IT教程 ·

Linux tcpdump 下令详解与示例

假装优雅地实现定时缓存装饰器

 

敕令提要

Linux作为收集效劳器,特别是作为路由器和网关时,数据的收集和剖析是不可少的。TcpDump 是 Linux 中壮大的收集数据收集剖析东西之一。

用简朴的话来定义tcpdump,就是:dump the traffic on a network,依据运用者的定义对收集上的数据包举行截获的包剖析东西。

作为互联网上典范的的体系治理员必备东西,tcpdump以其壮大的功用,天真的截取战略,成为每一个高等的体系治理员剖析收集,排查问题等所必备的东西之一。

TCPDump能够将收集中传送的数据包完全截获下来供应剖析。它支撑针对收集层、协定、主机、收集或端口的过滤,并供应and、or、not等逻辑语句来协助你去掉无用的信息。

 

tcpdump 经常运用示例

检察当前机械有哪些收集接口

1 # tcpdump -D
2 1.eth0
3 2.nflog (Linux netfilter log (NFLOG) interface)
4 3.nfqueue (Linux netfilter queue (NFQUEUE) interface)
5 4.eth1
6 5.usbmon1 (USB bus number 1)
7 6.any (Pseudo-device that captures on all interfaces)
8 7.lo [Loopback]

 

下面一切测试中都有 -i any的选项,示意抓取一切收集接口上的包,为了让测试轻易

针对指定主机抓包

# tcpdump -i any -n -nn host 192.168.1.10 -w ./$(date +%Y%m%d%H%M%S).pcap

 

针对指定端口抓包

# tcpdump -i any -n -nn port 80 -w ./$(date +%Y%m%d%H%M%S).pcap

 

针对主机和端口抓包,二者关联 and

# tcpdump -i any -n -nn host 192.168.1.10 and port 80 -w ./$(date +%Y%m%d%H%M%S).pcap

 

针对多个端口抓包

# tcpdump -i any -n -nn port 111 or port 443

 

针对多个主机抓包

# tcpdump -i any -n -nn host www.baidu.com or www.360.com

 

其他示例:

抓取接见destination 443端口的包

1 # tcpdump -i any -n dst port 443   # 然后我们做一个curl https://www.baidu.com的操纵
2 …………
3 19:22:43.049262 IP 120.27.48.179.45008 > 180.101.49.11.https: Flags [.], ack 2997781737, win 229, length 0
4 …………

 

抓取源端口是80的包

1 # tcpdump -i any -nn src port 80 
2 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
3 listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
4 19:32:45.325115 IP 100.100.45.131.80 > 10.80.151.139.48500: Flags [.], ack 2072960929, win 2915, length 0
5 19:32:51.151735 IP 100.100.45.131.80 > 10.80.151.139.48500: Flags [.], ack 959, win 2915, length 0

 

抓取源或许目标端口都是80的包

1 # tcpdump -i any -n -nn port 80
2 19:35:19.465908 IP 120.27.48.179.40640 > 180.101.49.11.80: Flags [P.], seq 1:78, ack 1, win 229, length 77: HTTP: GET / HTTP/1.1
3 19:35:19.487790 IP 180.101.49.11.80 > 120.27.48.179.40640: Flags [.], ack 78, win 908, length 0
4 19:35:19.488832 IP 180.101.49.11.80 > 120.27.48.179.40640: Flags [P.], seq 1:2782, ack 78, win 908, length 2781: HTTP: HTTP/1.1 200 OK
5 19:35:19.488857 IP 120.27.48.179.40640 > 180.101.49.11.80: Flags [.], ack 2782, win 272, length 0

 

