TCP抓包学习

1 tcpdump

1.1 选项参数

抓包选项

• -c：指定抓取包的数目
• -i：指定要监听的网卡
• -n：显示ip, 而不是主机名
• -nn：显示端口，而不是服务名
• -P: 指定要抓取的包是流入还是流出的包。可以给定in、out、inout，默认inout
• -s len： 设置tcpdump的数据包抓取长度，默认65535字节。

输出选项

• -v：输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息
• -vv：输出详细的报文信息，比-v还详细
• -X：以十六进制打印数据报文
• -A：打印报文的ASCII值
• -e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC

其他功能选项

• -w：保存数据包而不是在屏幕上显示出抓取的数据包
• -r：阅读指定文件(一般是通过-w得到的)的报文内容
• -D：列出可用于抓包的接口，将会列出接口的数值编号和接口名，都可以用于-i后

常用选项

• tcpdump -D
• tcpdump -c num -i int --nn -XX -vv

1.2 tcpdump表达式

表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。

tcpdump的表达式由一个或多个单元组成，单个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符：

1. type：指定ID的类型。
   可以给定的值有host/net/port/portrange。例如"host foo",“net 128.7”,“port 20”,“portrange 6000-6008”。默认type为host。

2. dir：指定ID的方向
   可以给定的值包括src/dst/src or dst/src and dst，默认为src or dst。 例如，“src foo” 表示源主机为foo的数据包，“dst net 128.7”表示目标网络为128.7的数据包，“src or dst port 22” 表示源或目的端口为22的数据包。

3. proto：通过给定的协议限定匹配的数据包类型
   常用的协议有tcp/udp/arp/ip/ether/icmp等，若未给定协议类型，则匹配所有可能的类型。例如"tcp port 21",“udp portrange 7000-7009”。

所以，一个基本的表达式单元格式为proto dir type ID。

除了使用修饰符和ID组成的表达式单元，还有关键字表达式单元：gateway，broadcast，less，greater以及算术表达式。

表达式单元之间可以使用操作符“and / && / or / || / not / ! ”进行连接，从而组成复杂的条件表达式。如host foo and port ftp and not port ftp-data,这表示筛选的数据包要满足“主机为foo且端口不是ftp(端口为21)和ftp-data(端口为22)的包”。

另外，同样的修饰符可以省略，如"tcp dst port ftp or ftp-data or domain"与“tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain”，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口为53).

可以使用括号()改变表达式优先级，不过需要使用\进行转义。

1.3 tcpdump 示例

注意，tcpdump只能抓取流经本机的数据包。

• 监视指定网卡的数据包： tcpdump -i eth1
• 监视指定主机的数据包，例如所有进入或离开foo的数据包 ：tcpdump host foo
• 打印helio<–>hot或helios<–>ace之间通信的数据包tcpdump host helios and \(hot or ace \)
• 打印ace与其他任何主机之间通信的IP数据包，但不包括与helios之间的数据包：tcpdump host ace and ont helios
• 截获主机hostname发送的所有数据：tcpdump src host hostname
• 监视所有发送到主机hostname的数据包：tcpdump dst host hostname
• 监视指定主机和端口的数据包：tcpdump tcp port 22 and host hostname
• 对本机的udp 123(ntp)端口进行监视：tcpdump udp port 123
• 监视指定网络的数据包，如本机与192.168网段通信的数据包：tcpdump -c 10 net 192.168
• 打印所有通过网关snup的ftp数据包(注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析)：shell> tcpdump 'gateway snup and (port ftp or ftp-data)'
• 抓取ping包：tcpdump -c 5 -nn -i eth0 icmp，如果明确要抓取主机为192.168.100.70对本机的ping，则使用and操作符：tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62 。注意不能直接写icmp src 192.168.100.70，因为icmp协议不支持直接应用host这个type。
• 抓取到本机22端口包：tcpdump -c 10 -nn -i eth0 tcp dst port 22
• 解析包数据：tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 22

1.4 输出解释

08:41:13.729687 IP 192.168.64.28.22 > 192.168.64.1.41916: Flags [P.], seq 196:568, ack 1, win 309, options [nop,nop,TS val 117964079 ecr 816509256], length 372
第一个字段 08:41:13.729687:为抓取该报文时的系统本地时间戳
然后，IP表示网络层协议类型，IP代表IPv4，IP6代表IPv6
192.168.64.28.22为源ip地址和端口号，接着是目的ip地址和端口，这里是192.168.64.1.41916
接着，为TCP报文标记段Flags [P .] 。该字段通常有如下取值：
S(SYN)，F(FIN)，P(PUSH)，R(RST)，W(ECN CWT)，或者E(ECN-Echo)组成，单独一个.表示没有flag表示，这里[P.]表示PUSH-ACK数据包(所以.表示ACK报文？)
随后，seq表示数据包中该数据的序列号，对于第一个数据包，该字段为绝对值，后续为相对值。此处seq 196:568表示该数据在数据流的第196到568字节(按字节编号)；
接下来，ack表示期望的对方下一次发送的数据起始序号。本次ack=上一次seq+数据包长度len。
之后，win 表示接收窗口大小，即接收缓冲区可用的字节数，后面的option为TCP选项如MSS(最大报文端大小)或窗口比例值等。
最后，length 表示数据包的有效载荷

1.5 win10使用wireshark出现无法显示网卡的问题

原因： Npcap工具(随wireshark一起安装的？)不兼容win10
解决方法： 卸载Npcap，重新下载Win10pcap,下载地址