Linux tcpdump命令用法详解
From: http://os.51cto.com/art/201005/201921.htm
TCPDUMP簡(jiǎn)介
在傳統(tǒng)的網(wǎng)絡(luò)分析和測(cè)試技術(shù)中，嗅探器(sniffer)是最常見(jiàn)，也是最重要的技術(shù)之一。sniffer工具首先是為網(wǎng)絡(luò)管理員和網(wǎng)絡(luò)程序員 進(jìn)行網(wǎng)絡(luò)分析而設(shè)計(jì)的。對(duì)于網(wǎng)絡(luò)管理人員來(lái)說(shuō)，使用嗅探器可以隨時(shí)掌握網(wǎng)絡(luò)的實(shí)際情況，在網(wǎng)絡(luò)性能急劇下降的時(shí)候，可以通過(guò)sniffer工具來(lái)分析原 因，找出造成網(wǎng)絡(luò)阻塞的來(lái)源。對(duì)于網(wǎng)絡(luò)程序員來(lái)說(shuō),通過(guò)sniffer工具來(lái)調(diào)試程序。
用過(guò)windows平臺(tái)上的sniffer工具(例如，netxray和sniffer pro軟件)的朋友可能都知道，在共享式的局域網(wǎng)中，采用sniffer工具簡(jiǎn)直可以對(duì)網(wǎng)絡(luò)中的所有流量一覽無(wú)余！Sniffer工具實(shí)際上就是一個(gè)網(wǎng)絡(luò) 上的抓包工具，同時(shí)還可以對(duì)抓到的包進(jìn)行分析。由于在共享式的網(wǎng)絡(luò)中，信息包是會(huì)廣播到網(wǎng)絡(luò)中所有主機(jī)的網(wǎng)絡(luò)接口，只不過(guò)在沒(méi)有使用sniffer工具之 前，主機(jī)的網(wǎng)絡(luò)設(shè)備會(huì)判斷該信息包是否應(yīng)該接收，這樣它就會(huì)拋棄不應(yīng)該接收的信息包，sniffer工具卻使主機(jī)的網(wǎng)絡(luò)設(shè)備接收所有到達(dá)的信息包，這樣就 達(dá)到了網(wǎng)絡(luò)監(jiān)聽(tīng)的效果。
Linux作為網(wǎng)絡(luò)服務(wù)器，特別是作為路由器和網(wǎng)關(guān)時(shí)，數(shù)據(jù)的采集和分析是必不可少的。所以，今天我們就來(lái)看看Linux中強(qiáng)大的網(wǎng)絡(luò)數(shù)據(jù)采集分析工具——TcpDump。
用簡(jiǎn)單的話來(lái)定義tcpdump，就是：dump thetraffice on a network，根據(jù)使用者的定義對(duì)網(wǎng)絡(luò)上的數(shù)據(jù)包進(jìn)行截獲的包分析工具。
作為互聯(lián)網(wǎng)上經(jīng)典的的系統(tǒng)管理員必備工具，tcpdump以其強(qiáng)大的功能，靈活的截取策略，成為每個(gè)高級(jí)的系統(tǒng)管理員分析網(wǎng)絡(luò)，排查問(wèn)題等所必備的東東之一。
顧名思義，TcpDump可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來(lái)提供分析。它支持針對(duì)網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過(guò)濾，并提供and、or、not等邏輯語(yǔ)句來(lái)幫助你去掉無(wú)用的信息。
tcpdump提供了源代碼，公開(kāi)了接口，因此具備很強(qiáng)的可擴(kuò)展性，對(duì)于網(wǎng)絡(luò)維護(hù)和入侵者都是非常有用的工具。tcpdump存在于基本的 FreeBSD系統(tǒng)中，由于它需要將網(wǎng)絡(luò)界面設(shè)置為混雜模式，普通用戶不能正常執(zhí)行，但具備root權(quán)限的用戶可以直接執(zhí)行它來(lái)獲取網(wǎng)絡(luò)上的信息。因此系 統(tǒng)中存在網(wǎng)絡(luò)分析工具主要不是對(duì)本機(jī)安全的威脅，而是對(duì)網(wǎng)絡(luò)上的其他計(jì)算機(jī)的安全存在威脅。
普通情況下，直接啟動(dòng)tcpdump將監(jiān)視第一個(gè)網(wǎng)絡(luò)界面上所有流過(guò)的數(shù)據(jù)包。
－－－－－－－－－－－－－－－－－－－－－－－
bash-2.02# tcpdump
tcpdump: listening on eth0
11:58:47.873028 202.102.245.40.netbios-ns >202.102.245.127.netbios-ns: udp 50
11:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1dui/C len=43
0000 0000 0080 0000 1007 cf08 0900 0000
0e80 0000 902b 4695 0980 8701 0014 0002
000f 0000 902b 4695 0008 00
11:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0ui/C len=97
ffff 0060 0004 ffff ffff ffff ffff ffff
0452 ffff ffff 0000 e85b 6d85 4008 0002
0640 4d41 5354 4552 5f57 4542 0000 0000
0000 00
^C
－－－－－－－－－－－－－－－－－－－－－－－－
首先我們注意一下，從上面的輸出結(jié)果上可以看出來(lái)，基本上tcpdump總的的輸出格式為：系統(tǒng)時(shí)間 來(lái)源主機(jī).端口 > 目標(biāo)主機(jī).端口數(shù)據(jù)包參數(shù)
TcpDump的參數(shù)化支持
tcpdump支持相當(dāng)多的不同參數(shù)，如使用-i參數(shù)指定tcpdump監(jiān)聽(tīng)的網(wǎng)絡(luò)界面，這在計(jì)算機(jī)具有多個(gè)網(wǎng)絡(luò)界面時(shí)非常有用，使用-c參數(shù)指定要監(jiān)聽(tīng)的數(shù)據(jù)包數(shù)量，使用-w參數(shù)指定將監(jiān)聽(tīng)到的數(shù)據(jù)包寫(xiě)入文件中保存，等等。
然而更復(fù)雜的tcpdump參數(shù)是用于過(guò)濾目的，這是因?yàn)榫W(wǎng)絡(luò)中流量很大，如果不加分辨將所有的數(shù)據(jù)包都截留下來(lái)，數(shù)據(jù)量太大，反而不容易發(fā)現(xiàn)需要的數(shù)據(jù)包。使用這些參數(shù)定義的過(guò)濾規(guī)則可以截留特定的數(shù)據(jù)包，以縮小目標(biāo)，才能更好的分析網(wǎng)絡(luò)中存在的問(wèn)題。tcpdump使用參數(shù)指定要監(jiān)視數(shù)據(jù)包的類(lèi)型、地址、端口等，根據(jù)具體的網(wǎng)絡(luò)問(wèn)題，充分利用這些過(guò)濾規(guī)則就能達(dá)到迅速定位故障的目的。請(qǐng)使用man tcpdump查看這些過(guò)濾規(guī)則的具體用法。
顯然為了安全起見(jiàn)，不用作網(wǎng)絡(luò)管理用途的計(jì)算機(jī)上不應(yīng)該運(yùn)行這一類(lèi)的網(wǎng)絡(luò)分析軟件，為了屏蔽它們，可以屏蔽內(nèi)核中的bpfilter偽設(shè)備。一般情況下網(wǎng)絡(luò)硬件和TCP/IP堆棧不支持接收或發(fā)送與本計(jì)算機(jī)無(wú)關(guān)的數(shù)據(jù)包，為了接收這些數(shù)據(jù)包，就必須使用網(wǎng)卡的混雜模式，并繞過(guò)標(biāo)準(zhǔn)的TCP/IP 堆棧才行。在FreeBSD下，這就需要內(nèi)核支持偽設(shè)備bpfilter。因此，在內(nèi)核中取消bpfilter支持，就能屏蔽tcpdump之類(lèi)的網(wǎng)絡(luò)分 析工具。
并且當(dāng)網(wǎng)卡被設(shè)置為混雜模式時(shí)，系統(tǒng)會(huì)在控制臺(tái)和日志文件中留下記錄，提醒管理員留意這臺(tái)系統(tǒng)是否被用作攻擊同網(wǎng)絡(luò)的其他計(jì)算機(jī)的跳板。
May 15 16:27:20 host1 /kernel: fxp0: promiscuous modeenabled
雖然網(wǎng)絡(luò)分析工具能將網(wǎng)絡(luò)中傳送的數(shù)據(jù)記錄下來(lái)，但是網(wǎng)絡(luò)中的數(shù)據(jù)流量相當(dāng)大，如何對(duì)這些數(shù)據(jù)進(jìn)行分析、分類(lèi)統(tǒng)計(jì)、發(fā)現(xiàn)并報(bào)告錯(cuò)誤卻是更關(guān)鍵的 問(wèn)題。網(wǎng)絡(luò)中的數(shù)據(jù)包屬于不同的協(xié)議，而不同協(xié)議數(shù)據(jù)包的格式也不同。因此對(duì)捕獲的數(shù)據(jù)進(jìn)行解碼，將包中的信息盡可能的展示出來(lái)，對(duì)于協(xié)議分析工具來(lái)講更為重要。昂貴的商業(yè)分析工具的優(yōu)勢(shì)就在于它們能支持很多種類(lèi)的應(yīng)用層協(xié)議，而不僅僅只支持tcp、udp等低層協(xié)議。
從上面tcpdump的輸出可以看出，tcpdump對(duì)截獲的數(shù)據(jù)并沒(méi)有進(jìn)行徹底解碼，數(shù)據(jù)包內(nèi)的大部分內(nèi)容是使用十六進(jìn)制的形式直接打印輸出的。顯然這不利于分析網(wǎng)絡(luò)故障，通常的解決辦法是先使用帶-w參數(shù)的tcpdump截獲數(shù)據(jù)并保存到文件中，然后再使用其他程序進(jìn)行解碼分析。當(dāng)然也應(yīng)該定義過(guò)濾規(guī)則，以避免捕獲的數(shù)據(jù)包填滿整個(gè)硬盤(pán)。
TCP功能