示意抓取destination prot 在100到455之间的端口的数据

1 # tcpdump -i any -n -nn dst portrange 100-455  # 在别的的面做curl https://www.baidu.com 以及 telnet www.baidu.com 111
2 ## 部份信息以下
3 19:41:29.534311 IP 120.27.48.179.45588 > 180.101.49.11.443: Flags [S], seq 956630279, win 29200, options [mss 1460,sackOK,…………
4 19:41:29.550033 IP 120.27.48.179.45588 > 180.101.49.11.443: Flags [.], ack 2690465329, win 229, length 0
5 …………
6 19:41:37.128895 IP 120.27.48.179.38202 > 180.101.49.11.111: Flags [S], seq 946466181, win 29200, options [mss 1460,sackOK,TS val 732615405 ecr 0,nop,wscale 7], length 0
7 19:41:38.131297 IP 120.27.48.179.38202 > 180.101.49.11.111: Flags [S], seq 946466181, win 29200, options [mss 1460,sackOK,TS val 732616408 ecr 0,nop,wscale 7], length 0

 

抓取源的端口是20-80的包

# tcpdump -i any -n src portrange 20-80

 

抓取端口是20-80的包,不斟酌源或目标

# tcpdump -i any -n portrange 20-80

 

抓取destination为 www.baidu.com 的包

# tcpdump -i any dst www.baidu.com   # 然后ping www.baidu.com ,以及 curl www.baidu.com

 

抓取destination为192.168.1.[0-255]的包

# tcpdump -i any -n -nn dst 192.168.1   # 能够指定局限   注重用法  不是一个完全的IP地点

 

抓取source为192.168.*.* 的包

# tcpdump -i any -n -nn src host 192.168  # 等价于 tcpdump -i any -n -nn src 192.168

 

抓取192.168的包(不管是source照样destination )

# tcpdump -i any -n -nn host 192.168

 

抓取包长度小于800的包

# tcpdump -i any -n -nn less 800

 

抓取包长度大于800的包

# tcpdump -i any -n -nn greater 800

 

只抓取tcp包

# tcpdump -i any -n tcp

 

只抓取udp包

# tcpdump -i any -n udp

 

只抓取icmp的包,internet掌握包

# tcpdump -i any -n icmp

 

tcpdump 敕令花样

# tcpdump option filter

option 举例 -n,-i any 等

filter 是过滤包的前提,举例:tcp,portrange 1-1000,src port 58895,host www.itshouce.com.cn,

filter能够举行组合 比方:dst port 3306 and src port 58895,portrange 1-1000 or src port 58895 not dst port 3306

option filter 举例:tcpdump -i any -n portrange 1-3306 or portrange 10000-58895

 

