精华内容
下载资源
问答
  • linux抓包

    千次阅读 2014-08-31 12:18:36
    linux如何抓包  2010-06-13 11:59:38| 分类: linux |举报 |字号 订阅     linux如何抓包 ==============================================...

    linux如何抓包  

    2010-06-13 11:59:38|  分类:linux |举报|字号 订阅


     

     

    linux如何抓包

    ====================================================================
    from: http://fanqiang.chinaunix.net/app/other/2006-07-14/4833.shtml

    linux下抓包命令--tcpdump的使用
    来源:不详 (2006-07-14 11:09:04)

    例:tcpdump host 172.16.29.40 and port 4600 -X -s 500

    tcpdump采用命令行方式,它的命令格式为:
      tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]
              [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
              [ -T 类型 ] [ -w 文件名 ] [表达式 ]

      1. tcpdump的选项介绍
       -a    将网络地址和广播地址转变成名字;
       -d    将匹配信息包的代码以人们能够理解的汇编格式给出;
       -dd    将匹配信息包的代码以c语言程序段的格式给出;
       -ddd    将匹配信息包的代码以十进制的形式给出;
       -e    在输出行打印出数据链路层的头部信息;
       -f    将外部的Internet地址以数字的形式打印出来;
       -l    使标准输出变为缓冲行形式;
       -n    不把网络地址转换成名字;
       -t    在输出的每一行不打印时间戳;
       -v    输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息;
       -vv    输出详细的报文信息;
       -c    在收到指定的包的数目后,tcpdump就会停止;
       -F    从指定的文件中读取表达式,忽略其它的表达式;
       -i    指定监听的网络接口;
       -r    从指定的文件中读取包(这些包一般通过-w选项产生);
       -w    直接将包写入文件中,并不分析和打印出来;
       -T    将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程
    调用)和snmp(简单       网络管理协议;)

      2. tcpdump的表达式介绍
       表达式是一个正则表达式,tcpdump利用它作为过滤报文的条件,如果一个报文满足表
    达式的条件,则这个报文将会被捕获。如果没有给出任何条件,则网络上所有的信息包将会
    被截获。
       在表达式中一般如下几种类型的关键字,一种是关于类型的关键字,主要包括host,
    net,port, 例如 host 210.27.48.2,指明 210.27.48.2是一台主机,net 202.0.0.0 指明
    202.0.0.0是一个网络地址,port 23 指明端口号是23。如果没有指定类型,缺省的类型是
    host.
       第二种是确定传输方向的关键字,主要包括src , dst ,dst or src, dst and src ,
    这些关键字指明了传输的方向。举例说明,src 210.27.48.2 ,指明ip包中源地址是210.27.
    48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字,则
    缺省是src or dst关键字。
       第三种是协议的关键字,主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在
    FDDI(分布式光纤数据接口网络)上的特定的网络协议,实际上它是"ether"的别名,fddi和e
    ther具有类似的源地址和目的地址,所以可以将fddi协议包当作ether的包进行处理和分析。
    其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议,则tcpdump将会
    监听所有协议的信息包。
       除了这三种类型的关键字之外,其他重要的关键字如下:gateway, broadcast,less,
    greater,还有三种逻辑运算,取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
    r' ,'||';
       这些关键字可以组合起来构成强大的组合条件来满足人们的需要,下面举几个例子来
    说明。
       (1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包:
        #tcpdump host 210.27.48.1
       (2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信,使用命令
    :(在命令行中适用   括号时,一定要
        #tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
       (3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
    ,使用命令:
        #tcpdump ip host 210.27.48.1 and ! 210.27.48.2
       (4)如果想要获取主机210.27.48.1接收或发出的telnet包,使用如下命令:
        #tcpdump tcp port 23 host 210.27.48.1

      3. tcpdump 的输出结果介绍
       下面我们介绍几种典型的tcpdump命令的输出信息
       (1) 数据链路层头信息
       使用命令#tcpdump --e host ice
       ice 是一台装有linux的主机,她的MAC地址是0:90:27:58:AF:1A
       H219是一台装有SOLARIC的SUN工作站,它的MAC地址是8:0:20:79:5B:46;上一条
    命令的输出结果如下所示:
    21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
    telne
    t 0:0(0) ack 22535 win 8760 (DF)
      分析:21:50:12是显示的时间, 847509是ID号,eth0 <表示从网络接口eth0 接受该
    数据包,eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它
    表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
    目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
    telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
    表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

      (2) ARP包的TCPDUMP输出信息
       使用命令#tcpdump arp
       得到的输出结果是:
      22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
      22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
    :1a)
      分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是
    ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5
    8:af:1a是主机ICE的MAC地址。

      (3) TCP包的输出信息
       用TCPDUMP捕获的TCP包的一般输出信息是:
      src > dst: flags data-seqno ack window urgent options
      src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
    IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是
    下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针.
    Options是选项.

