 0126 0001 0000 1f00 0120  ...a...&........
0x0040:  1010 1700 0000 0003 00a7 000e 0003 0001  ................
0x0050:  0300 0400 ff16 00ff 1700 ff99 760a f0ff  ............v...
0x0060:  dd

以太网帧分析

14个字节以太网帧首部 + 20个字节IP帧首部 + 8个字节UDP帧首部。

#14字节以太网首部
000c 2972 87e0 0050 56c0 0008 0800 
#20字节IP首部
4500 0053 b360 0000 8011 9156 c0a8 3a01 c0a8 3a91 
#8字节UDP首部
c351 0501 003f 0715 
#用户数据
90eb 0303 0004 a700 b461 a001 0126 0001 0000 1f00 0120 1010 1700 0000 0003 00a7 000e 0003 0001 0300 0400 ff16 00ff 1700 ff99 760a f0ff dd

[3]. TCP三次握手

测试工具

在Linux主机上，使用**nc** 工具监听10086端口。

nc -l 10086

测试数据

使用ComMax工具发送TCP连接请求。

在这里插入图片描述

抓包表达式

tcpdump -i ens33 -nn tcp and port 10086

参数说明

  • -i： 指定网络接口名称，ens33 为主机接口名称；
  • -nn： 不解析主机名和端口，直接用Port显示; 默认显示Port对应的服务名；
  • tcp: 抓取TCP 数据包；
  • port: 抓取收发端口为10086的数据包。

三次握手

在这里插入图片描述

10:17:43.577371 IP 192.168.58.1.59225 > 192.168.58.145.10086: Flags [S], seq 4126457226, win 64240, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
10:17:43.577404 IP 192.168.58.145.10086 > 192.168.58.1.59225: Flags [S.], seq 2886975696, ack 4126457227, win 64240, options [mss 1460,nop,nop,sackOK,nop,wscale 7], length 0
10:17:43.579825 IP 192.168.58.1.59225 > 192.168.58.145.10086: Flags [.], ack 1, win 513, length 0

Flags 含义：

  • [S] : 表示Start 开始握手；
  • [S.] : 表示Start+Ack 握手并确认；
  • [ . ] : 表示Ack 握手确认；
  • [P.] : 表示Push+Ack 数据发送和确认；
  • [F.] : 表示Finish+Ack 挥手并确认;

数据传输及挥手

在这里插入图片描述

[4]. TCP以太网帧分析

TCP测试数据

在这里插入图片描述

抓包表达式

tcpdump -i ens33 -xx -nn tcp and port 10086

以太网帧

在这里插入图片描述

10:34:54.669979 IP 192.168.58.1.55673 > 192.168.58.145.10086: Flags [P.], seq 1:13, ack 1, win 513, length 12
	0x0000:  000c 2972 87e0 0050 56c0 0008 0800 4500
	0x0010:  0034 b3b3 4000 8006 512d c0a8 3a01 c0a8
	0x0020:  3a91 d979 2766 b6e0 0611 9ced 82b6 5018
	0x0030:  0201 d852 0000 0100 0000 0006 0103 0001
	0x0040:  000a

以太网帧分析

14个字节以太网帧首部 + 20个字节IP帧首部 + 20个字节TCP帧首部。

#14字节以太网首部
000c 2972 87e0 0050 56c0 0008 0800
#20字节IP首部
4500 0034 b3b3 4000 8006 512d c0a8 3a01 c0a8 3a91
#20字节TCP首部
d979 2766 b6e0 0611 9ced 82b6 5018 0201 d852 0000
#用户数据
0100 0000 0006 0103 0001 000a

[5]. 抓包并保存到文件

抓包并保存到文件，同时控制文件大小和文件个数。

表达式

tcpdump -i ens33 -s 0 -xx -nn udp port 1281 -w /var/gram/ats.pcap -C 2 -W 3 -Z root

参数说明

  • -i： 指定网络接口名称，ens33 为主机接口名称；
  • -s 0： 抓取全部报文内容；
  • -xx： 用十六进制显示以太网数据帧；
  • -nn： 不解析主机名和端口；
  • udp port 1281: 捕获UDP类型，端口为1281的数据。
  • -w： 报文保存路径，指定为 /var/gram/ats.pcap；
  • -C 2: 保存文件的大小(单位为MB)为2MB ；
  • -W 3: 抓取3个pcap文件，依次命名为 ats.pcap0 、ats.pcap1 和 ats.pcap2 。
  • -Z: 以root用户权限执行保存报文。

