Kali Day06:TCPDUMP

tcpdump -i eth0 -s 0 -w a.cap

-i 即-interface 指定监听哪个网卡

-s即 -size 指定抓包的大小 0表示有多大抓多大，如果不设置默认只抓64个字节

-w表示抓包数据保存在什么地方

输入ctrl+c停止抓包

tcpdump -r a.cap

-r即read 表示查看a.cap文件，也就是查看抓到的包

tcpdump -X -r a.cap 以16进制的形式显示

tcpdump -A -r a.cap 以ASCII码的形式显示

抓包筛选器：

tcpdump -i eth0 tcp port 22 只抓含有tcp头部，关于22端口的包

显示筛选器：

tcpdump -n -r a.cap | awk '{print $3}' | sort -u

-n:表示不对包里面的地址做名称的解析,也就说不把ip地址解析为域名，将ip地址原原本本地显示

awk '{print $3}' 表示只显示第三列(第三列是ip地址)，不通列之间用空格做分割

sort -u 表示排序 不显示重复项

tcpdump -n src host xxxx -r a.cap 只显示 src ip为xxx的数据包

tcpdump -n dst host xxxx -r a.cap 只显示 dst ip为xxx的数据包

tcpdump -n  port xx -r a.cap 只显示端口号为xx的数据包

tcpdump高级筛选：

以ascii码显示时一行是32位4个字节，所以flag位 处于第14个字节

 

tcpdump -A-n 'tcp[13] =24' -r a.cap 表示tcp头部以二进制显示时第14个字节（flag位）为24即 二级制 00011000（表示ack=1 psh=1 即三次握手后，发送的第一个包）

过程文档记录：

过程文档记录是渗透测试过程非常重要的一环，一般一个临时组建的团队中会有一个人专门负责过程文档的记录。

过程文档记录的工具：keepnote

加密工具：待定