      (4) UDP包的输出信息
       用TCPDUMP捕获的UDP包的一般输出信息是:
      route.port1 > ice.port2: udp lenth
      UDP十分简单,上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
    ICE的port2端口,类型是UDP, 包的长度是lenth
    ========================================================================
    你用SOCK_RAW的模式建立原始套接字然后接收包。
    剩下的就全是分析内容的事情了。。。。最多再用一下多线程。

    用到linux下socket编程的最基本知识, 以及对网络协议细节的了解。 前者随便找本socket编程的书就很详细了, 后者你因该懂。


    ——————
    例如, 你需要include以下这些头:
    stdio.h,stdlib.h, unistd.h, sys/socket.h, sys/types.h, netinet/if_ether.h, netinet/in.h,

    然后建立socket的时候用
    socket(PF_PACKET,SOCK_RAW,htons(ETH_P_IP)),这样就能用这个socket来监听以太网的包。
    然后循环调用recvfrom函数来听这个socket的接受到的数据, 再分析就好了。

    如果要嗅探别人机器的包, 就要用ARP欺骗了。。呵呵


    ====================================================================
    from: http://tech.ccidnet.com/art/302/20080109/1337045_1.html

    Tcpdump:Linux下基于命令行的抓包工具

    大家可能都已经对著名的抓包工具Ethereal比较熟悉了,这里再介绍一种基于命令行的抓包工具tcpdump。

    举例:抓本机1813端口上的数据,并将抓包结果保存在test.cap文件中

    tcpdump -X -s 0 -w test.cap port 1813
    -X Print each packet (minus its link level header) in hex and ASCII.
    -s snaplen Setting snaplen to 0 means use the required length to catch whole packets.
    -w file Write the raw packets to file rather than parsing and printing them out.

    然后在本地可以用Ethereal图形化界面查看所抓到包的详细信息。这在通过远程登录在服务器上工作的情况下特别有用,因为终端模式无法用图形化工具抓包。

    (责任编辑:云子)




    ====================================================================
    from: http://unix-cd.com/vc/www/28/2007-11/9904.html

    在linux进行抓包

    2007-11-27 21:29 来源: www.linuxdiyf.com 作者:tinkage 网友评论 0 条 浏览次数 45

    tcpdump -X -s 0 host xx.xx.xx.xx -w testfile.cap -i eth1

    抓包命令:tcpdump

    说明:在某个主机上进行抓,与主机xx.xx.xx.xx相互通信的数据包,其中-X -s0表示抓全包,-w testfile把抓好的包放在testfile文件中,-i eth1抓网卡eth1的。

    ====================================================================
    from: http://www.blogjava.net/josson/archive/2008/01/21/176774.html

      Linux 抓包分析工具。
    tcpdump是一个Sniffer工具,实际上就是一个网络上的抓包工具,同时还可以对抓到的包进行分析。一般系统都默认安装。相关介绍及安装说明可参见: Tcpdump的安装和使用。


        tcpdump命令说明:
    tcpdump采用命令行方式,它的命令格式为:
    tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]
    [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
    [ -T 类型 ] [ -w 文件名 ] [表达式 ]

    tcpdump的选项介绍:
    -a    将网络地址和广播地址转变成名字;
    -d    将匹配信息包的代码以人们能够理解的汇编格式给出;
    -dd    将匹配信息包的代码以c语言程序段的格式给出;
    -ddd    将匹配信息包的代码以十进制的形式给出;
    -e    在输出行打印出数据链路层的头部信息;
    -f    将外部的Internet地址以数字的形式打印出来;
    -l    使标准输出变为缓冲行形式;
    -n    不把网络地址转换成名字;
    -t    在输出的每一行不打印时间戳;
    -v    输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息;
    -vv    输出详细的报文信息;
    -c    在收到指定的包的数目后,tcpdump就会停止;
    -F    从指定的文件中读取表达式,忽略其它的表达式;
    -i    指定监听的网络接口;
    -r    从指定的文件中读取包(这些包一般通过-w选项产生);
    -w    直接将包写入文件中,并不分析和打印出来;
    -T    将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程 调用)和snmp(简单       网络管理协议;)