tcpdump 罕见选项

拜见:man tcpdump

  1 -A  以ASCII码体式格局显现每一个数据包(不会显现数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可轻易检察数据(nt: 即Handy for capturing web pages).
  2 
  3 -B buffer_size/--buffer-size=buffer_size
  4 将操纵体系捕捉缓冲区大小设置为buffer_size,单元为KiB(1024字节)。
  5 
  6 -c  count
  7     tcpdump将在接受到count个数据包后退出.
  8 
  9 -C  file-size (nt: 此选项用于合营 -w file 选项运用)
 10 该选项使得tcpdump 在把原始数据包直接保留到文件中之前, 搜检此文件大小是不是凌驾file-size. 假如凌驾了, 将封闭此文件,另创一个文件继承用于原始数据包的纪录. 新创建的文件名与 -w 选项指定的文件名一致, 但文件名后多了一个数字.该数字会从1入手下手跟着新创建文件的增添而增添. file-size的单元是百万字节(nt: 这里指1,000,000个字节,并不是1,048,576个字节, 后者是以1024字节为1k, 1024k字节为1M盘算所得, 即1M=102410241,048,576)
 11 # tcpdump -C 1 -w a.cap
 12 
 13 -d  以轻易浏览的情势,在范例输出上打印出编排过的包婚配码, 随后tcpdump住手.(nt | rt: human readable, 轻易浏览的,一般是指以ascii码来打印一些信息. compiled, 编排过的. packet-matching code, 包婚配码,寄义未知, 需补充)
 14 
 15 -dd 以C言语的情势打印出包婚配码.
 16 
 17 -ddd 以十进制数的情势打印出包婚配码(会在包婚配码之前有一个附加的'count'前缀).
 18 
 19 -D  打印体系中一切tcpdump能够在其上举行抓包的收集接口. 每一个接口会打印出数字编号, 响应的接口名字, 以及大概的一个收集接口形貌. 个中收集接口名字和数字编号能够用在tcpdump 的-i flag 选项(nt: 把名字或数字替换flag), 来指定要在其上抓包的收集接口.
 20 
 21 -e  每行的打印输出中将包含数据包的数据链路层头部信息
 22 
 23 -E  spi@ipaddr algo:secret,...
 24 
 25     可经由过程spi@ipaddr algo:secret 来解密IPsec ESP包(nt | rt:IPsec Encapsulating Security Payload,IPsec 封装平安负载, IPsec可明白为, 一整套对ip数据包的加密协定, ESP 为全部IP 数据包或个中上层协定部份被加密后的数据,前者的事情形式称为隧道形式; 后者的事情形式称为传输形式 . 事情道理, 另需补充).
 26 
 27     须要注重的是, 在终端启动tcpdump 时, 能够为IPv4 ESP packets 设置密钥(secret).
 28 
 29     可用于加密的算法包含des-cbc, 3des-cbc, blowfish-cbc, rc3-cbc, cast128-cbc, 或许没有(none).默许的是des-cbc(nt: des, Data Encryption Standard, 数据加密范例, 加密算法未知, 另需补充).secret 为用于ESP 的密钥, 运用ASCII 字符串体式格局表达. 假如以 0x 开头, 该密钥将以16进制体式格局读入.
 30 
 31     该选项中ESP 的定义遵照RFC2406, 而不是 RFC1827. 而且, 此选项只是用来调试的, 不引荐以实在密钥(secret)来运用该选项, 因为如许不平安: 在敕令行中输入的secret 能够被其他人经由过程ps 等敕令检察到.
 32 
 33     除了以上的语法花样(nt: 指spi@ipaddr algo:secret), 还能够在后面增加一个语法输入文件名字供tcpdump 运用(nt:即把spi@ipaddr algo:secret,... 中...换成一个语法文件名). 此文件在接受到第一个ESP 包时会翻开此文件, 所以最好此时把给予tcpdump 的一些特权作废(nt: 可明白为, 如许提防以后, 当该文件为歹意编写时,不至于形成过大损伤).
 34 
 35 -f  显现外部的IPv4 地点时(nt: foreign IPv4 addresses, 可明白为, 非本机ip地点), 采纳数字体式格局而不是名字.(此选项是用来应付Sun公司的NIS效劳器的缺点(nt: NIS, 收集信息效劳, tcpdump 显现外部地点的名字时会用到她供应的称号效劳): 此NIS效劳器在查询非当地地点名字时,常常会堕入无尽的查询轮回).
 36 
 37     因为对外部(foreign)IPv4地点的测试须要用到当地收集接口(nt: tcpdump 抓包时用到的接口)及其IPv4 地点和收集掩码. 假如此地点或收集掩码不可用, 或许此接口根本就没有设置响应收集地点和收集掩码(nt: linux 下的 'any' 收集接口就不须要设置地点和掩码, 不过此'any'接口能够收到体系中一切接口的数据包), 该选项不能平常事情.
 38 
 39 -F  file
 40     运用file 文件作为过滤前提表达式的输入, 此时敕令行上的输入将被疏忽.
 41 
 42 -i  interface
