tcpdump

tcpdump

• 无图形化的抓包分析工具
• Linux、Unix系统默认安装

抓包

• 默认只抓68个字节(每个数据包的包头信息左右)【需要加参数】

  # -i 指定网卡
  # -s 抓多大的数据包 （0 指无限制）
  # -w 将抓的数据包进行保存（推荐cap格式）【不保存的话，将会实时显示在终端中】
  tcpdump -i eth0 -s 0 -w tcp.cap
  # port 只抓某个端口的数据
  

tcp 指定数据流形式

tcpdump -i eth0 tcp port 22

## 读取抓包文件

​```shell
# -r 读取文件
tcpdump -r a.cap
# -A 以ASCII码形式显示信息
tcpdump -A -r a.cap
# -X 以16进制形式与ASCII码值显示包内容
tcpdump -X -r a.cap

筛选

# -n 将域名转换为IP地址，不会对包内的IP地址转为域名
# sort -u  去除重复的项
tcpdump -n -r a.cap | awk '{print $3}' | sort -u

# src 源地址
# host IP地址
# 显示所有源IP是192.168.147.1的包
tcpdump -n src host 192.168.147.1 -r a.cap
# dst 目标地址
# 显示所有目标IP所在的包
tcpdump -n dst host 192.168.147.1 -r a.cap

# port 端口号
# 只查看某端口所在的包
tcpdump -n port 53 -r a.cap

高级筛选

tcp报文，红字为tcp标记位

• 哪一列为1，标志着哪一列生效

• 00011000 = 24 表明筛选建立连接和传输数据的包

• 不关注握手过程

  # 表明筛选建立连接和传输数据的包
  # 第13个字节为24
  # 一行4个字节
  tcpdump -A -n 'tcp[13]=24' -r a.cap
  

过程文档记录

• Dradis
  • 短期临时小团队资源共享
  • 各种插件导入文件
• Keepnote
• Truecrypt