          -s      设置抓包大小限制,默认抓包大小限制在96个BYTE(包括以太网帧)。修改参数为:-s 0。0 则忽略包的大小限制,按包的长度实际长度抓取。

        例:tcpdump -vv tcp port 5270 -c 100 -s 1500 -w /opt/sniffer.pack
    ====================================================================
    from: http://topic.csdn.net/u/20081031/11/482b0257-a0b3-4c1c-94a9-c786e124c6f0.html

    大家好:
      我现在在用uclinux中做一个类似路由器的功能,我的板子上有两个网口,需要从一个网口抓得数据包,进行一些分析再由另一个网口送出。请问高手,像这种在嵌入式linux中做抓包和分析包的工作有没有一些现成的工具啊,或者哪们高手给提供一些思路,我也不胜感激啊。
      我知道在PC机的linux系统中有Tcpdump之类的抓包工具,但是我不知道能不能把这种工具移植到嵌入式linux中去,如果可以的话还请哪们大侠指点一二。
    问题点数:10 回复次数:9 修改 删除 举报 引用 回复

       
    发表于:2008-10-31 12:31:061楼 得分:0
    有sniffit工具可用

       
    发表于:2008-10-31 12:48:132楼 得分:0
    Wireshark (Formerly Ethereal)
       
    发表于:2008-10-31 14:26:143楼 得分:0
    不太明白你的意思  我想原理是一样
    tcpdump命令 抓包下来去分析了

    发表于:2008-11-01 15:06:054楼 得分:0
    你好,这些Wireshark和Tcpdump之类的工具不都是基于命令行的吗,它们能不能通过C语言调用啊,因为我要在嵌入式系统中来实现这个功能,最终的目标是要一上电就要自动运行,即自动的抓包,分析,并且送向另一个网口,由于是linux新手,很多不懂的地方,还请多多指点啊

    发表于:2008-11-02 10:50:465楼 得分:0
    帖子要沉了,自己顶一下
    关于tcpdump我还有个疑问,就是它是不是只能截到数据包的头信息啊,我想得到数据包中的数据部分tcpdump能截到吗

    发表于:2008-11-03 09:36:036楼 得分:0
    路过,帮顶,以后也许用得着
       
    发表于:2008-11-11 21:08:307楼 得分:10
    抓包可以使用Linux Libpcap库,组包可以用Libnet库。都可以移植到uclinux上去的。
    记得把内核的IP_FOWARD设为0,否则抓包会有问题。

       
    发表于:2008-11-12 09:00:248楼 得分:0
    Wireshark ,好东西,支持linux

       
    发表于:2008-11-20 08:37:539楼 得分:0
    噢,谢谢,
    就此结帖,以后有问题还得再行请教啊

    ====================================================================
    from: http://www.wangchao.net.cn/bbsdetail_67876.html

    linux下用socket的抓包程序



      #include <stdio.h>
      #include <stdlib.h>
      #include <sys/socket.h>
      #include <netinet/in.h>
      #include <arpa/inet.h>
      #include <netinet/ip.h>
      #include <string.h>
      #include <netdb.h>
      #include <netinet/tcp.h>
      #include <netinet/udp.h>
      #include <stdlib.h>
      #include <unistd.h>
      #include <signal.h>
      #include <net/if.h>
      #include <sys/ioctl.h>
      #include <sys/stat.h>
      #include <fcntl.h>
      #include <linux/if_ether.h>
      #include <net/ethernet.h>
      void die(char *why, int n)
      {
       perror(why);
       exit(n);
      }
      int do_promisc(char *nif, int sock )
      {
      struct ifreq ifr;
      
      strncpy(ifr.ifr_name, nif,strlen(nif)+1);
       if((ioctl(sock, SIOCGIFFLAGS, &ifr) == -1)) //获得flag
       {
       die("ioctl", 2);
       }
      
