tcpdump抓包

一、介绍

Tcpdump是linux环境下的报文抓包工具。支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

Windows下一般使用wireshark进行报文抓取和报文分析。Linux下一般可以使用tcpdump+（tcptrace或wireshark）。

二、tcpdump 下载和安装

https://www.cnblogs.com/cipc/articles/2428282.html
https://blog.csdn.net/ai2000ai/article/details/54378787

三、tcpdump 常用示例

tcpdump只能抓取流经本机的数据包，一般有三个类型，比如指定地址，指定协议，或者指定网卡。

综合示例：

// 网卡、host、协议tcp/udp、显示格式/保存文件
tcpdump -i eth0 host 10.1.36.95 and port 7779 -w test.pcap
tcpdump -i any src host 192.168.5.100 and port 7777 -nnA
tcpdump -i any dst host 192.168.5.100 and port 7777 -nnA	
tcpdump -i any udp and port 6662 -nnA		//ASCII显示(JSON格式可用)

//16进制显示
tcpdump -i any udp port 6005 -nn -xx

//按length过滤
tcpdump -i eth0 'len <= 500' -nnA	
tcpdump -i eth0 'len >= 1000' -nnA			

//ipv6
tcpdump icmp6 -XX
tcpdump ip6 proto 6
tcpdump -i ens32 ip6 proto 6 -w server_ipv6.pcap

默认启动：

tcpdump

默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。

过滤主机：

//抓取所有经过 eth0，目的或源地址是 192.168.1.70 的网络数据
tcpdump -i eth0 host 192.168.1.70

//抓取所有经过 eth0，源地址是 192.168.1.70 的网络数据
tcpdump -i eth1 src host 192.168.1.70

//抓取所有经过 eth0，目的地址是 192.168.1.70 的网络数据
tcpdump -i eth1 dst host 192.168.1.70

过滤端口：

//抓取所有经过 eth0，目的或源端口是 22 的网络数据
tcpdump -i eth0 port 22

//抓取所有经过 eth0，源端口是 22 的网络数据
tcpdump -i eth1 src port 22

//抓取所有经过 eth0，目的端口是 22 的网络数据
tcpdump -i eth1 dst port 22

过滤协议：

tcpdump -i eth0 tcp
tcpdump -i eth0 udp
tcpdump -i eth0 ip
tcpdump -i eth0 icmp
tcpdump -i eth0 arp

常用表达式：

在tcpdump的过滤表达式中，各类关键字之间还能够通过布尔运算符来构成组合表达式，以满足实际运用时的需要。

布尔运算符包括取非运算符(not 或!)、和运算符(and或&&)、或运算符(or或||)，使用布尔运算符能够将表达式组合起来构成强大的组合条件，从而能够对 Tcpdump的过滤器做进一步细化。

例如：

//抓取所有经过 eth0，目的地址是 192.168.1.254 或 192.168.1.200 端口是 80 的 TCP 数据
tcpdump -i eth0 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'

//抓取所有经过 eth1，目标 MAC 地址是 00:01:02:03:04:05 的 ICMP 数据
tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'

//抓取所有经过 eth1，目的网络是 192.168，但目的主机不是 192.168.1.200 的 TCP 数据
tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'

参考资源：
https://blog.csdn.net/nanyun2010/article/details/23445223

保存到指定文件：

//实时抓取3721端口，多播地址为228.228.228.228的包，然后写入228.228.228.228.pcap,然后通过Wireshark分析数据
tcpdump -i any '(host 228.228.228.228 &&  port 3721)' -w 228.228.228.228.pcap

//实时抓取端口号8000的GET包，然后写入GET.log
tcpdump -i eth0 '((port 8000) and (tcp[(tcp[12]>>2):4]=0x47455420))' -nnAl -w /tmp/GET.log

通过组合不同的关键字和表达式，能够实现对任意网卡、协议、地址、端口数据包的过滤

其他：

//抓取所有网卡的包
tcpdump -i any

//ARP过滤，比如从指定的网络接口截获5个ARP数据包，并且不将网络地址转换成主机名
tcpdump arp -i eth0 -c 5 -n

//截获在主机“9.185.10.57”和主机“9.185.10.58”或“9.185.10.59”之间传递的数据包
tcpdump host 9.185.10.57 and 9.185.10.58 or 9.185.10.59 

