Tcpdump网络抓包工具详解!

一、简介

tcpdump就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。

tcpdump是一个用于截取网络分组，并输出分组内容的工具。凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具

tcpdump 支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息

tcpdump需要有root权限。

tcpdump使用了独立于系统的libpcap的接口。libpcap是linux平台下的网络数据包捕获函数包

tcpdump调用libpcap的接口在linux系统链路层抓包。而linux本身指定的许多访问控制规则都是基于三层或三层以上的过滤规则，所以tcpdump可以抓取过滤规则之前的数据包。

tcpdump可以使用带-w参数的tcpdump 截获数据并保存到文件中，然后再使用Wireshark进行解码分析

tcpdump工作在网卡的混杂模式

二、使用

1、命令格式

tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ][ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ][ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ][ -Q in|out|inout ][ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ][ --immediate-mode ] [ -T type ] [ --version ] [ -V file ][ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ][ -Z user ] [ expression ]

2、命令选项

①抓包选项

-A: 以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据(nt: 即Handy for capturing web pages).

-C file-size: (nt: 此选项用于配合-w file 选项使用) 该选项使得tcpdump 在把原始数据包直接保存到文件中之前, 检查此文件大小是否超过file-size. 如果超过了, 将关闭此文件,另创一个文件继续用于原始数据包的记录. 新创建的文件名与-w 选项指定的文件名一致, 但文件名后多了一个数字.该数字会从1开始随着新创建文件的增多而增加. file-size的单位是百万字节(nt: 这里指1,000,000个字节,并非1,048,576个字节, 后者是以1024字节为1k, 1024k字节为1M计算所得, 即1M=1024 ＊ 1024 ＝ 1,048,576)

-c：指定要抓取的包数量。

-d : 以容易阅读的形式,在标准输出上打印出编排过的包匹配码, 随后tcpdump停止.(nt | rt: human readable, 容易阅读的,通常是指以ascii码来打印一些信息. compiled, 编排过的. packet-matching code, 包匹配码,含义未知, 需补充)

-dd: 以C语言的形式打印出包匹配码.

-ddd: 以十进制数的形式打印出包匹配码(会在包匹配码之前有一个附加的'count'前缀).

-i interface：指定tcpdump需要监听的接口。默认会抓取第一个网络接口

-N: 不列出域名

-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。

-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。

-P：指定要抓取的包是流入还是流出的包。可以给定的值为in、out和inout，默认为"inout"。

-p: 不让网络界面进入混杂模式

-O: 不将数据包编码最佳化

-s len：设置tcpdump的数据包抓取长度为len。

​ 如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量，从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。

-S： 打印TCP 数据包的顺序号时, 使用绝对的顺序号, 而不是相对的顺序号.

​ 相对顺序号可理解为, 相对第一个TCP 包顺序号的差距,比如, 接受方收到第一个数据包的绝对顺序号为232323, 对于后来接收到的第2个,第3个数据包, tcpdump会打印其序列号为1, 2分别表示与第一个数据包的差距为1 和 2. 而如果此时-S 选项被设置, 对于后来接收到的第2个, 第3个数据包会打印出其绝对顺序号:232324, 232325

-y datalinktype：设置tcpdump 只捕获数据链路层协议类型是datalinktype的数据包

②输出选项

-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。

-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。

-t：在每行输出中不打印时间戳

-tt：不对每行输出的时间进行格式处理(nt: 这种格式一眼可能看不出其含义, 如时间戳打印成1261798315)

-ttt：tcpdump 输出时, 每两行打印之间会延迟一个段时间(以毫秒为单位)

-tttt：在每行打印的时间戳之前添加日期的打印

-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。

-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。

-v：当分析和打印的时候，产生详细的输出。

-vv：产生比-v更详细的输出。

-vvv：产生比-vv更详细的输出。

③其他功能性选项

-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。

-F：从文件中读取抓包的表达式。若使用该选项，则命令行中给定的其他表达式都将失效。

-w：将抓包数据输出到文件中而不是标准输出。可以同时配合”-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。

-r：从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取

3、条件表达式定义过滤规则

表达式用于决定哪些数据包将被过滤打印. 如果不给定条件表达式, 网络上所有被捕获的包都会被打印,否则, 只有满足条件表达式的数据包被打印

表达式格式：

tcpdump 命令选项 proto dir type

  • proto(protocol协议类型的过滤器)：根据协议进行过滤

    • tcp：
    • udp：
    • icmp：
    • ether：
    • fddi：
    • tr：
    • wlan：
    • ip：
    • ip6：
    • arp：
    • rarp：
    • decnet：
    • 若未给定协议类型，则匹配所有可能的类型