數(shù)據(jù)過(guò)濾
不帶任何參數(shù)的TcpDump將搜索系統(tǒng)中所有的網(wǎng)絡(luò)接口，并顯示它截獲的所有數(shù)據(jù)，這些數(shù)據(jù)對(duì)我們不一定全都需要，而且數(shù)據(jù)太多不利于分析。所以，我們應(yīng)當(dāng)先想好需要哪些數(shù)據(jù)，TcpDump提供以下參數(shù)供我們選擇數(shù)據(jù)：
-b 在數(shù)據(jù)-鏈路層上選擇協(xié)議，包括ip、arp、rarp、ipx都是這一層的。
例如：tcpdump -b arp 將只顯示網(wǎng)絡(luò)中的arp即地址轉(zhuǎn)換協(xié)議信息。
-i 選擇過(guò)濾的網(wǎng)絡(luò)接口，如果是作為路由器至少有兩個(gè)網(wǎng)絡(luò)接口，通過(guò)這個(gè)選項(xiàng)，就可以只過(guò)濾指定的接口上通過(guò)的數(shù)據(jù)。例如：
tcpdump -i eth0 只顯示通過(guò)eth0接口上的所有報(bào)頭。
src、dst、port、host、net、ether、gateway這幾個(gè)選項(xiàng)又分別包含src、dst 、port、host、net、ehost等附加選項(xiàng)。他們用來(lái)分辨數(shù)據(jù)包的來(lái)源和去向，src host 192.168.0.1指定源主機(jī)IP地址是192.168.0.1，dst net 192.168.0.0/24指定目標(biāo)是網(wǎng)絡(luò)192.168.0.0。以此類(lèi)推，host是與其指定主機(jī)相關(guān)無(wú)論它是源還是目的，net是與其指定網(wǎng)絡(luò)相 關(guān)的，ether后面跟的不是IP地址而是物理地址，而gateway則用于網(wǎng)關(guān)主機(jī)。可能有點(diǎn)復(fù)雜，看下面例子就知道了：
tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24
過(guò)濾的是源主機(jī)為192.168.0.1與目的網(wǎng)絡(luò)為192.168.0.0的報(bào)頭。
tcpdump ether src 00:50:04:BA:9B and dst……
過(guò)濾源主機(jī)物理地址為XXX的報(bào)頭（為什么ether src后面沒(méi)有host或者net？物理地址當(dāng)然不可能有網(wǎng)絡(luò)嘍）。
Tcpdump src host 192.168.0.1 and dst port not telnet
過(guò)濾源主機(jī)192.168.0.1和目的端口不是telnet的報(bào)頭。
ip icmp arp rarp 和 tcp、udp、icmp這些選項(xiàng)等都要放到第一個(gè)參數(shù)的位置，用來(lái)過(guò)濾數(shù)據(jù)報(bào)的類(lèi)型。
例如：
tcpdump ip src……
只過(guò)濾數(shù)據(jù)-鏈路層上的IP報(bào)頭。
tcpdump udp and src host 192.168.0.1
只過(guò)濾源主機(jī)192.168.0.1的所有udp報(bào)頭。
數(shù)據(jù)顯示/輸入輸出
TcpDump提供了足夠的參數(shù)來(lái)讓我們選擇如何處理得到的數(shù)據(jù)，如下所示：
-l 可以將數(shù)據(jù)重定向。
如tcpdump -l ＞tcpcap.txt將得到的數(shù)據(jù)存入tcpcap.txt文件中。
-n 不進(jìn)行IP地址到主機(jī)名的轉(zhuǎn)換。
如果不使用這一項(xiàng)，當(dāng)系統(tǒng)中存在某一主機(jī)的主機(jī)名時(shí)，TcpDump會(huì)把IP地址轉(zhuǎn)換為主機(jī)名顯示，就像這樣：eth0 ＜ ntc9.1165＞ router.domain.net.telnet，使用-n后變成了：eth0 ＜ 192.168.0.9.1165＞ 192.168.0.1.telnet。
-nn 不進(jìn)行端口名稱的轉(zhuǎn)換。
上面這條信息使用-nn后就變成了：eth0 ＜ ntc9.1165 ＞ router.domain.net.23。
-N 不打印出默認(rèn)的域名。
還是這條信息-N 后就是：eth0 ＜ ntc9.1165 ＞ router.telnet。
-O 不進(jìn)行匹配代碼的優(yōu)化。
-t 不打印UNIX時(shí)間戳，也就是不顯示時(shí)間。
-tt 打印原始的、未格式化過(guò)的時(shí)間。
-v 詳細(xì)的輸出，也就比普通的多了個(gè)TTL和服務(wù)類(lèi)型。
［expression]的用法：
expression是tcpdump最為有用的高級(jí)用法，可以利用它來(lái)匹配一些特殊的包。下面介紹一下expression的用法，主要是如 何寫(xiě)出符合要求最為嚴(yán)格expression。如果tcpdump中沒(méi)有expression,那么tcpdump會(huì)把網(wǎng)卡上的所有數(shù)據(jù)包輸出，否則會(huì)將 被expression匹配的包輸出。