//假如想要截获主机“9.185.10.57”和除主机“9.186.10.58”外任何其他主机之间通信的IP数据包，能够使用如下命令
tcpdump ip host 9.185.10.57 and ! 9.185.10.58 

//抓取回环网口的包：
tcpdump -i lo

//防止包截断：
tcpdump -s0

//以数字显示主机及端口：
tcpdump -n

注：测试时，可将ip地址修改为自己电脑的ip地址。

四、tcpdump命令格式

tcpdump是个命令行方式的网络嗅探器。他通过使用命令选项来过滤网卡截获的数据包，假如不进行过滤，过多数量的包会使网络管理员很难理清头绪。

4.1、tcpdump选项

通过tcpdump --help或者man tcpdump或者info tcpdump查看tcpdump帮助说明文档，tcpdump的命令格式如下：

tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]
[ -c count ]
[ -C file_size ] [ -G rotate_seconds ] [ -F file ]
[ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]
[ --number ] [ -Q in|out|inout ]
[ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ]
[ -W filecount ]
[ -E spi@ipaddr algo:secret,...  ]
[ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]
[ --time-stamp-precision=tstamp_precision ]
[ --immediate-mode ] [ --version ]
[ expression ]

抓包选项：
-c：在捕获指定个数的数据包后退出。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。
-i：interface，指定监听的网络接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
    ：一旦找到第一个符合条件的接口，搜寻马上结束。可以使用’any’关键字表示所有网络接口。
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析（DNS查询）。
-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。（以ip和port的方式显示来源主机和目的主机，而不是用主机名和服务）
-N：不打印出host的域名部分。例如tcpdump将会打印’nic’而不是’nic.ddn.mil’。
-P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、“out"和"inout”，默认为"inout"。
-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，
    ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，
    ：从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。

输出选项：
-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
-v：输出较周详的信息，例如IP包中的TTL和服务类型信息。
-vv：产生比-v更详细的输出。
-vvv：产生比-vv更详细的输出。

功能性选项：
-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。
-F：从指定的文档中读取过滤规则，忽略命令行中指定的其他过滤规则。
-w：将截获的数据包直接写入指定的文档中，不对其进行分析和输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
-r：从指定的文档中读取数据包(该文档一般通过-w选项产生)。使用"-"表示从标准输入中读取。

其他：
-a 将网络地址和广播地址转变成容易识别的名字
-d 将已截获的数据包的代码以人容易理解的格式输出；
-dd 将已截获的数据包的代码以C程式的格式输出；
-ddd 将已截获的数据包的代码以十进制格式输出；
-e 输出数据链路层的头部信息；
-f 将internet地址以数字形式输出；
-l 将标准输出变为行缓冲方式；
-t 不输出时间戳；
-T 将截获的数据包直接解释为指定类型的报文，现在支持的类型有cnfp、rpc、rtp、snmp、vat和wb。

4.2、tcpdump的过滤表达式

表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有的数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。

tcpdump的表达式由一个或多个"单元"组成，每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符：

1. type：类型关键字，指定ID的类型。
   可以给定的值有host、net、port、portrange，用于指定主机、网络或端口。例如，能够用“host 9.185.10.57”来标明监听的主机；用“net 9.185.0.0”来标明监听的网络；用“port 23”来标明监听的端口。假如没有在表达式中指明类型，则缺省的类型为host。

2. dir：方向关键字，指定ID的方向。
   可以给定的值包括src、dst、src or dst、src and dst，用于指定截获的方向，默认为src or dst。例如，能够用src 9.185.10.57来指明截获的数据包中的源主机地址；用“dst net 9.185.0.0”来指明截获的数据包中的目标网络地址；用"src or dst port 22"表示源或目的端口为22的数据包。假如没有在表达式中指明方向，则缺省的方向为“dst or src”，即两个方向的数据包都将被捕获。对于数据链路层协议(如SLIP和PPP)，使用inbound和outbound来定义方向。