       ifr.ifr_flags |= IFF_PROMISC; //重置flag标志
      
       if(ioctl(sock, SIOCSIFFLAGS, &ifr) == -1 ) //改变模式
       {
       die("ioctl", 3);
       }
      }
      //修改网卡成PROMISC(混杂)模式
      char buf[40960];
      main()
      {
      struct sockaddr_in addr;
      struct ether_header *peth;
      struct iphdr *pip;
      struct tcphdr *ptcp;
      struct udphdr *pudp;
      char mac[16];
      int i,sock, r, len;
      char *data;
      char *ptemp;
      char ss[32],dd[32];
      if((sock = socket(AF_PACKET, SOCK_RAW, htons(ETH_P_ALL))) == -1) //建立socket
      //man socket可以看到上面几个宏的意思
      {
       die("socket", 1);
      }
      do_promisc("eth0", sock); //eth0为网卡名称
      system("ifconfig");
      for(;;)
      {
       len = sizeof(addr);
       r = recvfrom(sock,(char *)buf,sizeof(buf), 0, (struct sockaddr *)&addr,&len);
       //调试的时候可以增加一个输出r的语句判断是否抓到包
       buf[r] = 0;
       ptemp = buf;
       peth = (struct ether_header *)ptemp;
       ptemp += sizeof(struct ether_header); //指针后移eth头的长度
       pip = (struct ip *)ptemp; //pip指向ip层的包头
       ptemp += sizeof(struct ip);//指针后移ip头的长度
       switch(pip->protocol) //根据不同协议判断指针类型
       {
       case IPPROTO_TCP:
       ptcp = (struct tcphdr *)ptemp; //ptcp指向tcp头部
       printf("TCP pkt :FORM:[%s]:[%d]\n",inet_ntoa(*(struct in_addr*)&(pip->saddr)),ntohs(ptcp->source));
       printf("TCP pkt :TO:[%s]:[%d]\n",inet_ntoa(*(struct in_addr*)&(pip->daddr)),ntohs(ptcp->dest));
      
       break;
      
       case IPPROTO_UDP:
       pudp = (struct udphdr *)ptemp; //ptcp指向udp头部
       printf("UDP pkt:\n len:%d payload len:%d from %s:%d to %s:%d\n",
       r,
       ntohs(pudp->len),
       inet_ntoa(*(struct in_addr*)&(pip->saddr)),
       ntohs(pudp->source),
       inet_ntoa(*(struct in_addr*)&(pip->daddr)),
       ntohs(pudp->dest)
       );
       break;
      
       case IPPROTO_ICMP:
       printf("ICMP pkt:%s\n",inet_ntoa(*(struct in_addr*)&(pip->saddr)));
       break;
      
       case IPPROTO_IGMP:
       printf("IGMP pkt:\n");
       break;
      
       default:
       printf("Unkown pkt, protocl:%d\n", pip->protocol);
       break;
       } //end switch
      perror("dump");
      }
      }
      /*
      [playmud@fc3 test]$ gcc -v
      Reading specs from /usr/lib/gcc/i386-redhat-linux/3.4.2/specs
      Configured with: ../configure --prefix=/usr --mandir=/usr/share/man --infodir=/usr/share/info --enable-shared --enable-threads=posix --disable-checking --with-system-zlib --enable-__cxa_atexit --disable-libunwind-exceptions --enable-java-awt=gtk --host=i386-redhat-linux
      Thread model: posix
      gcc version 3.4.2 20041017 (Red Hat 3.4.2-6.fc3)
      ************************eth的结构**************************************
      struct ether_header
      {
       u_int8_t ether_dhost[ETH_ALEN]; // destination eth addr
       u_int8_t ether_shost[ETH_ALEN]; // source ether addr
       u_int16_t ether_type; // packet type ID field
      } __attribute__ ((__packed__));
      ***********************IP的结构***********************************
      struct iphdr
       {
      #if __BYTE_ORDER == __LITTLE_ENDIAN
       unsigned int ihl:4;
       unsigned int version:4;
      #elif __BYTE_ORDER == __BIG_ENDIAN
       unsigned int version:4;
       unsigned int ihl:4;
      #else
      # error "Please fix <bits/endian.h>"
      #endif
       u_int8_t tos;
       u_int16_t tot_len;
       u_int16_t id;
       u_int16_t frag_off;
       u_int8_t ttl;
       u_int8_t protocol;
       u_int16_t check;
       u_int32_t saddr;
       u_int32_t daddr;
       };
      ***********************TCP的结构****************************
      struct tcphdr
       {
       u_int16_t source;
       u_int16_t dest;
       u_int32_t seq;
       u_int32_t ack_seq;
      # if __BYTE_ORDER == __LITTLE_ENDIAN
       u_int16_t res1:4;
       u_int16_t doff:4;
       u_int16_t fin:1;
       u_int16_t syn:1;
       u_int16_t rst:1;
       u_int16_t psh:1;
       u_int16_t ack:1;
       u_int16_t urg:1;
       u_int16_t res2:2;
      # elif __BYTE_ORDER == __BIG_ENDIAN
       u_int16_t doff:4;
       u_int16_t res1:4;
       u_int16_t res2:2;
       u_int16_t urg:1;
       u_int16_t ack:1;
       u_int16_t psh:1;
       u_int16_t rst:1;
       u_int16_t syn:1;
       u_int16_t fin:1;
      # else
      # error "Adjust your <bits/endian.h> defines"
      # endif
       u_int16_t window;
       u_int16_t check;
       u_int16_t urg_ptr;
      };
      ***********************UDP的结构*****************************
      struct udphdr
      {
       u_int16_t source;
       u_int16_t dest;
       u_int16_t len;
       u_int16_t check;
      };
      *************************************************************
      */
    展开全文
  • linux抓包命令tcpdump

