ArrayString

ArrayString

Who am I?


What I write about


Recent Posts

linux抓包工具tcpdump使用总结

tcpdump采用命令行方式对接口的数据包进行筛选抓取,其丰富特性表现在灵活的表达式上
1、格式
# tcpdump --help

tcpdump version 4.1-PRE-CVS_2012_03_26
libpcap version 1.4.0
Usage: tcpdump [-aAdDefIKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
                [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
                [ -i interface ] [ -M secret ] [ -r file ]
                [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ]
                [ -y datalinktype ] [ -z command ] [ -Z user ]
                [ expression ]
2、选项说明

标注 的为常用选项

-c:指定要抓取的包数量。注意,是最终要获取这么多个包。例如,指定"-c 10"将获取10个包,但可能已经处理了100个包,只不过只有10个包是满足条件的包。
-i interface:指定tcpdump需要监听的接口。若未指定该选项,将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口,要抓取loopback接口使用tcpdump -i lo),一旦找到第一个符合条件的接口,搜寻马上结束。可以使用'any'关键字表示所有网络接口。
-n:对地址以数字方式显式,否则显式为主机名,也就是说-n选项不做主机名解析。
-nn:除了-n的作用外,还把端口显示为数值,否则显示端口服务名。
-N:不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'。
-s snaplen:设置tcpdump的数据包抓取长度
  如果不设置默认将会是65535字节。对于要抓取的数据包较大时,长度设置不够可能会产生包截断,若出现包截断,输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长,包的处理时间越长,并且会减少tcpdump可缓存的数据包的数量,从而会导致数据包的丢失,所以在能抓取我们想要的包的前提下,抓取长度越小越好。

输出选项:
-e:输出的每行中都将包括数据链路层头部信息,例如源MAC和目标MAC。
-q:快速打印输出。即打印很少的协议相关信息,从而输出行都比较简短。
-X:输出包的头部数据,会以16进制和ASCII两种方式同时输出。
-XX:输出包的头部数据,会以16进制和ASCII两种方式同时输出,更详细。
-v:当分析和打印的时候,产生详细的输出。
-vv:产生比-v更详细的输出。
-vvv:产生比-vv更详细的输出。

其他功能性选项:
-D:列出可用于抓包的接口。将会列出接口的数值编号和接口名,它们都可以用于"-i"后。
-F:从文件中读取抓包的表达式。若使用该选项,则命令行中给定的其他表达式都将失效。
-w:将抓包数据输出到文件中而不是标准输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
-r:从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取。
3、tcpdump表达式

  表达式用于筛选输出哪些类型的数据包,如果没有给定表达式,所有的数据包都将输出,否则只输出表达式指定的包。在表达式中出现的shell元字符建议使用单引号包围。

有时候,我们想让 通配符,或者元字符 变成普通字符,不需要使用它。那么这里我们就需要用到转义符了。 shell提供转义符有三种。

shell常见通配符,转义字符,元字符。

*
匹配 0 或多个字符  a*b  a与b之间可以有任意长度的任意字符, 也可以一个也没有, 如aabcb, axyzb, a012b, ab。

? 
匹配任意一个字符    a?b  a与b之间必须也只能有一个字符, 可以是任意字符, 如aab, abb, acb, a0b。

[list]
匹配 list 中的任意单一字符    a[xyz]b   a与b之间必须也只能有一个字符, 但只能是 x 或 y 或 z, 如: axb, ayb, azb。

[!list]
匹配 除list 中的任意单一字符   a[!0-9]b  a与b之间必须也只能有一个字符, 但不能是阿拉伯数字, 如axb, aab, a-b。

[c1-c2]
匹配 c1-c2 中的任意单一字符 如:[0-9] [a-z] a[0-9]b  0与9之间必须也只能有一个字符 如a0b, a1b... a9b。

{string1,string2,...}
匹配 sring1 或 string2 (或更多)其一字符串  

a{abc,xyz,123}b 
a与b之间只能是abc或xyz或123这三个字符串之一。

‘’(单引号)     
又叫硬转义,其内部所有的shell 元字符、通配符都会被关掉。注意,硬转义中不允许出现’(单引号)。
“”(双引号) 又叫软转义,其内部只允许出现特定的shell 元字符:$用于参数代换 `用于命令代替

\(反斜杠)  
又叫转义,去除其后紧跟的元字符或通配符的特殊意义。

IFS  
由 <space> 或 <tab> 或 <enter> 三者之一组成(我们常用 space )。
CR  由 <enter> 产生。
=   设定变量。
$   作变量或运算替换(请不要与 shell prompt 搞混了)。
>   重导向 stdout。 *
<   重导向 stdin。 *
|   命令管线。 *
&   重导向 file descriptor ,或将命令置于背境执行。 *
( ) 将其内的命令置于 nested subshell 执行,或用于运算或命令替换。 *
{ } 将其内的命令置于 non-named function 中执行,或用在变量替换的界定范围。
;   在前一个命令结束时,而忽略其返回值,继续执行下一个命令。 *
&&  在前一个命令结束时,若返回值为 true,继续执行下一个命令。 *
||  在前一个命令结束时,若返回值为 false,继续执行下一个命令。 *
!   执行 history 列表中的命令。*
tcpdump的表达式由一个或多个"单元"组成,每个单元一般包含ID的修饰符和一个ID(数字或名称)。

格式:proto dir type ID
三种修饰符:

(1).type:指定ID的类型,默认的type为host。

host    主机名称或ip地址。如:host JN-LX-Centos6-lvs
net     网段。抓取192.168.0.0网段的:net 192.168
port    端口。如:port 53
portrange               端口范围。如:portrange 3-10

(2).dir:指定ID的方向。

src 源主机名或地址
dst 目标主机名或地址
src or dst(默认)  源或目标,如:src or dst port 22
src and dst 源和目标

(3).proto:通过给定协议限定匹配的数据包类型。

常用的协议有tcp,udp,arp,ip,icmp等,若未给定协议类型,则匹配所有可能的类型。例如"tcp port 21","udp portrange 3-10"。

(4)其他表达式单元

除了使用修饰符和ID组成的表达式单元,还有关键字表达式单元:gateway,broadcast,less,greater以及算术表达式。

表达式单元之间可以使用操作符" and / && / or / || / not / ! "进行连接,从而组成复杂的条件表达式。如"host rsyslog and port ftp and not port 514",这表示筛选的数据包要满足"主机为rsyslog且端口是ftp(端口21)和端口不是514)的包",常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。

同样的修饰符可省略,如"tcp dst port ftp or ftp-data or domain"与"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意义相同,都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。

使用括号"()"可以改变表达式的优先级,但需要注意的是括号会被shell解释,所以应该使用反斜线"\"转义为"",在需要的时候,还需要包围在引号中。

4、示例 (1)抓取本机eth0中tcp和udp端口号为514的数据,抓取数量为10个,详细显示数据包头和分析。

tcpdump -i eth0 -c 10 udp or tcp port 514 -XX -vvv

(2)抓取源地址为192.168.1.100,端口号不为8080的数据

tcpdump src 192.168.1.100 and tcp port not 8080

(3)打印helios<-->192.168.1.2或192.168.1.3之间通信的数据包

tcpdump host helios and \( 192.168.1.2 or 192.168.1.3 \)