Linux 常用网络工具 tcpdump、ss等

tcpdump

• OPTIONS
  • -A
  • -B buffer_size 设置操作系统捕捉buffer size，单位为KiB
  • -c count 接收到count个包后退出
  • -C file_size 保存抓包文件时，按file_size大小分为多文件，单位为1,000,000 bytes，需要设置时间格式，否则会覆盖
  • -D 列出系统上可抓包网络接口
  • -e 打印链路层地址
  • -F file 使用file作为过滤表达式输入
  • -G rotate_seconds 和-w配合使用,指定时间之后重写
  • -i interface 指定抓包的网卡接口，任意为 any
  • -n 不要转换地址为名字
  • -nn 不要把端口号转换为协议名，也不转换地址为名字
  • -#或–number 打印行号
  • -q 简短模式，只打印少量的信息
  • -r file 从文件file解析数据包
  • -s snaplen 限制每个包的长度
  • -t 不打印时间戳
  • -tt 打印unix时间戳
  • -ttt 打印本行和上一行之间的时间增量
  • -tttt 打印时间
  • -ttttt 打印本行和第一行的时间增量
  • -v 打印稍微多一点
  • -vv 打印更多
  • -vvv 打印更多
  • -V file 读一系列的file-*文件
  • -w file 输出为文件
  • -x 以十六进制打印包header和数据
  • -xx 以十六进制打印包header和数据、链路层header
  • -X 以十六进制和ASCII打印包header和数据
  • -XX 以十六进制和ASCII打印包header、数据和链路层header

手动/自动配置IP参数与启动/关闭网络接口：ifconfig、ifup、ifdown

• ifconfig 修改的参数在重启之后将失效

# 修改ip
ifconfig eth0 192.168.0.101
ifconfig eth0 mtu 8000
ifconfig eth0 netmask 255.255.128.0
# 仿真一个网络接口，也就是一张网卡上面设置多个IP的意思
ifconfig eth0:0 192.168.0.102

• ifup eth0
• ifdown eth0

修改路由 route

• route add [-net|-host] [网络或主机] netmask [mask] [gw|dev]
  • net 后面指定为一个网络
  • host 后面指定为单部主机的路由
  • gw 网关
  • dev 网卡名称

route add -net 1.1.1.0 netmask 255.255.255.0 gw 192.168.0.1 dev eth2
route del -net 1.1.1.0 netmask 255.255.255.0 gw 192.168.0.1 dev eth2

• route -n # 查看当前路由
  • Flags：
    • U：该路由是启动的
    • H：目标是一台主机而非网络
    • G：需要通过外部的主机来传递数据包，使用网关

网络参数综合命令：ip

关于接口设备的相关设置：ip link

• 查看设备相关属性 ip link show [eth0]
  • -s 会显示更多的统计数据

# ip -s link show eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
    link/ether 52:54:00:6b:e6:47 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast
    15105784358 108907467 0       0       0       0
    TX: bytes  packets  errors  dropped carrier collsns
    19192533472 104501183 0       0       0       0

• 修改设备相关属性 ip link set eth0 []

ip link set eth0 down
ip link set eth0 name vbird
ip link set vbird up

# ip link show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: vbird: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1000 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
    link/ether 08:00:27:fa:42:e1 brd ff:ff:ff:ff:ff:ff
    
# 修改MAC地址
ip link set vbird address aa:aa:aa:aa:aa:aa

关于额外ip的相关设定：ip address

• 查看ip参数 ip address show [en0]
• 设置 ip address [add|del] [IP参数] [dev 设备名] [相关参数]
  • IP参数：100💯100:1/24
  • dev:网卡接口 eth0
  • 相关参数
    • broadcast：设置广播地址，如果设置值为 + 表示"让系统自动计算"
    • label：设置设备的别名 eth0:0
    • scope:
      • global:允许来自所有来源的连接
      • site：仅支持IPv6，仅允许本主机的连接
      • link：仅允许被设备的自我连接
      • host：仅允许备注及内部的连接

# 一个网卡绑定多个ip
ip address add 192.168.0.113/24 dev eth0 label eth0:0
# 删除
ip address del 192.168.0.113/24 dev eth0

路由设定 ip route

• ip route show
• ip route [add|del] [IP或网络号] [via gateway] [dev 设备]

两主机是非连通：ping

• c num：执行次数
• n：在输出数据时不进行IP与主机名的反查，直接使用IP输出
• s num：设置ICMP数据包大小，实际传输值为此值加28B（IP头20B ICMP头8B）
• t num：TTL
• W num：等待响应对方主机的秒数
• M [do|dont]:主要在检测网络的MTU数值大小
  • do：代表传送一个DF（Don’t Fragment）标志，让数据包不能拆包和打包
  • dont：不要传送DF标志，表示此数据包可以拆包和打包

ping -c 2 -s 1472 -M dont 192.168.0.101

两主机间各节点分析：traceroute

• n:可以不必进行主机的名称解析
• U：使用UDP的port 33434进行检查，这是默认的检测协议
• I：使用ICMP的方式进行检查
• T：使用TCP进行检查，一般使用port 80
• w：若对方主机在几秒内没有回应就声明不通，默认为5s
• p 端口号
• i 设备
• g 路由

traceroute -w 1 -nT tw.tahoo.com

查看本机网络及后门 netstat

• r:列出路由表
• n：不使用主机名与服务名称
• a：列出所有的连接状态
• t:列出TCP连接
• u：列出UDP连接
• l:列出LISTEN的服务
• p：列出PID与program的文件名
• c:设置几秒钟后自动更新
• s:统计

netstat -rn
netstat -antp
netstat -lp

【推荐】本机网络查看：ss

• H：输出无头部
• n：不要解析为服务名称，直接数字输出
• r：解析为服务名称
• a：展示监听和未监听的所有sockets
• l：只展示listening sockets
• o：展示时间信息
• e：展示socket的信息
• m：展示socket memory使用
• p：显示进程信息
• i：展示TCP信息，包含窗口、rto等
• K：关闭socket
• s：统计信息
• b：bpf
• [4|6|0(packet)|t|u|d(dccp)|w(raw)|x(unix)|S(sctp)]：

# 统计信息
ss -s
#Display all established ssh connections.
ss -o state established '( dport = :ssh or sport = :ssh )'

DNS相关

• host：查询主机名IP
  • host [-a] hostname [server]

host www.baidu.com
host -a www.baidu.com 8.8.8.8

• nslookup

nslookup 8.8.8.8
nslookup www.baidu.com

• dig

dig +trace www.baidu.com 

telnet

• telnet www.baidu.com 80

netcat:nc

# 聊天
nc -l 25555
nc 127.0.0.1 25555

# 传送数据
nc -l 35555 > outfile
nc 127.0.0.1 35555< infile