    千次阅读 2020-04-21 11:29:47
    它的原理大概如下:**linux抓包是通过注册一种虚拟的底层网络协议来完成对网络报文(准确的是网络设备)消息的处理权。**当网卡接收到一个网络报文之后,它会遍历系统中所有已经注册的网络协议,如以太网协议、x25...

    1.命令简介

    tcpdump命令是基于unix系统的命令行的数据报嗅探工具,可以抓取流动在网卡上的数据包。它的原理大概如下:**linux抓包是通过注册一种虚拟的底层网络协议来完成对网络报文(准确的是网络设备)消息的处理权。**当网卡接收到一个网络报文之后,它会遍历系统中所有已经注册的网络协议,如以太网协议、x25协议处理模块来尝试进行报文的解析处理。当抓包模块把自己伪装成一个网络协议的时候,系统在收到报文的时候就会给这个伪协议一次机会,让它对网卡收到的保温进行一次处理,此时该模块就会趁机对报文进行窥探,也就是把这个报文完完整整的复制一份,假装是自己接收的报文,汇报给抓包模块。

    2.语法

    2.1 获取网卡信息

    [root@VM_141_216_centos tomcat]# ifconfig -a
    

    在这里插入图片描述

    2.2 tcpdump命令关键字

    2.2.1 类型关键字

    host:指明一台主机。如:host 172.17.30.42

    net: 指明一个网络地址。如:net www.baidu.com

    port: 指明一个端口号。如:port 8080

    2.2.2 方向关键字

    src: ip包的源地址。如:src 172.17.30.42

    dst: ip包的目标地址。如:dst 172.17.30.42

    2.2.3 协议关键字

    fddi、ip、arp、rarp、tcp、udp。缺省为抓取所有协议的信息包

    2.2.4 常用表达式

    !、not、&&、and、||、or

    2.2.5 命令参数

    A:以ASCII编码打印报文

    a:将网络地址和广播地址转变成名字

    c:抓取指定数目的包。

    C:用于判断用 -w 选项将报文写入的文件的大小是否超过这个值,如果超过了就新建文件(文件名后缀是1、2、3依次增加);

    d:将匹配信息包的代码以人们能够理解的汇编格式给出;

    dd:将匹配信息包的代码以c语言程序段的格式给出;

    ddd:将匹配信息包的代码以十进制的形式给出;

    D:列出当前主机的所有网卡编号和名称,可以用于选项 -i;

    e:在输出行打印出数据链路层的头部信息;

    f:将外部的Internet地址以数字的形式打印出来;

    F<表达文件>:从指定的文件中读取表达式,忽略其它的表达式;

    i<网络界面>:监听主机的该网卡上的数据流,如果没有指定,就会使用最小网卡编号的网卡(在选项-D可知道,但是不包括环路接口),linux 2.2 内核及之后的版本支持 any 网卡,用于指代任意网卡

    l:如果没有使用 -w 选项,就可以将报文打印到 标准输出终端(此时这是默认);

    n:显示ip,而不是主机名

    nn:显示port,而不是服务名

    N:不列出域名;

    O:不将数据包编码最佳化;

    p:不让网络界面进入混杂模式;

    q:快速输出,仅列出少数的传输协议信息;

    r<数据包文件>:从指定的文件中读取包(这些包一般通过-w选项产生);

    s<数据包大小>:指定抓包显示一行的宽度,-s0表示可按包长显示完整的包,经常和-A一起用,默认截取长度为60个字节,但一般ethernet MTU都是1500字节。所以,要抓取大于60字节的包时,使用默认参数就会导致包数据丢失;