测试数据

在这里插入图片描述

表达式验证

先验证表达式是否正确，然后再保存报文。

tcpdump -i ens33 -s 0 -xx -nn udp port 1281 -Z root

在这里插入图片描述

执行保存报文

tcpdump -i ens33 -s 0 -xx -nn udp port 1281 -w /var/gram/ats.pcap -C 2 -W 3 -Z root

开始保存报文，创建第一个文件 ats.pcap0 。

在这里插入图片描述

当第一个文件的大小到达2MB 时，开始创建第二个文件 ats.pcap1 。

在这里插入图片描述

当三个文件都存满的时候，tcpdump将以覆盖的方式存储。

在这里插入图片描述

循环覆盖中

在这里插入图片描述

[6]. 读取存盘文件

如果用tcpdump读取已经保存的文件，则用tcpdump -r file.pcap 命令。

表达式如下：

tcpdump -r ats.pcap0 -xx -nn -c 3
  • -c 3 表示只读取3条帧。

在这里插入图片描述

码村长
关注
  • 6
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
shell实例手册
yonggeit的博客
05-27 5941
shell实例手册 1文件{ touch file # 创建空白文件 rm -rf 目录名 # 不提示删除非空目录(-r:递归删除 -f强制) dos2unix # windows文本转linux文本 unix2dos # linux文本转windows文本 enca filename ...
tcpdump命令学习
JF223355的博客
11-25 208
原文链接：https://www.jianshu.com/p/21b5cbba60d7 前言 tcpdump 是一个很常用的网络包分析工具，可以用来显示通过网络传输到本系统的 TCP/IP 以及其他网络的数据包。tcpdump 使用 libpcap 库来抓取网络报，这个库在几乎在所有的 Linux/Unix 中都有。在 Windows 中我们通常会使用 Wireshark 进行图形化操作...
biopython教程与手册_eBPF Tracing 入门教程与实例
weixin_39883374的博客
12-04 256
在 LPC'18(Linux Plumber's conference) 会议上，至少有24个关于 eBPF 的演讲。 eBPF 这一实用技术，将是每个开发者需要掌握的技巧。 也许你的新年目标得再多一个了：学习 eBPF！eBPF 的名称源于 extended Berkeley Packet Filter，如果从 eBPF 的功能来说，类似 Virtual Kernel Instruction S...
tcpdump抓包使用小结
weixin_34110749的博客
12-12 947
前言 tcpdump 是一个很常用的网络包分析工具，可以用来显示通过网络传输到本系统的 TCP/IP 以及其他网络的数据包。tcpdump 使用 libpcap 库来抓取网络报，这个库在几乎在所有的 Linux/Unix 中都有。在 Windows 中我们通常会使用 Wireshark 进行图形化操作相当便捷，然而在 Linux 环境中如...
网络安全入门书籍推荐
2401_84301315的博客
04-27 569
前面Web安全相关的攻击都是一些很多年的经典手法了，经过多年的发展已经相当成熟，相关的漏洞早已不如以前多，现在很多时候的攻击，都是依靠各种各样的第三方组件漏洞完成的，所以学习研究这些常见第三方组件的漏洞，一方面掌握这些攻击手法用于实战中使用，另一方面触类旁通，对从事漏洞挖掘的工作也是非常有帮助的。度过了石器时代，你已经储备了一些计算机的基础知识：操作系统的使用，网络协议，前端基础，数据库初识，但这距离做网络安全还不够，在第二个青铜阶段，你还需要再进一步学习基础，在第一阶段之上，难度会开始慢慢上升。
docker入门
大草的博客
12-18 584
分析dockerfile文件，理解dokcer qq的构建过程：deepin --> wine --> qq。 简单地了解Namespace和Cgroup的使用，构建一个程序。该程序首先对环境进行隔离：使用自己的hostname、进行IPC|PID隔离、通过chroot使用自己的/proc，完成运行程序的用户和容器内用户的映射。在资源隔离方面，限制该程序最多只能使用10%的CPU。 缺点是，用户组映射没有成功、内存限制没有成功、没有对其进行网络隔离和磁盘I/O限制、没有使用联合文件系统。
eBPF Tracing 入门教程与实例
zhaowei121的博客
05-28 1153
原文链接Learn eBPF Tracing: Tutorial and Examples 译者 弃余 在 LPC'18(Linux Plumber's conference) 会议上，至少有24个关于 eBPF 的演讲。 eBPF 这一实用技术，将是每个开发者需要掌握的技巧。 也许你的新年目标得再多一个了：学习 eBPF！ eBPF 的名称源于 extended Berkeley Pa...