 43     指定tcpdump 须要监听的接口.  假如没有指定, tcpdump 会从体系接口列表中征采编号最小的已设置好的接口(不包含 loopback 接口).一但找到第一个相符前提的接口, 征采立时完毕.
 44 
 45     在采纳2.2版本或以后版本内核的Linux 操纵体系上, 'any' 这个假造收集接口可被用来吸收一切收集接口上的数据包(nt: 这会包含目标是该收集接口的, 也包含目标不是该收集接口的). 须要注重的是假如实在收集接口不能事情在'混淆'形式(promiscuous)下,则没法在'any'这个假造的收集接口上抓取其数据包.
 46 
 47     假如 -D 标志被指定, tcpdump会打印体系中的接口编号,而该编号便可用于此处的interface 参数.
 48 
 49 -l  对范例输出举行行缓冲(nt: 使范例输出设备碰到一个换行符就立时把这行的内容打印出来).在须要同时视察抓包打印以及保留抓包纪录的时刻很有效. 比方, 可经由过程以下敕令组合来达到此目标:
 50     tcpdump  -l | tee dat 或许 tcpdump  -l > dat & tail -f dat (nt: 前者运用tee来把tcpdump 的输出同时放到文件dat和范例输出中, 而后者经由过程重定向操纵'>', 把tcpdump的输出放到dat 文件中, 同时经由过程tail把dat文件中的内容放到范例输出中)
 51 
 52 -L  列出指定收集接口所支撑的数据链路层的范例后退出.(nt: 指定接口经由过程-i 来指定)
 53 
 54 -m  module
 55     经由过程module 指定的file 装载SMI MIB 模块(nt: SMI,Structure of Management Information, 治理信息构造MIB, Management Information Base, 治理信息库. 可明白为, 这二者用于SNMP(Simple Network Management Protoco)协定数据包的抓取. 细致SNMP 的事情道理未知, 另需补充).
 56 
 57     此选项可屡次运用, 从而为tcpdump 装载差别的MIB 模块.
 58 
 59 -M  secret  假如TCP 数据包(TCP segments)有TCP-MD5选项(在RFC 2385有相干形貌), 则为其择要的考证指定一个大众的密钥secret.
 60 
 61 -n  不将主机收集地点转换为称号。
 62 
 63 -nn  不将协定和端口号等转换成称号。
 64 
 65 -N  不打印出host 的域名部份. 比方, 假如设置了此选现, tcpdump 将会打印'nic' 而不是 'nic.ddn.mil'.
 66 
 67 -#/--number  在行的开头打印一个数据包序号。
 68 
 69 -O  不运转包婚配编码优化器。当疑心某些bug是由优化代码引发的, 此选项将很有效.
 70 
 71 -p  平常情况下, 把收集接口设置为非'混淆'形式. 但必需注重 , 在特别情况下此收集接口照样会以'混淆'形式来事情; 从而, '-p' 的设与不设, 不能当作以下选现的代名词:'ether host {local-hw-add}''ether broadcast'(nt: 前者示意只婚配以太网地点为host 的包, 后者示意婚配以太网地点为播送地点的数据包).
 72 
 73 -Q|-P direction/--direction=direction   挑选发送/吸收方向 direction 应当捕捉数据包的方向。大概的值是 in、out和 inout。并不是一切平台都可用。
 74 
 75 -q  疾速(平静?)输出。打印更少的协定信息,因而输出行更短。
 76 
 77 -R  设定tcpdump 对 ESP/AH 数据包的剖析根据 RFC1825而不是RFC1829(nt: AH, 认证头, ESP, 平安负载封装, 这二者会用在IP包的平安传输机制中). 假如此选项被设置, tcpdump 将不会打印出'制止中继'域(nt: relay prevention field). 别的,因为ESP/AH范例中没有划定ESP/AH数据包必需具有协定版本号域,所以tcpdump不能从收到的ESP/AH数据包中推导出协定版本号.
 78 
 79 -r  file
 80     从文件file 中读取包数据. 假如file 字段为 '-' 标记, 则tcpdump 会从范例输入中读取包数据.
 81 # tcpdump -n -r a.cap
 82 
 83 -S  打印TCP 数据包的次序号时, 运用相对的次序号, 而不是相对的次序号.(nt: 相对次序号可明白为, 相对第一个TCP 包次序号的差异,比方, 接受方收到第一个数据包的相对次序号为232323, 关于厥后吸收到的第2个,第3个数据包, tcpdump会打印其序列号为1, 2离别示意与第一个数据包的差异为1 和 2. 而假如此时-S 选项被设置, 关于厥后吸收到的第2个, 第3个数据包会打印出其相对次序号:232324, 232325).
 84 
 85 -s  snaplen
 86     设置tcpdump的数据包抓取长度为snaplen, 假如不设置默许将会是262144字节【256 Kb】。须要注重的是, 采纳长的抓取长度(nt: snaplen比较大), 会增添包的处置惩罚时候, 而且会削减tcpdump 可缓存的数据包的数量,从而会致使数据包的丧失。所以, 在能抓取我们想要的包的前提下, 抓取长度越小越好。将snaplen设置为0将其设置为262144的默许值,以便向后兼容最新版本的tcpdump。
 87 