expression 由一個(gè)或多個(gè)[primitives]組成，而[primitives]由一個(gè)或多個(gè)[qualitifer]加一個(gè)id(name)或數(shù)字組成，它們的結(jié)構(gòu)如用正則表達(dá)式則可表示為：
expression = ([qualitifer］+(id|number))+
依次看來(lái)，expression是一個(gè)復(fù)雜的條件表達(dá)式，其中[qualitifer］+(id|number)就是一個(gè)比較基本條件，qualitifer就表達(dá)一些的名稱（項(xiàng)，變量），id或number則表示一個(gè)值（或常量）。
qualitifer共有三種，分別是：
type 表示id name或number涉及到的類(lèi)型，這些詞有host, nest, port ,portrange等等。
例子：
host foo 此為一個(gè)簡(jiǎn)單的primitive，host為qualitifer, foo為id name
net 128.3 net為qualitifer, 128.3為number
port 20
等等
每個(gè)privimtive必須有一個(gè)type詞，如果表達(dá)式中沒(méi)有，則默認(rèn)是host.
dir 指定數(shù)據(jù)傳輸?shù)姆较?#xff0c;這些詞有src, dst, srcor dst, src and dst
例子：
dst net 128.3 ;此為一個(gè)相對(duì)復(fù)雜的primitive,結(jié)構(gòu)為dir type number,表示目標(biāo)網(wǎng)絡(luò)為128.3的條件。
src or dst port ftp-data 此為比上一個(gè)相對(duì)簡(jiǎn)的結(jié)構(gòu)，src or dst表示源或目標(biāo)，ftp-data為id，表示ftp協(xié)議中數(shù)據(jù)傳輸端口，故整體表示源或目標(biāo)端口ftp-data的數(shù)據(jù)包即匹配。
如果在一個(gè)primitive中沒(méi)有dir詞，此默認(rèn)為src or dst. 如 host foo則表示源或目標(biāo)主機(jī)為foo的數(shù)據(jù)包都匹配。
proto 此種詞是用來(lái)匹配某種特定協(xié)議的，這些詞包括：ether,fddi, tr, wlan, ip, ip6, arp, rarp, decnet,tcp和udp。其實(shí)這些詞經(jīng)常用來(lái)匹配某種協(xié)議，是使用率最高的一組詞了。
上面三種qualitifer和id name或number組成一個(gè)primitive通常是下面這種方式的：
proto dir type id(number) ，即primitive=protodir type (id | number)
如：
tcp src port 80
ip dst host 192.168.1.1
如果出現(xiàn)type的話，一定會(huì)出現(xiàn)id或num
如果出現(xiàn)dir，那么也會(huì)出現(xiàn)type,如果不出現(xiàn)，默認(rèn)為host
而proto可單獨(dú)出現(xiàn)，如 tcpdump 'tcp'
通過(guò)上面介紹的三種qualitifer，我們很快就可以寫(xiě)出一個(gè)primitive，下面我就只用一個(gè)primitive作為expression匹配數(shù)據(jù)包。
(1)匹配ether包
匹配特定mac地址的數(shù)據(jù)包。
tcpdump 'ether src 00:19:21:1D:75:E6'
匹配源mac為00:19:21:1D:75:E6的數(shù)據(jù)包其中src可改為dst, src or dst來(lái)匹改變條件
匹配ether廣播包。ether廣播包的特征是mac全1.故如下即可匹配：
tcpdump 'ether dst ff:ff:ff:ff:ff:ff'
ylin@ylin:~$ sudo tcpdump -c 1 'ether dstff:ff:ff:ff:ff:ff'
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
10:47:57.784099 arp who-has 192.168.240.77 tell192.168.240.189
在此，只匹配1個(gè)包就退出了。第一個(gè)是arp請(qǐng)求包，arp請(qǐng)求包的是采用廣播的方式發(fā)送的，被匹配那是當(dāng)之無(wú)愧的。
匹配ether組播包，ether的組播包的特征是mac的最高位為1，其它位用來(lái)表示組播組編號(hào)，如果你想匹配其的多播組，知道它的組MAC地址即可。如