    S:用绝对而非相对数值列出TCP关联数;

    t:在输出的每一行不打印时间戳;

    tt:在输出的每一行显示未经格式化的时间戳记;

    T<数据包类型>:将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程调用)和snmp(简单网络管理协议);

    v:输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息

    vv:输出详细的报文信息

    x/-xx/-X/-XX:以十六进制显示包内容,几个选项只有细微的差别,详见man手册;

    w:直接将包写入文件中,并不分析和打印出来;

    expression:用于筛选的逻辑表达式;

    3. 常用示例

    抓取与某个ip的通信并存储在文件里面以便使用工具(如Wireshark)分析。

    ens192为本机ip所在网卡,ip1为本机ip,ip2为与本机通信ip,-s 表示抓取数据包大小,-s 0表示抓取完整数据包,-w表示将数据包输出成文件

    [root@VM_141_216_centos tomcat]# tcpdump -i ens192 host ip1 and host ip2 -s 0 -w log.pcap
    
    展开全文
  • linux 抓包教程

    千次阅读 2019-05-28 12:10:11
    tcpdump是linux命令行下常用的的一个抓包工具,记录一下平时常用的方式,测试机器系统是centos 7。 tcpdump的命令格式 tcpdump的参数众多,通过man tcpdump可以查看tcpdump的详细说明,这边只列一些笔者自己常用的...

    linux抓捕网络包

    jacky. 1650727278@@q.com

    tcpdump是linux命令行下常用的的一个抓包工具,记录一下平时常用的方式,测试机器系统是centos 7。

    tcpdump的命令格式

    tcpdump的参数众多,通过man tcpdump可以查看tcpdump的详细说明,这边只列一些笔者自己常用的参数:

    tcpdump [-i 网卡] -nnAX ‘表达式’
    各参数说明如下:

    -i:interface 监听的网卡。
    -nn:表示以ip和port的方式显示来源主机和目的主机,而不是用主机名和服务。
    -A:以ascii的方式显示数据包,抓取web数据时很有用。
    -X:数据包将会以16进制和ascii的方式显示。
    表达式:表达式有很多种,常见的有:host 主机;port 端口;src host 发包主机;dst host 收包主机。多个条件可以用and、or组合,取反可以使用!,更多的使用可以查看man 7 pcap-filter。
    下面进行一些命令测试,如果没有权限,可以先切换成root用户。

    监听网卡eth0

    $ tcpdump -i eth0
    这个方式最简单了,但是用处不多,因为基本上只能看到数据包的信息刷屏,压根看不清,可以使用ctrl+c中断退出,如果真有需求,可以将输出内容重定向到一个文件,这样也更方便查看。

    监听指定协议的数据

    $ tcpdump -i eth0 -nn 'icmp'
    

    这个是用来监听icmp协议的数据,就是ping命令使用的协议。类似的,如果要监听tcp或者是udp协议,只需要修改上例的icmp就可以了。ping下监听的机器,输出如下:

    [root@localhost ~]# tcpdump -i eth0-nn 'icmp'
    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on eno16777736, link-type EN10MB (Ethernet), capture size 65535 bytes
    ^C
    0 packets captured
    0 packets received by filter
    0 packets dropped by kernel
    [root@localhost ~]#
    

    linux使用tcpdump抓包示例

    每一行的各个数据表示的含义:

    抓到包的时间 IP 发包的主机和端口 > 接收的主机和端口 数据包内容
    监听指定的主机

    $ tcpdump -i eth0 -nn 'host 192.168.1.231'
    

    这样的话,192.168.1.231这台主机接收到的包和发送的包都会被抓取。

    $ tcpdump -i eth0 -nn 'src host 192.168.1.231'
    

    这样只有192.168.1.231这台主机发送的包才会被抓取。

    $ tcpdump -i eth0 -nn 'dst host 192.168.1.231'
    

    这样只有192.168.1.231这台主机接收到的包才会被抓取。

    监听udp 指定端口

    [root@localhost ~]# tcpdump -i eth0 udp -nnA 'port 9899'
    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
    19:18:09.444195 IP 192.168.1.46.35408 > 255.255.255.255.9797: UDP, length 16
    E..,9.@.@.?I.........P&E....{"cmd":"peer"}
    19:18:09.444988 IP 192.168.1.13.9797 > 192.168.1.46.35408: UDP, length 159
    ....&E.P...9{"cmd":"fnpeer", "ip":"192.168.1.13", "sn":"", "mcode":"", "api":"/ip4/127.0.0.1/tcp/5501", "peerid":"TmNKAc9eV912fxxK8Ge5ZXmB8VgxRREwh9c1swnwJaa6zB8", "err":0}
    ^C
    2 packets captured
    2 packets received by filter
    0 packets dropped by kernel
    [root@localhost ~]#
    