  • dir（direction数据流向类型的过滤器）：根据数据流向进行过滤

    • src：
    • dst：
    • src or dst：
    • src and dst：

  • type（关键词类型的过滤器）：

    • host：

  • net：

    • port：
    • portrange：
    • ether：
    • gateway：

    例如：host 192.168.201.128 , net 128.3, port 20, portrange 6000-6008’

4、过滤规则的组合

表达式单元之间可以使用操作符" and / && / or / || / not / ! "进行连接，从而组成复杂的条件表达式。

  • and：所有的条件都需要满足，也可以表示为 &&
  • or：只要有一个条件满足就可以，也可以表示为 ||
  • not：取反，也可以使用 !

而在单个过滤器里，常常会判断一条件是否成立，这时候，就要使用下面两个符号

  • =：判断二者相等
  • ==：判断二者相等
  • !=：判断二者不相等

使用括号"()"可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线""转义为"()"，在需要的时候，还需要包围在引号中。

当你使用这两个符号时，tcpdump 还提供了一些关键字的接口来方便我们进行判断，比如

  • if：表示网卡接口名
  • proc：表示进程名
  • pid：表示进程id
  • svc：表示 service class
  • dir：表示方向，in 和 out
  • eproc：表示 effective process name
  • epid：表示 effective process ID

三、抓包解读

输出格式

$ tcpdump -S -e -nn -i eth0 dst 192.168.1.7 and port 500006:24:16.887580 dc:a6:32:c4:88:d2 > 00:11:32:11:22:33, ethertype IPv4 (0x0800), length 338: 192.168.1.18.54832 > 192.168.1.7.5000: Flags [P.], seq 2391754816:2391755088, ack 1379501343, win 2051, options [nop,nop,TS val 238444658 ecr 19745762], length 272

  • 第一列：时分秒毫秒 21:26:49.013621

  • 第二列：源MAC地址

  • 第三列：目标MAC地址

  • 第四列：网络协议及其长度

  • 第五列：源IP地址.端口号

  • 第六列：目标IP地址.端口号

  • 第七列：数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length，其中 [P.] 表示 PUSH 标志位为 1，

Flags 标识符

  • [S] : SYN（发起连接标志）
  • [P] : PSH（传送数据标志）
  • [F] : FIN （关闭连接标志）
  • [R] : RST（重置连接）
  • [.] : 没有 Flag，由于除了 SYN 包外所有的数据包都有ACK，所以一般这个标志也可表示 ACK

组合表示

  • [S.]: SYN同步标识，以及确认S的ACK
  • [P.]: 推送数据, 和 ACK
  • [R.]: RST, 连接重置
  • [F.]: FIN 结束连接
  • [DF]: Don't Fragment（不要碎裂），当DF=0时，表示允许分片，一般-v时才有这个标识
  • [FP.]: 标记FIN、PUSH、ACK组合，这样做是为了提升网络效率，减少数据来回确认等

四、示例

1、监听多个端口、多个网卡

# 监听多个端口
tcpdump port 22 or port 23 or port 24 # 监听所有网卡
tcpdump -i any port 22 or port 23

2、找出一段时间内发包数最多的 IP

$ tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20200 packets captured
244 packets received by filter
0 packets dropped by kernel103 IP 192.168.1.1872 IP 220.64.11.9225 IP 192.168.1.7

3、抓取 HTTP GET 请求

$ tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'$ tcpdump -vv -A -l -i6 | grep 'GET'

4、抓取 HTTP POST请求

$ tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'$ tcpdump -vv -A -l -i6 | grep 'POST'

5、抓取 HTTP请求中的 User-Agent和Host

$ tcpdump -nn -A -i6 -l | egrep -i 'User-Agent:|Host:'

6、抓取 HTTP请求中的主机名和路径

$ tcpdump -i6 -v -n -l | egrep -i "POST /|GET /|Host:".Ke..B]'POST /webapi/entry.cgi HTTP/1.1
Host: 192.168.1.7:5000

7、抓取 HTTP 有效数据包

抓取 80 端口的 HTTP 有效数据包，排除 TCP 连接建立过程的数据包（SYN / FIN / ACK）

$ tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/diannao/87569.shtml
繁体地址，请注明出处：http://hk.pswp.cn/diannao/87569.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Spring Boot的Security安全控制——应用SpringSecurity！

Spring Boot的Security安全控制——应用SpringSecurity！

应用Spring Security 前面介绍了在项目开发时为什么选择Spring Security&#xff0c;还介绍了它的原理。本节开始动手实践Spring Security的相关技术。 实战&#xff1a;Spring Security入门 现在开始搭建一个新项目&#xff0c;实践一个Spring Security的入门程序。 &…
阅读更多...
FPGA基础 -- Verilog行为级建模之alawys语句