tcpdump 'ether dst <Mac_Adrress>' Mac_Address表示地址，填上適當(dāng)?shù)募纯?。如果想匹配所有的ether多播數(shù)據(jù)包，那么暫時(shí)請(qǐng)放下，下面會(huì)繼續(xù)為你講解更高級(jí)的應(yīng)用。
(2)匹配arp包
arp包用于IP到Mac址轉(zhuǎn)換的一種協(xié)議，包括arp請(qǐng)求和arp答應(yīng)兩種報(bào)文，arp請(qǐng)求報(bào)文是ether廣播方式發(fā)送出去的，也即 arp請(qǐng)求報(bào)文的mac地址是全1，因此用etherdst FF;FF;FF;FF;FF;FF可以匹配arp請(qǐng)求報(bào)文，但不能匹配答應(yīng)報(bào)文。因此要匹配arp的通信過(guò)程，則只有使用arp來(lái)指定協(xié)議。
tcpdump 'arp' 即可匹配網(wǎng)絡(luò)上arp報(bào)文。
ylin@ylin:~$ arping -c 4 192.168.240.1>/dev/null&sudo tcpdump -p 'arp'
[1] 9293
WARNING: interface is ignored: Operation not permitted
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
11:09:25.042479 arp who-has 192.168.240.1(00:03:d2:20:04:28 (oui Unknown)) tell ylin.local
11:09:25.042702 arp reply 192.168.240.1 is-at00:03:d2:20:04:28 (oui Unknown)
11:09:26.050452 arp who-has 192.168.240.1(00:03:d2:20:04:28 (oui Unknown)) tell ylin.local
11:09:26.050765 arp reply 192.168.240.1 is-at00:03:d2:20:04:28 (oui Unknown)
11:09:27.058459 arp who-has 192.168.240.1(00:03:d2:20:04:28 (oui Unknown)) tell ylin.local
11:09:27.058701 arp reply 192.168.240.1 is-at00:03:d2:20:04:28 (oui Unknown)
11:09:33.646514 arp who-has ylin.local tell 192.168.240.1
11:09:33.646532 arp reply ylin.local is-at00:19:21:1d:75:e6 (oui Unknown)
本例中使用arping -c 4 192.168.240.1產(chǎn)生arp請(qǐng)求和接收答應(yīng)報(bào)文，而tcpdump -p 'arp'匹配出來(lái)了。此處-p選項(xiàng)是使網(wǎng)絡(luò)工作于正常模式（非混雜模式），這樣是方便查看匹配結(jié)果。
(3)匹配IP包
眾所周知，IP協(xié)議是TCP/IP協(xié)議中最重要的協(xié)議之一，正是因?yàn)樗拍馨袸nternet互聯(lián)起來(lái)，它可謂功不可沒(méi)，下面分析匹配IP包的表達(dá)式。
對(duì)IP進(jìn)行匹配
tcpdump 'ip src 192.168.240.69'
ylin@ylin:~$ sudo tcpdump -c 3 'ip src 192.168.240.69'
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
11:20:00.973605 IP ylin.local.51486 >walnut.crossbeamsys.com.ssh: S 2706301341:2706301341(0) win 5840 <mss1460,sackOK,timestamp 1687608 0,nop,wscale 5>
11:20:00.974328 IP ylin.local.32849 >192.168.200.150.domain: 5858+ PTR? 20.200.168.192.in-addr.arpa. (45)
11:20:01.243490 IP ylin.local.51486 >walnut.crossbeamsys.com.ssh: . ack 2762262674 win 183 <nop,nop,timestamp1687676 4155416897>
IP廣播組播數(shù)據(jù)包匹配：只需指明廣播或組播地址即可
tcpdump 'ip dst 240.168.240.255'
ylin@ylin:~$ sudo tcpdump 'ip dst 192.168.240.255'
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
11:25:29.690658 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 1, length 64