 88 -T  type
 89     强迫tcpdump按type指定的协定所形貌的包构造来剖析收到的数据包.  现在已知的type 可取的协定为:
 90     aodv (Ad-hoc On-demand Distance Vector protocol, 按需间隔向量路由协定, 在Ad hoc(点对点形式)收集中运用),
 91     cnfp (Cisco  NetFlow  protocol),  rpc(Remote Procedure Call), rtp (Real-Time Applications protocol),
 92     rtcp (Real-Time Applications con-trol protocol), snmp (Simple Network Management Protocol),
 93     tftp (Trivial File Transfer Protocol, 碎文件协定), vat (Visual Audio Tool, 可用于在internet 上举行电
 94     视电话会议的应用层协定), 以及wb (distributed White Board, 可用于收集会议的应用层协定).
 95 
 96 -t     在每行输出中不打印时候戳
 97 
 98 -tt    不对每行输出的时候举行花样处置惩罚(nt: 这类花样一眼大概看不出其寄义, 如时候戳打印成1261798315)
 99 
100 -ttt   tcpdump 输出时, 每两行打印之间会耽误一个段时候(以毫秒为单元)
101 
102 -tttt  在每行打印的时候戳之前增加日期的打印
103 
104 -u     打印出未加密的NFS 句柄(nt: handle可明白为NFS 中运用的文件句柄, 这将包含文件夹和文件夹中的文件)
105 
106 -U    使妥当tcpdump在运用-w 选项时, 其文件写入与包的保留同步.(nt: 即, 当每一个数据包被保留时, 它将实时被写入文件中,而不是等文件的输出缓冲已满时才真正写入此文件)
107       -U 标志在老版本的libcap库(nt: tcpdump 所依靠的报文捕捉库)上不起作用, 因为个中缺少pcap_cump_flush()函数.
108 
109 -v    当剖析和打印的时刻, 发生细致的输出. 比方, 包的生存时候, 标识, 总长度以及IP包的一些选项. 这也会翻开一些附加的包完全性检测, 比方对IP或ICMP包头部的校验和.
110 
111 -vv   发生比-v更细致的输出. 比方, NFS回应包中的附加域将会被打印, SMB数据包也会被完全解码.
112 
113 -vvv  发生比-vv更细致的输出. 比方, telent 时所运用的SB, SE 选项将会被打印, 假如telnet同时运用的是图形界面,
114       其响应的图形选项将会以16进制的体式格局打印出来(nt: telnet 的SB,SE选项寄义未知, 另需补充).
115 
116 -w file   把包数据直接写入文件而不举行剖析和打印输出. 这些包数据可在随后经由过程-r 选项来从新读入并举行剖析和打印。
117       file 为 - 时,示意范例输出 也就是输出到范例输出中
118 # tcpdump -w - |strings 这是一个超等有效的敕令,把包的数据,用字符展现出来
119 
120 -W
121       此选项与-C 选项合营运用, 这将限定可翻开的文件数量, 而且当文件数据凌驾这里设置的限定时, 顺次轮回替换之前的文件, 这相当于一个具有filecount 个文件的文件缓冲池. 同时, 该选项会使得每一个文件名的开头会涌现足够多并用来占位的0, 这能够轻易这些文件被准确的排序.
122 
123 -x    当剖析和打印时, tcpdump 会打印每一个包的头部数据, 同时会以16进制打印出每一个包的数据(但不包含连接层的头部).统共打印的数据大小不会凌驾全部数据包的大小与snaplen 中的最小值. 必需要注重的是, 假如高层协定数据没有snaplen 这么长,而且数据链路层(比方, Ethernet层)有添补数据, 则这些添补数据也会被打印.(nt: so for link  layers  that pad, 未能连接明白和翻译, 需补充 )
124 
125 -xx   tcpdump 会打印每一个包的头部数据, 同时会以16进制打印出每一个包的数据, 个中包含数据链路层的头部.
126 
127 -X    当剖析和打印时, tcpdump 会打印每一个包的头部数据, 同时会以16进制和ASCII码情势打印出每一个包的数据(但不包含连接层的头部).这关于剖析一些新协定的数据包很轻易.
128 
129 -XX   当剖析和打印时, tcpdump 会打印每一个包的头部数据, 同时会以16进制和ASCII码情势打印出每一个包的数据, 个中包含数据链路层的头部.这关于剖析一些新协定的数据包很轻易.
130 
131 -y    datalinktype
132       设置tcpdump 只捕捉数据链路层协定范例是datalinktype的数据包
133 
134 -Z    user
135       使tcpdump 摒弃本身的超等权限(假如以root用户启动tcpdump, tcpdump将会有超等用户权限), 并把当前tcpdump的用户ID设置为user, 组ID设置为user主要所属组的ID(nt: tcpdump 此处可明白为tcpdump 运转以后对应的历程)
136 
137       此选项也可在编译的时刻被设置为默许翻开.(nt: 此时user 的取值未知, 需补充)