3. proto：协议关键字，通过给定协议限定匹配的数据包类型。
   用于指定要截获的数据包所属的协议，包括tcp、udp、arp、ip、ip6、ether、fddi、tr、ip6、arp、rarp、decnet等关键字，若未给定协议类型，则匹配所有可能的类型。例如"tcp port 21"，“udp portrange 7000-7009”。

一个基本的表达式单元格式为"proto dir type ID"，如下图：

除了使用修饰符和ID组成的表达式单元，还有关键字表达式单元： gateway、broadcast、multicast、less、greater以及算术表达式。

表达式单元之间可以使用操作符" and / && / or / || / not / ! “进行连接，从而组成复杂的条件表达式。如"host foo and not port ftp and not port ftp-data”，这表示筛选的数据包要满足"主机为foo且端口不是ftp(端口21)和ftp-data(端口20)的包"，常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。

另外，同样的修饰符可省略，如"tcp dst port ftp or ftp-data or domain"与"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意义相同，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。

使用括号"()“可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线”“转义为”()"，在需要的时候，还需要包围在引号中。

五、扩展

5.1 在嵌入式设备中使用tcpdump

准备好tcpdump可执行文件和依赖库（如：libpcap.so.1），通过nfs挂载，将依赖库libpcap.so.1拷贝到/usr/lib目录下，之后再执行tcpdump。

通过tcpdump+Wireshark进行抓包和数据分析；

例如：

./tcpdump -i eth0 -w test.cap

./tcpdump -i wlan0 -w 10.175.25.100.pcap

./tcpdump -i wlan0 -nn 'host 228.228.228.228' -w test.pcap

参考资料：

1. tcpdump ipv6 抓包

https://blog.csdn.net/ai2000ai/article/details/54378787
https://www.cnblogs.com/f-ck-need-u/p/7064286.html
https://www.jianshu.com/p/a62ed1bb5b20
http://www.itshouce.com.cn/linux/linux-tcpdump.html

16进制显示
https://blog.csdn.net/jasmine_zlm/article/details/79639609

---

TCPDUMP(命令行操作)-抓包、筛选、高级筛选、过程文档记录
https://blog.csdn.net/qq_33936481/article/details/51416730

参数介绍：

-A：以ASCII格式打印出所有分组，并将链路层的头最小化。
-nn：

5.2抓包循环写入文件

原文：tcpdump网络抓包循环写入文件（man tcpdump基础讲解）
其他：TCPdump指定时间或者指定大小进行循环抓取报文

综合示例：

#循环10个文件、每个文件20M
tcpdump -i any -C 20 -W 10 -w 7777.pcap port 7777

OPTIONS（选项）

这部分就是具体支持的参数了，如：

-i参数：指定抓包的网口
-C参数：指定了抓包文件的大小（单位1,000,000字节）。当文件写满后会在新打开一个文件，文件名是在-w参数指定的名字后增加后缀1，2，3……。当执行以下命令后，会生成t.pcap，t.pcap1，t.pcap2…

sudo tcpdump -i eth0 -C 1 -w t.pcap

-W参数：与-C参数一起使用时，可以达到循环写入文件的作用。当执行以下命令后，会生成a.pcap00，a.pcap01……

sudo tcpdump -i eth0 -C 5 -W 20  -w a.pcap

expression：表达式为真的包才会被抓取，无表达式时抓取所有包。以下指令表达式会只抓取源ip地址为192.168.123.120，且目的端口为9999的数据包。

sudo tcpdump -i eth0 -C 5 -W 20 -w a.pcap src host 192.168.123.120 and dst port 9999

5.3 tcpdump按进出方向抓包

原文地址：tcpdump按进出方向抓包

tcpdump抓取进入网卡的包，或者出网卡的包。

#抓进入网卡的包
tcpdump -i wlan0 -nn -xx " inbound "

#抓出网卡的包
tcpdump -i wlan0 -nn -xx " outbound "