    上例是用来监听主机的9797端口收到和发送的所有数据包,结合-A参数,在web开发中,真是非常有用。

    监听指定主机和端口

    $ tcpdump -i eth0 -nnA 'port 80 and src host 192.168.1.231'
    

    多个条件可以用and,or连接。上例表示监听192.168.1.231主机通过80端口发送的数据包。

    监听除某个端口外的其它端口

    $ tcpdump -i eth0 -nnA '!port 22'
    

    如果需要排除某个端口或者主机,可以使用“!”符号,上例表示监听非22端口的数据包。

    email:1650727278@qq.com 画笔

    展开全文
  • linux抓包tcpdump--Solaris抓包snoop

    千次阅读 2014-11-19 19:19:45
    对应的linux平台下抓包方法  抓整个包: #tcpdump -X -s 0 host 192.168.1.12  抓68字节: #tcpdump -X host 192.168.1.12  对应的端口抓包: #tcpdump -X udp port 1812  相对应的Solaris平台下抓包...
    对应的linux平台下抓包方法
      抓整个包:
    #tcpdump -X -s 0 host 192.168.1.12
      抓 68 字节:
    #tcpdump -X host 192.168.1.12
      对应的端口抓包:
    #tcpdump -X udp port 1812

      相对应的 Solaris平台下抓包方法
    #snoop -x 0 udp to 192.168.1.28
    #snoop -x 0 ucp from 192.168.1.28
    #snoop -x 0 -t a -d eri udp port 1645
      按照时间来抓包:
    #snoop -x 0 -t a -d hme1 from 192.168.1.28
      抓指定地址和端口的包并保存到当前的 log2 文件中:
    #snoop -x from 192.168.1.28 tcp 80 >>log2.log
      抓包还可以放在后台来让其自动运行,防止关闭窗口时就没有了:
    #csh / 先进入 csh 环境下 /
    #nohup snoop -x 0 -t a -d hme1 from192.168.1.28>> snoop.log & /& 表示在后台运行 /

    展开全文
  • Linux_tcpdump抓包分析详解

    万次阅读 2020-05-19 21:00:13
    tcpdump是一个用于截取网络分组,并输出分组内容的工具,简单说就是数据包抓包工具。tcpdump凭借强大的功能和灵活的截取策略,使其成为Linux系统下用于网络分析和问题排查的首选工具。tcpdump提供了源代码,公开了...
  • Linux抓包

    2015-10-13 08:52:54
    3. wireshark显示 Seq:序列号 Ack:应答号 Len:数据长度 ...最近一次收到的对方数据包中,如果Len等于0,则该Ack等于对方Seq+1;如果Len不为0,则该Ack等于对方Seq+Len。 图解 数据传送阶段
  • Linux抓包与网络分析工具总结: Java程序网络连接分析方法总结: iptables模拟网络连接问题并分析: 2.Linux环境 以下使用Linux版本为2.6.32-642.6.2.el6.x86_64。 2.1netstat man netstat的说明为“打印网络...
  • 1.简介 Tcpdump是Linux系统中命令行的抓包工具,
  • linux网络调试发包抓包工具

    万次阅读 2019-05-06 19:27:00
    2、抓包工具 2.1、tcpdump 2.2 tcpflow 3、速率测试工具 4、加密工具 4.1 tcpcryptd 5.linux网络编程 5.1、tcp 5.2、udp 1、发包工具 1.1 sendip Sendip是一个linux平台的命令行发数据包工具,目前(2018...
  • Linux抓包工具tcpdump详解

    千次阅读 2017-03-06 14:21:04
    PS:tcpdump是一个用于截取网络分组,并输出分组内容的工具,简单说就是数据包抓包工具。tcpdump凭借强大的功能和灵活的截取策略,使其成为Linux系统下用于网络分析和问题排查的首选工具。 tcpdump提供了源代码,...
  • Linux tcpdump抓包命令详解

