linux网络调试工具集,linux下网络调试工具

最新推荐文章于 2024-10-16 00:36:43 发布

扒皮哥

最新推荐文章于 2024-10-16 00:36:43 发布

阅读量1.9k

点赞数

文章标签： linux网络调试工具集

linux下网络调试工具，主要包括tcpdump、netstat和lsof工具。

1. tcpdump (dump traffic on a network)

tcpdump打印指定网络接口中与布尔表达式匹配的报头信息。

tcpdump的表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将被捕获。如果没有给出任何条件，则网络上的所有的信息包将会被截获。

表达式中一般有如下几个类型的关键字。

(1) 关于类型的关键字，主要包括host、net、port，例如：

host 210.27.48.2 //指明210.27.48.2主机

net 202.0.0.0 //指明网络地址202.0.0.0

port 23 //指明端口号为23

如果没有指定类型，默认的类型是host。

(2) 确定传输方向的关键字，主要包括src、dst、dst or src、dst and src，

src 210.27.48.2 //指明IP包源地址为210.27.48.2

dst net 202.0.0.0 //指明目的网络地址为202.0.0.0

如果没有指明方向关键字，则默认是src或dst关键字。

(3) 协议关键字，主要包括fddi、ip、arp、rarp、tcp、udp等类型。指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。

除了这3类型的关键字，重要的关键字还有gateway、broadcast、less、greater。另外还有3中逻辑运算：

‘not’或’!’ //非运算

‘and’或’&&’ //与

‘or’或’||’ //或

应用示例：

(1) 想要截获所有210.27.48.1的主机收到和发出的所有数据包

$tcpdump host 210.27.48.1

(2) 想要截获210.27.48.1和主机210.27.48.2和210.27.48.3的通信，使用命令

(在命令行中使用括号时，一定要\):

$tcpdump host 210.27.48.1 and $210.27.48.2 or 210.27.48.3 $

(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外的所有主机通信的ip包

$tcpdump ip host 210.27.48.1 and !210.27.28.2

(4) 如果要获取主机210.27.48.1接受或发出的telnet包，使用如下命令：

$tcpdump tcp port 23 host 210.27.48.1

TCP包的输出信息：

使用tcpdump捕获的tcp包的一般输出信息格式是：

src.port > dst.port: flags data-seqno ack window urgent options

内容分析如下：

l src.port >dst.port：源到目的地，刚好标识一对连接

l flags是tcp包中的标志信息：S是SYN标志，F(FIN)、P(PUSH)、R(RST)、“.”(没有标志)。

l data-seqno数据包中的数据的顺序号

l ack是下一次期望的顺序号

l win是接收缓存的窗口大小

l urgent表明数据包中是否有紧急指针

l options是选项

tcpdump常用选项：

l -a：将网络地址和广播地址转变成名字

l -d：将匹配信息包的代码以能够理解的汇编格式给出

l -dd：将匹配信息包的代码以C语言程序段的格式给出

l -ddd：将匹配信息包的代码以十进制的形式给出

l -e：在输出行打印出数据链路层的头部信息

l -f：将外部地址以数字的形式打印出来

l -l：使标准输出变为缓冲形式

l -n：不把网络地址转换成名字

l -t：在输出行的每一行不打印时间戳

l -v：输出一个稍微详细的信息

l -vv：输出详细的报文信息

l -c：在收到指定数目的数据包后，tcpdump就会停止

l -F：从指定的文件中读取表达式，忽略其他的表达式

l -i：指定监听的网络接口

l -r：从指定的文件中读取包(这些包一般通过-w选项产生)

l -w：直接将包写入文件中，并不分析和打印出来

l -T：将监听到的包直接解释为指定的类型的报文，常见的类型有rpc和snmp

tcpdump能抓取网络包，并分析。

这里，我直接用tcpdump抓到包并保存在文件中(syn.log)，找到相应字段的bit区域，通过查tcp/ip协议个字段，反向解包。并与tcpdump的分析结果对比。

tcp服务器：192.168.0.50:48500

tcp客户端：192.168.0.100:59684

IPv4

先启动服务器，然后打开tcpdump监听，将抓包指定保存到文件syn.log。然后，客户端主动连接上来，这样，最开始抓到的为tcp的三次握手。

使用od将数据以16进制显示，以一个字节为单位(8bits)。

除了网络数据包之外，产生的文件中还有些数据是tcpdump文件特用的数据，例如最开始的d4c3 b2a1表示该文件是tcpdump产生的文件，具体tcpdump文件格式，网上搜的到，这里我只圈出三次握手的网络数据包，如图。将上图中的输出，重定向到另外文件中，为了方便阅读，将其重新排列(但不改变字节序)。

这里，我拿第一个SYN包来反解

目的MAC：08:90:00:a0:02:10

源MAC：3c:97:0e:8f:c8:be

协议类型：0800(IP协议包)

IP头：

版本：0x4(IPv4)，对于IPv6，该值为6

首部长度：0x5，这个长度以字为单位。(5*4=20字节)

服务类型(TOS)：0x00

总长度：0x003c(60)

标识：0x41bf(16831)

标志：0x2

偏移：0