linux用什么命令抓包 linux如何抓包分析數(shù)據(jù)

Linux 基礎(chǔ)教程 29-tcpdump命令-1

? ? 在Linux中輸入命令man tcpdump給出的定義如下所示：

目前累計(jì)服務(wù)客戶1000+，積累了豐富的產(chǎn)品開發(fā)及服務(wù)經(jīng)驗(yàn)。以網(wǎng)站設(shè)計(jì)水平和技術(shù)實(shí)力，樹立企業(yè)形象，為客戶提供成都網(wǎng)站設(shè)計(jì)、網(wǎng)站建設(shè)、網(wǎng)站策劃、網(wǎng)頁設(shè)計(jì)、網(wǎng)絡(luò)營銷、VI設(shè)計(jì)、網(wǎng)站改版、漏洞修補(bǔ)等服務(wù)。成都創(chuàng)新互聯(lián)始終以務(wù)實(shí)、誠信為根本，不斷創(chuàng)新和提高建站品質(zhì)，通過對領(lǐng)先技術(shù)的掌握、對創(chuàng)意設(shè)計(jì)的研究、對客戶形象的視覺傳遞、對應(yīng)用系統(tǒng)的結(jié)合，為客戶提供更好的一站式互聯(lián)網(wǎng)解決方案，攜手廣大客戶，共同發(fā)展進(jìn)步。

是不是感覺很懵？我們用通俗、形象、學(xué)術(shù)的表達(dá)方式來全方位描述tcpdump:

常用選項(xiàng)如下所示：

1、第一個(gè)抓包示例

-i : 指定用來抓包的網(wǎng)絡(luò)接口，這個(gè)參數(shù)在服務(wù)器有多個(gè)網(wǎng)卡的時(shí)候非常有效

-nn : 不轉(zhuǎn)換協(xié)議和端口號(hào)，當(dāng)tcpdump遇到協(xié)議號(hào)或端口號(hào)，不需要將這些數(shù)字轉(zhuǎn)換為對應(yīng)的協(xié)議名稱或端口名稱，如22端口SSH端口，我們希望顯示22，而非SSH

-X : 將協(xié)議頭和包內(nèi)容原原本本的顯示出來,tcpdump會(huì)同時(shí)以16進(jìn)制和ASCII的形式進(jìn)行顯示，在協(xié)議分析時(shí)非常好用。

'port 22' : 告訴tcpdump要有選擇的顯示所抓到的包，在該示例中，只顯示源端口或目的端口是22的數(shù)據(jù)包，其他的數(shù)據(jù)包則不顯示。

-c : 用來指定抓包的個(gè)數(shù)，示例設(shè)置的個(gè)數(shù)為1，則代表僅抓取一個(gè)包之后就退出不再抓包了。

2、-e 增加數(shù)據(jù)鏈路層的頭部信息

? ? 通過兩個(gè)命令的輸出對比，可以看到增加-e選項(xiàng)后，輸出的結(jié)果中增加MAC地址信息。而且在輸出內(nèi)容中會(huì)有 oui Unknown ，OUI即Organizationally unique identifier(組織唯一標(biāo)識(shí)符)，在任何一塊網(wǎng)卡中燒錄的6字節(jié)MAC地址中，前3個(gè)字節(jié)體現(xiàn)了OUI，其表明了網(wǎng)卡的制造組織，通常情況下，該標(biāo)識(shí)符是唯一的。在本例中，由于沒有識(shí)別出網(wǎng)卡的制造商，因此顯示為Unknown。

3、-l 將輸出變?yōu)樾芯彌_模式

? ? -l的作用是將tcpdump的輸出行為變?yōu)?行緩沖 方式，這樣可以保證tcpdump遇到換行符，就立即將緩沖的內(nèi)容輸出到標(biāo)準(zhǔn)輸出(stdout)，方便利用管道或重定向方式進(jìn)行后續(xù)處理，而不會(huì)造成延遲。

? ? 在Linux的標(biāo)準(zhǔn)I/O中提供了 全緩沖 、 行緩沖 、 無緩沖 三種緩沖方式。標(biāo)準(zhǔn)錯(cuò)誤是不帶緩沖的，而終端設(shè)備常為行緩沖，其他默認(rèn)則為全緩沖。

? ? 在該例中，將tcpdump輸出的內(nèi)容通過管道提取第5列，可以用來查看詳細(xì)的連接信息。而如果不加 -l 選項(xiàng)時(shí)，則只有當(dāng)緩沖區(qū)全部占滿時(shí)，tcpdump才會(huì)將緩沖區(qū)中的內(nèi)容輸出，這樣就有可能導(dǎo)致輸出不連續(xù)的，如果強(qiáng)行結(jié)束，則會(huì)影響下一行的完整性。

4、-t 輸出不加時(shí)間戳

? ? 在增加選項(xiàng) -t 選項(xiàng)后，時(shí)間23:48:03.193526就消失了。tcpdump默認(rèn)情況下是按微秒來計(jì)時(shí)，因此最一個(gè)時(shí)間精確到了第6位。