    万次阅读 2017-07-29 20:50:46
    Linux tcpdump抓包命令详解
  • linux抓包工具-tcpdump用法说明

    千次阅读 2018-10-16 16:00:42
    抓包工具tcpdump基本使用 tcpdump采用命令行方式对接口的数据包进行筛选抓取,其丰富特性表现在灵活的表达式上。 不带任何选项的tcpdump,默认会抓取第一个网络接口,且只有将tcpdump进程终止才会停止抓包。 例如: ...
  • Linux系统抓包命令tcpdump使用实例

    千次阅读 2016-01-27 15:49:02
    linux系统网络抓包用tcpdump,首先当然是看有没有安装了,没有就用yum安装一下。 tcpdump是linux命令行下常用的的一个抓包工具,记录一下平时常用的方式,测试机器系统是centos 7。 tcpdump的命令格式 ...
  • Linux操作系统tcpdump抓包分析详解

    千次阅读 2013-07-12 21:59:29
    PS:tcpdump是一个用于截取网络分组,并输出分组内容的工具,简单说就是数据包抓包工具。tcpdump凭借强大的功能和灵活的截取策略,使其成为Linux系统下用于网络分析和问题排查的首选工具。 tcpdump提供了源代码,...
  • Linux Tcpdump抓包分析详解

    千次阅读 2019-06-29 17:27:50
    Linux Tcpdump抓包分析详解 tcpdump提供了源代码,公开了接口,因此具备很强的可扩展性,对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的Linux系统中,由于它需要将网络界面设置为混杂模式,普通用户...
  • 抓包选项: -c:指定要抓取的包数量。注意,是最终要获取这么多个包。例如,指定"-c 10"将获取10个包,但可能已经处理了100个包,只不过只有10个包是满足条件的包。 -i interface:指定tcpdump需要监听的接口。若未...
  • linux 终端抓包命令

    2019-06-30 17:03:00
    一、概述 tcpdump是一个用于截取网络分组,并输出分组内容的工具。tcpdump凭借强大的功能和灵活的...tcpdump存在于基本的Linux系统中,由于它需要将网络界面设置为混杂模式,普通用户不能正常执行,但具备root权...
  • Linux抓包工具-Tcpdump命令简介

    千次阅读 2012-07-11 17:02:39
    通过tcpdump抓包时,结束后tcpdump会给出如下统计信息:  1552 packets captured  1586 packets received by filter  34 packets dropped by kernel  其中“captured”的计数指的是应用层捕获到的数据,...
  • 如何在linux抓包

    千次阅读 2012-12-26 07:41:49
    如何在linux服务器上抓包? 本帖被 yanyong 执行提前操作(2008-10-25) 在linux服务器上抓包,需要使用Tcpdump命令: tcpdump采用命令行方式,它的命令格式为:  tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ ...
  • 指定间隔保存 tcpdump -i tun0 -s0 -G 600 -w %Y_%m%d_%H%M_%S.pcap -G 600 600s保存一次 -i 指定网卡 -s -w 保存文件的格式 指定大小保存 ...tcpdump -i eth0 -s0 -C 5 -Z root -w eth0....-C 5 每5M保存一个...
  • Linux下tcpdump利用端口和ip抓包方式

    千次阅读 2019-11-18 17:29:56
    今天刚接触抓包,总结一下,以免忘记 tcpdump命令选项: -a #将网络地址和广播地址转变成名字 -A #以ASCII格式打印出所有分组,并将链路层的头最小化 -b #数据链路层上选择协议,包括ip/arp/rarp/ipx都在这一层 -c #...
  • Linux抓包工具tcpdump详解

    千次阅读 2014-02-11 13:52:02
    用简单的话来定义tcpdump,就是:dump the traffic on a network,根据使用者的定义对网络上的数据包进行截获的分析工具。 tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、...
  • Linux抓包工具tcpdump使用

    千次阅读 2016-04-04 13:07:06
    为了弄明白keepalived+lvs是如何交互的,必须学会分析和使用抓包工具进行分析,下面就是对抓包工具的的使用简单介绍如下,有些部分参考的网上的,如有不对的地方欢迎指正,谢谢! 1.第一种是关于类型的...
  • Linux之tcpdump抓包及Wireshark查看分析

    千次阅读 2020-05-26 14:18:42
    tcpdump介绍 tcpdump可以将网络中传送的数据包完全截获下来提供分析。...-i 指定需要抓包的网卡 -w 指定数据包信息保存的文件目录,文件格式为*.pcap,方便wireshark分析 host 抓取源主机或目的主机的报文 port 

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 17,608
精华内容 7,043
关键字:

linux抓包指定时间

linux 订阅