七、Linux入门之软件包管理
bei040549的博客
05-30 532
包和包管理器 最初只有.tar.gz的打包的源码文件，用户必须编译每个他想在GNU/Linux上运行的软件。用户们急需系统提供一种方法来管理这些安装在机器上的软件，当Debian诞生时，这样一个管理工具也就应运而生，它被命名为dpkg。从而著名的“package”概念第一次出现在GNU/Linux系统中，稍后Red Hat才开发自己的“rpm”包管理系统 包的组成： 二进制文件、库文件、配置文件、帮助文件 程序包管理器 debian： deb文件, dpkg包管理器 ...
程序员练级手册
Selectnew的博客
05-30 699
月光博客6月12日发表了《写给新手程序员的一封信》，翻译自《An open letter to those who want to start programming》，我的朋友（他在本站的id是Mailper）告诉我，他希望在酷壳上看到一篇更具操作性的文章。因为他也是喜欢编程和技术的家伙，于是，我让他把他的一些学习Python和Web编程的一些点滴总结一下。于是他给我发来了一些他的心得和经历
tcpdump中文手册
11-03
tcpdump 是一款强大的网络数据包分析工具，广泛应用于Linux系统中，用于捕获、分析和记录网络中的数据包。它可以帮助管理员监控网络流量，诊断网络问题，以及进行安全审计。以下是对tcpdump的详细说明： 1. **...
tcpdump中文手册.pdf
09-30
总的来说，TCPDump 中文手册是理解并有效利用这个工具的关键资源，它详细介绍了如何在各种网络环境中进行数据包捕获和分析，对于网络故障排查、性能监控和安全审计等任务非常有价值。熟悉这些选项和功能，可以让用户...
tcpdump手册
07-24
tcpdump是一款网络数据截取分析工具，用在网络分析、维护、统计、监测等方面。
TCPDUMP中文手册最详细的手册
04-24
《TCPDUMP中文手册最详细的手册》是关于网络数据包捕获工具tcpdump的详尽指南。tcpdump是一款在命令行环境下运行的工具，它能够捕获并显示通过网络接口传送到计算机的TCP/IP以及其他类型的数据包。作为一款遵循BSD...
tcpdump常用指令
Artisan_w
08-15 628
打印本地主机与Berkeley网络上的主机之间的所有通信数据包(nt: ucb-ether, 此处可理解为’Berkeley网络’的网络地址,此表达式最原始的含义可表达为: 打印网络地址为ucb-ether的所有数据包)打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包.也可以指定ip,例如截获所有210.27.48.1 的主机收到的和发出的所有的数据包。打印所有源地址或目标地址是本地主机的IP数据包。监视所有送到主机hostname的数据包。监视指定主机和端口的数据包。
特洛伊木马：现代网络安全的隐形威胁
最新发布
weixin_48579910的博客
08-16 259
特洛伊木马是一种伪装成合法软件或文件的恶意程序。攻击者利用这种伪装，使受害者在不知情的情况下主动安装或运行木马，从而为攻击者打开了进入目标系统的大门。与病毒不同，木马并不会自我复制，而是通过社会工程学等手段诱使用户下载和执行。特洛伊木马虽然是网络世界中的“老兵”，但其隐蔽性和多样性使得它至今仍然是网络安全的一大威胁。了解木马的工作原理和危害，并采取适当的防范措施，可以帮助我们在数字化生活中更加安全地航行。
Connection reset by peer报错解决
m0_65307735的博客
08-16 216
Connection reset by peer报错解决
华为路由的AAA是什么？
huaqianzkh的专栏
08-14 615
华为路由的AAA是Authentication(认证)、‌Authorization(授权)和Accounting(计费)的简称，‌是一种提供认证、‌授权和计费的安全管理机制。‌AAA作为一种网络安全管理机制，‌主要提供以下功能和服务：‌认证：‌验证用户是否可以获得网络访问权，‌确定哪些用户可以访问网络。‌授权：‌授权用户可以使用哪些服务，‌即对用户赋予不同的权限，‌限制用户可以使用的服务。‌计费。
10.1 网络基础知识
yoyo勰的博客
08-14 130
了解非授权访问没有预先经过同意，就使用网络或计算机资源则被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。信息泄漏或丢失指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括：信息在传输中丢失或泄漏、信息在存储介质中丢失或泄漏以及通过建立隐蔽隧道等窃取敏感信息等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值