5、 -v 顯示詳細(xì)信息

? ? 在增加 -v 選項(xiàng)后，會(huì)在輸出的內(nèi)容中增加 tos 、 ttl 、 id 、 offset 、 協(xié)議編號(hào) 、 總長度 等，如需要理解這些信息，就需要了解TCP/IP協(xié)議中的頭的具體定義了。

6、-F 指定過濾表達(dá)式所在的文件

? ? 在第一個(gè)示例中，命令行增加了 'port 22' ，而這一項(xiàng)就叫 過濾條件 ，如果設(shè)置了過濾條件，則tcpdump只抓取滿足過濾條件的數(shù)據(jù)包。如需要設(shè)置較為復(fù)雜的過濾條件或復(fù)用過濾條件時(shí)，這時(shí)可以將過濾條件保存為文件，然后通過-F加載該過濾文件。

7、 -w 將原始數(shù)據(jù)包信息保存到文件中

? ? 當(dāng)我們查看保存的文件時(shí)，出現(xiàn)的是亂碼。則代表無法直接查看，很有可能是二進(jìn)制文件。那么怎么查看保存的文件了？請看下一個(gè)示例。

7、 -r 從文件中讀取原始數(shù)據(jù)包

? ? 通過-w和-r選項(xiàng)即可實(shí)現(xiàn)抓包的錄制回放功能。

Linux抓包如何分包

抓包工具：

wireshark

tcpdump

Linux抓包命令tcpdump是一個(gè)抓包工具，用于抓取互聯(lián)網(wǎng)上傳輸?shù)臄?shù)據(jù)包

tcpdump是一個(gè)用于截取網(wǎng)絡(luò)分組，并輸出分組內(nèi)容的工具。憑借強(qiáng)大的功能和靈活的截取策略，使其成為類UNIX系統(tǒng)下用于網(wǎng)絡(luò)分析和問題排查的首選工具

tcpdump 支持針對網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息

#常用選項(xiàng)(oldboy講解)

-i #監(jiān)聽哪一個(gè)網(wǎng)卡 -i eth0

-n #不把ip解析成主機(jī)名

-nn #不把端口解析成應(yīng)用層協(xié)議

-c #指定抓包的數(shù)量

-v #輸出一個(gè)稍微詳細(xì)的信息，例如在ip包中可以包括ttl和服務(wù)類型的信息。

-vv #輸出詳細(xì)的報(bào)文信息。

#實(shí)例

1、默認(rèn)啟動(dòng)

tcpdump -vv #普通情況下，直接啟動(dòng)tcpdump將監(jiān)視第一個(gè)網(wǎng)絡(luò)接口上所有流過的數(shù)據(jù)包。

2、過濾主機(jī)

tcpdump -i eth1 host 192.168.1.1 #抓取所有經(jīng)過eth1，目的或源地址是192.168.1.1的網(wǎng)絡(luò)數(shù)據(jù)

tcpdump -i eth1 src host 192.168.1.1 #指定源地址，192.168.1.1

tcpdump -i eth1 dst host 192.168.1.1 #指定目的地址，192.168.1.1

3、過濾端口

tcpdump -i eth1 port 80 #抓取所有經(jīng)過eth1，目的或源端口是80的網(wǎng)絡(luò)數(shù)據(jù)

tcpdump -i eth1 src port 80 #指定源端口

tcpdump -i eth1 dst port 80 #指定目的端口

4、協(xié)議過濾

tcpdump -i eth1 arp

tcpdump -i eth1 ip

tcpdump -i eth1 tcp

tcpdump -i eth1 udp

tcpdump -i eth1 icmp

tcpdump -i eth1 -p icmp

#抓tcp某端口的數(shù)據(jù)包

tcpdump -i eth0 tcp port 21 -nn

5、常用表達(dá)式

非 : ! or "not" (去掉雙引號(hào))

且 : or "and"

或 : || or "or"

#抓取所有經(jīng)過eth1，目的地址是192.168.1.254或192.168.1.200端口是80的TCP數(shù)

tcpdump -i eth1 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'

#抓取所有經(jīng)過eth1，目標(biāo)MAC地址是00:01:02:03:04:05的ICMP數(shù)據(jù)

tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'

#抓取所有經(jīng)過eth1，目的網(wǎng)絡(luò)是192.168，但目的主機(jī)不是192.168.1.200的TCP數(shù)據(jù)

tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'

Linux 系統(tǒng)掃描nmap與tcpdump抓包

NMAP掃描

一款強(qiáng)大的網(wǎng)絡(luò)探測利器工具

支持多種探測技術(shù)

--ping掃描

--多端口掃描

-- TCP/IP指紋校驗(yàn)

為什么需要掃描?