11:25:30.694989 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 2, length 64
11:25:31.697954 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 3, length 64
11:25:32.697970 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 4, length 64
11:25:33.697970 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 5, length 64
11:25:34.697982 IP dd.local > 192.168.240.255: ICMPecho request, id 10022, seq 6, length 64
此處匹配的是ICMP的廣播包，要產(chǎn)生此包，只需要同一個(gè)局域網(wǎng)的另一臺(tái)主機(jī)運(yùn)行ping -b 192.168.240.255即可，當(dāng)然還可產(chǎn)生組播包，由于沒(méi)有適合的軟件進(jìn)行模擬產(chǎn)生，在此不舉例子。
(4)匹配TCP數(shù)據(jù)包
TCP同樣是TCP/IP協(xié)議棧里面最為重要的協(xié)議之一，它提供了端到端的可靠數(shù)據(jù)流，同時(shí)很多應(yīng)用層協(xié)議都是把TCP作為底層的通信協(xié)議，因?yàn)門(mén)CP的匹配是非常重要的。
如果想匹配HTTP的通信數(shù)據(jù)，那只需指定匹配端口為80的條件即可
tcpdump 'tcp dst port 80'
ylin@ylin:~$ wget http://www.baidu.com 2>1 1>/dev/null & sudo tcpdump -c 5 'tcp port 80'
[1] 10762
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
12:02:47.549056 IP xd-22-43-a8.bta.net.cn.www >ylin.local.47945: S 1202130469:1202130469(0) ack 1132882351 win 2896 <mss1460,sackOK,timestamp 3497190920 2329221,nop,wscale 2>
12:02:47.549085 IP ylin.local.47945 >xd-22-43-a8.bta.net.cn.www: . ack 1 win 183 <nop,nop,timestamp 23292583497190920>
12:02:47.549226 IP ylin.local.47945 >xd-22-43-a8.bta.net.cn.www: P 1:102(101) ack 1 win 183 <nop,nop,timestamp2329258 3497190920>
12:02:47.688978 IP xd-22-43-a8.bta.net.cn.www >ylin.local.47945: . ack 102 win 698 <nop,nop,timestamp 34971909562329258>
12:02:47.693897 IP xd-22-43-a8.bta.net.cn.www >ylin.local.47945: . 1:1409(1408) ack 102 win 724 <nop,nop,timestamp3497190957 2329258>
(5)匹配udp數(shù)據(jù)包
udp是一種無(wú)連接的非可靠的用戶數(shù)據(jù)報(bào)，因此udp的主要特征同樣是端口，用如下方法可以匹配某一端口
tcpdump 'upd port 53' 查看DNS的數(shù)據(jù)包
ylin@ylin:~$ ping -c 1 www.baidu.com > /dev/null&sudo tcpdump -p udp port 53
[1] 11424
tcpdump: verbose output suppressed, use -v or -vv forfull protocol decode
listening on eth0, link-type EN10MB (Ethernet), capturesize 96 bytes
12:28:09.221950 IP ylin.local.32853 >192.168.200.150.domain: 63228+ PTR? 43.22.108.202.in-addr.arpa. (44)
12:28:09.222607 IP ylin.local.32854 >192.168.200.150.domain: 5114+ PTR? 150.200.168.192.in-addr.arpa. (46)
12:28:09.487017 IP 192.168.200.150.domain >ylin.local.32853: 63228 1/0/0 (80)
12:28:09.487232 IP 192.168.200.150.domain >ylin.local.32854: 5114 NXDomain* 0/1/0 (140)