FPGA基础 -- Verilog行为级建模之alawys语句

Verilog 中的 always 语句块&#xff0c;这是行为级建模的核心结构之一&#xff0c;在 RTL 级设计中广泛用于时序逻辑和组合逻辑的建模。 一、什么是 always 语句&#xff1f; ✅ 定义&#xff1a; always 语句用于描述可综合的硬件行为逻辑&#xff0c;表示一个**“事件驱动…
阅读更多...
【力扣 简单 C】704. 二分查找

【力扣 简单 C】704. 二分查找

目录 题目 解法一&#xff1a;二分查找 题目 解法一&#xff1a;二分查找 int find(const int* nums, int size, int target) {int left 0, right size - 1;while (left < right){int mid (left right) / 2;if (nums[mid] < target)left left 1;else if (nums[m…
阅读更多...
Java并发编程实战 Day 30：并发编程未来展望与最佳实践总结

Java并发编程实战 Day 30：并发编程未来展望与最佳实践总结

【Java并发编程实战 Day 30】并发编程未来展望与最佳实践总结 文章简述 经过30天的系统学习&#xff0c;我们从Java并发编程的基础知识逐步深入到高并发系统的架构设计与性能优化。本文作为“Java并发编程实战”系列的收官之作&#xff0c;将全面回顾整个系列的核心内容&#…
阅读更多...
量化面试绿皮书：23. 醉酒乘客

量化面试绿皮书：23. 醉酒乘客

文中内容仅限技术学习与代码实践参考&#xff0c;市场存在不确定性&#xff0c;技术分析需谨慎验证&#xff0c;不构成任何投资建议。 23. 醉酒乘客 100名乘客排队登机&#xff0c;每人持有一张对应座位的机票&#xff08;第n位乘客的座位号为n&#xff09;。 第一位乘客喝醉后…
阅读更多...
AntV G6入门教程

AntV G6入门教程

以下教程聚焦于 AntV G6 的 数据操作 API，详细介绍各个方法的用途、参数以及完整的使用示例，帮助你在图实例上精细地读取、修改和管理节点/边/组合等数据。文中示例代码均基于 G6 v5.0.47 官方文档 ([g6.antv.antgroup.com][1])。 一、获取完整图数据 1.1 graph.getData() …
阅读更多...
67、数据访问-crud实验-分页数据展示

67、数据访问-crud实验-分页数据展示

67、数据访问-crud实验-分页数据展示 分页数据展示是数据访问中常见的功能&#xff0c;用于将大量数据分割成多个页面显示&#xff0c;提升用户体验和系统性能。以下是分页数据展示的相关介绍&#xff1a; #### 基本原理 1. **确定每页显示数量**&#xff1a;设定每页显示的数…
阅读更多...
常见 Web 服务器

常见 Web 服务器

Web 服务器有很多种&#xff0c;功能和用途略有不同&#xff0c;下面我会分类介绍主流的 Web 服务器&#xff08;包含静态/动态/反向代理支持&#xff09;并重点说明类似 Tomcat 的 Java 支持型。 常见 Web 服务器分类 类型名称描述与特点&#x1f310; 静态资源服务器Nginx高…
阅读更多...
【MacOS】M3 Pro芯片MacBook极速搭建Kubernetes

【MacOS】M3 Pro芯片MacBook极速搭建Kubernetes

M3 Pro 芯片 MacBook 2023上使用 Colima 安装 Kubernetes。 Colima 轻量、高效&#xff0c;并且在 Apple Silicon 架构上表现出色。 下面是详细的、一步一步的安装和配置指南。 核心思路 我们将通过以下步骤完成整个过程&#xff1a; 准备工作: 安装必要的工具&#xff0c;…
阅读更多...
import { Add, Dongdong, UserAdd } from ‘@nutui/icons-react‘ 使用图标导入库报错

import { Add, Dongdong, UserAdd } from ‘@nutui/icons-react‘ 使用图标导入库报错

import { Add } from "nutui/icons-react-taro"; 官网的导入的库名字不全&#xff0c;后面要加-taro&#xff0c;就行了
阅读更多...
猿人学js逆向比赛第一届第七题

猿人学js逆向比赛第一届第七题

分析响应 看到响应体里面的data是个字体加密&#xff0c;于是这里可以看到woff文件也给返回了&#xff0c;这里现分析这个文件。 打开可以看到这里a351对应的是3和页面中的3是对应的&#xff0c;于是用ddddocr动态识别字体文件中的字体&#xff0c;然后对应对应的字体替换是不…
阅读更多...
股票心理学习篇：交易的人性弱点 - 频繁交易