以獲取一些公開/非公開信息為目的

--檢測潛在風(fēng)險(xiǎn)

--查找可攻擊目標(biāo)

--收集設(shè)備/主機(jī)/系統(tǒng)/軟件信息

--發(fā)現(xiàn)可利用的安全漏洞

基本用法

nmap [掃描類型] [選項(xiàng)] 掃描目標(biāo)...

常用的掃描類型

常用選項(xiàng)

-sS TCP SYN掃描(半開) 該方式發(fā)送SYN到目標(biāo)端口，如果收到SYN/ACK回復(fù)，那么判斷端口是開放的；如果收到RST包，說明該端口是關(guān)閉的。簡單理解就是3次握手只完成一半就可以判斷端口是否打開,提高掃描速度

-sT TCP 連接掃描(全開)

-sU UDP掃描

-sP ICMP掃描

-sV 探測打開的端口對應(yīng)的服務(wù)版本信息

-A 目標(biāo)系統(tǒng)全面分析 (可能會(huì)比較慢)

-p 掃描指定端口

1 ) 檢查目標(biāo)主機(jī)是否能ping通

2）檢查目標(biāo)主機(jī)所開啟的TCP服務(wù)

3 ) 檢查192.168.4.0/24網(wǎng)段內(nèi)哪些主機(jī)開啟了FTP、SSH服務(wù)

4）檢查目標(biāo)主機(jī)所開啟的UDP服務(wù)

5 ) 探測打開的端口對應(yīng)的服務(wù)版本信息

6）全面分析目標(biāo)主機(jī)192.168.4.100的操作系統(tǒng)信息

tcpdump

命令行抓取數(shù)據(jù)包工具

基本用法

tcpdump [選項(xiàng)] [過濾條件]

常見監(jiān)控選項(xiàng)

-i，指定監(jiān)控的網(wǎng)絡(luò)接口（默認(rèn)監(jiān)聽第一個(gè)網(wǎng)卡）

-A，轉(zhuǎn)換為 ACSII 碼，以方便閱讀

-w，將數(shù)據(jù)包信息保存到指定文件

-r，從指定文件讀取數(shù)據(jù)包信息

常用的過濾條件：

類型：host、net、port、portrange

方向：src、dst

協(xié)議：tcp、udp、ip、wlan、arp、……

多個(gè)條件組合：and、or、not

案例1

案例2:使用tcpdump分析FTP訪問中的明文交換信息

1 ) 安裝部署vsftpd服務(wù)

2 ) 并啟動(dòng)tcpdump等待抓包

執(zhí)行tcpdump命令行，添加適當(dāng)?shù)倪^濾條件，只抓取訪問主機(jī)192.168.4.100的21端口的數(shù)據(jù)通信 ，并轉(zhuǎn)換為ASCII碼格式的易讀文本。

3 ) case100作為客戶端訪問case254服務(wù)端

4 ) 查看tcpdump抓包

5 ) 再次使用tcpdump抓包，使用-w選項(xiàng)可以將抓取的數(shù)據(jù)包另存為文件，方便后期慢慢分析。

6 ) tcpdump命令的-r選項(xiàng)，可以去讀之前抓取的歷史數(shù)據(jù)文件

在linux命令行環(huán)境下如何抓取網(wǎng)絡(luò)數(shù)據(jù)包？

? 眾所周知，在Windows下開發(fā)運(yùn)行環(huán)境下，在調(diào)試網(wǎng)絡(luò)環(huán)境時(shí)，可以可以很方便的借助wireshark等軟件進(jìn)行抓包分析；并且在linux或者Ubuntu等桌面版里也可以進(jìn)行安裝抓包工具進(jìn)行抓包分析，但總有一些情況，無法直接運(yùn)用工具（比如一些沒有界面的linux環(huán)境系統(tǒng)中），則此時(shí)我們就需要使用到最簡單的tcpdump命令進(jìn)行網(wǎng)絡(luò)抓包。

? 一般的，linux下抓包時(shí)，抓取特定的網(wǎng)絡(luò)數(shù)據(jù)包到當(dāng)前文件夾下的文件中，再把文件拷貝出來利用Windows下的wireshark軟件進(jìn)行分析。

tcpdump命令詳解：（簡單舉例）

? 1、抓取到的文件為filename.cap，然后將此文件拷貝到Windows下，使用wireshar打開后，即可對此文件進(jìn)行分析。

? 2、eth0 是主機(jī)的網(wǎng)絡(luò)適配器名稱，具體的參數(shù)值可以在linux命令行窗口中通過 ifconfig 指令查詢。

網(wǎng)站題目：linux用什么命令抓包 linux如何抓包分析數(shù)據(jù)
文章網(wǎng)址：http://muchs.cn/article36/dosjhpg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)網(wǎng)站建設(shè)、定制網(wǎng)站、移動(dòng)網(wǎng)站建設(shè)、面包屑導(dǎo)航、網(wǎng)站設(shè)計(jì)、微信公眾號(hào)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)