12:28:14.488054 IP ylin.local.32854 >192.168.200.150.domain: 60693+ PTR? 69.240.168.192.in-addr.arpa. (45)
12:28:14.755072 IP 192.168.200.150.domain >ylin.local.32854: 60693 NXDomain 0/1/0 (122)
使用ping www.baidu.com目標(biāo)是產(chǎn)生DNS請(qǐng)求和答應(yīng)，53是DNS的端口號(hào)。
此外還有很多qualitifer是還沒(méi)有提及的，下面是其它合法的primitive,在tcpdump中是可以直接使用的。
gateway host
匹配使用host作為網(wǎng)關(guān)的數(shù)據(jù)包，即數(shù)據(jù)報(bào)中mac地址（源或目的）為host，但I(xiàn)P報(bào)的源和目的地址不是host的數(shù)據(jù)包。
dst net net
src net net
net net
net net mask netmask
net net/len
匹配IPv4/v6地址為net網(wǎng)絡(luò)的數(shù)據(jù)報(bào)。
其中net可以為192.168.0.0或192.168這兩種形式。如net 192.168 或net 192.168.0.0
net net mask netmask僅對(duì)IPv4數(shù)據(jù)包有效，如net 192.168.0.0 mask 255.255.0.0
net net/len同樣只對(duì)IPv4數(shù)據(jù)包有效，如net 192.168.0.0/16
dst portrange port1-port2
src portrange port1-port2
portrange port1-port2
匹配端口在port1-port2范圍內(nèi)的ip/tcp，ip/upd，ip6/tcp和ip6/udp數(shù)據(jù)包。dst, src分別指明源或目的。沒(méi)有則表示src or dst
less length 匹配長(zhǎng)度少于等于length的報(bào)文。
greater length 匹配長(zhǎng)度大于等于length的報(bào)文。
ip protochain protocol 匹配ip報(bào)文中protocol字段值為protocol的報(bào)文
ip6 protochain protocol 匹配ipv6報(bào)文中protocol字段值為protocol的報(bào)文
如tcpdump 'ip protochain 6 匹配ipv4網(wǎng)絡(luò)中的TCP報(bào)文，與tcpdump 'ip && tcp'用法一樣，這里的&&連接兩個(gè)primitive。6是TCP協(xié)議在IP報(bào)文中的編號(hào)。
ether broadcast
匹配以太網(wǎng)廣播報(bào)文
ether multicast
匹配以太網(wǎng)多播報(bào)文
ip broadcast
匹配IPv4的廣播報(bào)文。也即IP地址中主機(jī)號(hào)為全0或全1的IPv4報(bào)文。
ip multicast
匹配IPv4多播報(bào)文，也就是IP地址為多播地址的報(bào)文。
ip6 multicast
匹配IPv6多播報(bào)文，即IP地址為多播地址的報(bào)文。
vlan vlan_id
匹配為vlan報(bào)文 ，且vlan號(hào)為vlan_id的報(bào)文
到些為此，我們一直在介紹primitive是如何使用的，也即expression只有一個(gè)primitive。通過(guò)學(xué)會(huì)寫(xiě)好每個(gè) primtive，我們就很容易把多個(gè)primitive組成一個(gè)expression，方法很簡(jiǎn)單，通過(guò)邏輯運(yùn)算符連接起來(lái)就可以了，邏輯運(yùn)算符有以下三個(gè)：
“&&” 或”and”
“||” 或“or”
“!” 或“not”
并且可通過(guò)()進(jìn)行復(fù)雜的連接運(yùn)算。
如tcpdump ‘ip && tcp’
tcpdump ‘ host 192.168.240.3 &&( tcp port 80 ||tcp port 443)’
通過(guò)上面的各種primitive，我們可以寫(xiě)出很豐富的條件，如ip,tcp, udp,vlan等等。如IP，可以按址址進(jìn)行匹，tcp/udp可以按端口匹配。但是，如果我想匹配更細(xì)的條件呢？如tcp中只含syn標(biāo)志，fin標(biāo)志的報(bào)文呢？上面的primitive恐怕無(wú)能為力了。不用怕，tcpdump為你提供最后一個(gè)功能最強(qiáng)大的primitive，記住是 primitive，而不是expression。你可以用多個(gè)這個(gè)的primitive組成更復(fù)雜的 expression.