股票心理学习篇：交易的人性弱点 - 频繁交易

以下内容为学习时的笔记整理&#xff0c;视频作者来自B站&#xff1a;老猫与指标 视频链接&#xff1a;频繁交易必死&#xff1f;底层逻辑深度剖析&#xff0c;老猫的的破局心法与实战策略分享 交易的人性弱点 - 频繁交易 主讲人&#xff1a; 老猫 1. 引言&#xff1a;问题的…
阅读更多...
WPF入门 #1 WPF布局基础、WPF样式基础、WPF数据模板、WPF绑定

WPF入门 #1 WPF布局基础、WPF样式基础、WPF数据模板、WPF绑定

WPF当中有许多的布局容器控件&#xff0c;例如<Grid>、<StackPanel>、<WrapPanel>、<DockPanel>、<UniformGrid>。接下来分别介绍一下各个布局容器控件。 布局基础 Grid <Grid><Grid.RowDefinitions><RowDefinition Height&qu…
阅读更多...
开源大型语言模型的文本记忆新突破！

开源大型语言模型的文本记忆新突破！

在现代科技的推动下&#xff0c;人工智能领域正在不断地突破人类认知的极限。今年&#xff0c;由斯坦福大学、康奈尔大学和西弗吉尼亚大学的计算机科学家们&#xff0c;与法律学者共同展开了一项引人入胜的研究&#xff0c;聚焦于开源大型语言模型的文本记忆表现。这项研究不仅…
阅读更多...
LeetCode 3090.每个字符最多出现两次的最长子字符串

LeetCode 3090.每个字符最多出现两次的最长子字符串

题目链接 https://leetcode.cn/problems/maximum-length-substring-with-two-occurrences/ 题目描述 给定一个字符串 s&#xff0c;找出满足每个字符最多出现两次的最长子字符串&#xff0c;并返回其长度。 示例 输入&#xff1a;s "aabba" 输出&#xff1a;5解…
阅读更多...
使用开源NVIDIA cuOpt加速决策优化

使用开源NVIDIA cuOpt加速决策优化

使用开源NVIDIA cuOpt加速决策优化 文章目录 使用开源NVIDIA cuOpt加速决策优化决策优化的现实挑战供应链优化的复杂性实时决策的挑战计算复杂性的挑战 NVIDIA cuOpt&#xff1a;GPU加速的决策优化解决方案cuOpt的核心技术架构支持的优化问题类型性能优势分析 实际应用案例&…
阅读更多...
【JVM 09-垃圾回收】

【JVM 09-垃圾回收】

垃圾回收 笔记记录 1. 如何判断对象可以回收1.1 引用计数法1.1.1 缺点 1.2 可达性分析算法1.2.1 可达分析、根对象1.2.2 优缺点 1.3 四种引用(强软弱虚)1.3.1 软引用的实际使用案例1.3.2 软引用-引用队列1.3.3 弱引用的实际使用案例 2. 垃圾回收算法2.1 标记清除算法2.2 标记整…
阅读更多...
《二叉搜索树》

《二叉搜索树》

引言&#xff1a; 上次我们结束了类和对象的收尾&#xff0c;之后我们就要学习一些高级的数据结构&#xff0c;今天我们先来看一个数据结构-- 二叉搜索树。 一&#xff1a; 二叉搜索树的概念(性质) 二叉搜索树又称二叉排序树&#xff0c;它或者是一棵空树&#xff0c;或者是…
阅读更多...
【Redis】Sentinel哨兵

【Redis】Sentinel哨兵

&#x1f6e1;️ 深入理解 Redis Sentinel&#xff1a;高可用架构的守护者 在实际开发中&#xff0c;我们常用 Redis 构建缓存系统或数据中间件。然而&#xff0c;主从复制虽然能实现数据同步&#xff0c;但无法自动故障转移&#xff08;failover&#xff09;&#xff0c;这就…
阅读更多...
Shell脚本应用及实战演练

Shell脚本应用及实战演练

文章目录 一、Shell脚本语言的基本结构1、Shell脚本的用途&#xff1a;2、 Shell脚本基本结构&#xff1a;3、 创建Shell脚本过程4、 脚本注释规范 二、Shell脚本语言的变量用法详解位置与预定义变量 三、 Shell字符串详解1、Shell字符串拼接2、Shell字符串截取3、 Shell的格式…
阅读更多...
最新文章

Copyright @ 2022~2023