最后一個(gè)primitive形式為 expr relop expr
若把這個(gè)形式記為A，那么你可這樣寫(xiě)tcpdump 'A1&& A2 && ip src 192.168.200.1'，等等。
下面我們就來(lái)分析A這個(gè)形式，看看這是如何強(qiáng)大，如果你覺(jué)得很亂的話，建議你先用用上面的知識(shí)來(lái)實(shí)際操作幾次，要不然就會(huì)很亂的，因?yàn)閑xpression太復(fù)雜了。
形式：expr relop expr
relop表示關(guān)系操作符，可以為>, <,>=,<=, =, !=之一，
expr是一個(gè)算術(shù)表達(dá)式，由整數(shù)組成和二元運(yùn)算符（＋，－，＊，/，＆，|, <<, >>)，長(zhǎng)度操作，報(bào)文數(shù)據(jù)訪問(wèn)子。同時(shí)所有的整數(shù)都是無(wú)符號(hào)的，即0x80000000 和 0xffffffff > 0。為了訪問(wèn)報(bào)文中的數(shù)據(jù)，可使用如下方式：
proto [ expr : size ]
proto表示該問(wèn)的報(bào)文，expr的結(jié)果表示該報(bào)文的偏移，size為可選的，表示從expr偏移量起的szie個(gè)字節(jié)，整個(gè)表達(dá)式為proto報(bào)文 中,expr起的szie字節(jié)的內(nèi)容（無(wú)符號(hào)整數(shù)）
下面是expr relop expr這種形式primitive的例子：
'ether[0] & 1 !=0' ether報(bào)文中第0個(gè)bit為1，即以太網(wǎng)廣播或組播的primtive。
通過(guò)這種方式，我們可以對(duì)報(bào)文的任何一個(gè)字節(jié)進(jìn)行匹配了，因此它的功能是十分強(qiáng)大的。
‘ip[0] = 4’ ip報(bào)文中的第一個(gè)字節(jié)為version，即匹配IPv4的報(bào)文，
如果我們想匹配一個(gè)syn報(bào)文，可以使用：'tcp[13] = 2'，因?yàn)閠cp的標(biāo)志位為T(mén)CP報(bào)文的第13個(gè)字節(jié)，而syn在這個(gè)字節(jié)的低1位，故匹配只有syn標(biāo)志的報(bào)文,上述條件是可滿要求的，并且比較嚴(yán)格。
如果想匹配ping命令的請(qǐng)求報(bào)文，可以使用'icmp[0]=8'，因?yàn)閕cmp報(bào)文的第0字符表示類(lèi)型，當(dāng)類(lèi)型值為8時(shí)表示為回顯示請(qǐng)求。
對(duì)于TCP和ICMP中常用的字節(jié)，如TCP中的標(biāo)志位，ICMP中的類(lèi)型，這個(gè)些偏移量有時(shí)會(huì)忘記。不過(guò)tcpdump為你提供更方便的用法，你不用記位這些數(shù)字，用字符就可以代替了.
對(duì)于ICMP報(bào)文，類(lèi)型字節(jié)可以icmptype來(lái)表示它的偏稱量，上面的primitive可改為'icmp[icmptype] =8'，如果8也記不住怎么辦？tcpdump還為該字節(jié)的值也提供了字符表示，如'icmp[icmptype] = icmp-echo'。
下面是tcpdump提供的字符偏移量：
icmptype：表示icmp報(bào)文中類(lèi)弄字節(jié)的偏移量
icmpcode:表示icmp報(bào)文中編碼字節(jié)的偏移量
tcpflags:表示TCP報(bào)文中標(biāo)志位字節(jié)的偏移量
此外，還提供了很多值來(lái)對(duì)應(yīng)上面的偏移字節(jié)：
ICMP中類(lèi)型字節(jié)的值可以是：
icmp-echoreply, icmp-unreach, icmp-sourcequench,icmp-redi‐rect, icmp-echo, icmp-routeradvert, icmp-routersolicit,
icmp-timxceed, icmp-paramprob, icmp-tstamp,icmp-tstam‐preply, icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.
TCP中標(biāo)志位字節(jié)的值可以是：
tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg.
通過(guò)上面的字符表示，我們可以寫(xiě)出下面的primitive
'tcp[tcpflags] = tcp-syn' 匹配只有syn標(biāo)志設(shè)置為1的 tcp報(bào)文
'tcp[tcpflags] & (tcp-syn |tcp-ack |tcp-fin) !=0' 匹配含有syn，或ack或fin標(biāo)志位的TCP報(bào)文
對(duì)于IP報(bào)文，沒(méi)有提供字符支持，如果想匹配更細(xì)的條件，直接使用數(shù)字指字偏移量就可以了，不過(guò)要對(duì)IP報(bào)文有更深入的了解才可以。
學(xué)會(huì)寫(xiě)primitive后，expression就是小菜一碟了，由一個(gè)或多個(gè)primitive組成，并且邏輯連接符組成即可：
tcpdump ‘host 192.168.240.91 && icmp[icmptype] =icmp-echo’
tcpdump ‘host 192.168.1.100 && vrrp’
tcpdump 'ether src 00:00:00:00:00:02 && ether[0]& 1 !=0'
讓你隨心所欲地使用tcpdump，將不用再?gòu)膹?fù)雜的輸出中去挑報(bào)文了！
如此，我們可以寫(xiě)出更復(fù)雜的表達(dá)式來(lái)匹配報(bào)文，如IP或TCP中的報(bào)文id，IP是中的分段標(biāo)志，ICMP中類(lèi)型和代碼等。
?
總結(jié)
以上是生活随笔為你收集整理的Linux tcpdump命令用法详解的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
- 上一篇： 多语言报表的改动方法
- 下一篇： linux的strace命令(详解)