 

tcpdump 前提表达式

该表达式用于决议哪些数据包将被打印。假如不给定前提表达式,收集上一切被捕捉的包都邑被打印。不然,只要满足前提表达式的数据包被打印.(nt: all packets, 可明白为,一切被指定接口捕捉的数据包)。

表达式由一个或多个表达元构成(nt:primitive,表达元,可明白为构成表达式的基础元素)。一个表达元一般由一个或多个修饰符(qualifiers)后跟一个名字或数字示意的id构成(nt:即 qualifiers id )。有三种差别范例的修饰符:type、dir以及 proto。

拜见:man pcap-filter

1 type   修饰符指定id 所代表的对象范例, id能够是名字也能够是数字. 
2     可选的对象范例有: host, net, port 以及portrange(nt: host 表明id是主机, net 表明id是收集, port 表明id是端口,而portrange 表明id 是一个端口局限).  
3     如, 'host foo', 'net 128.3', 'port 20', 'portrange 6000-6008'(nt: 离别示意主机 foo,收集 128.3, 端口 20, 端口局限 6000-6008). 
4     假如不指定type 修饰符, id默许的修饰符为host.

 

1 dir   修饰符形貌id 所对应的传输方向, 即发往id 照样从id 吸收(nt: 而id 究竟指什么须要看其前面的type 修饰符)。
2     可取的方向为: src, dst, src or dst, src and dst.(nt:离别示意, id是传输源, id是传输目标, id是传输源或许传输目标, id是传输源而且是传输目标). 
3     比方, 'src foo','dst net 128.3', 'src or dst port ftp-data'.(nt: 离别示意相符前提的数据包中, 源主机是foo, 目标收集是128.3, 源或目标端口为 ftp-data).
4     假如不指定dir修饰符, id 默许的修饰符为src or dst。

 

1 proto   修饰符形貌id 所属的协定. 可选的协定有: ether, fddi, tr, wlan, ip, ip6, arp, rarp, decnet, tcp以及 upd.
2     (nt | rt: ether, fddi, tr, 细致寄义未知, 需补充. 可明白为物理以太网传输协定, 光纤散布数据网传输协定,以及用于路由跟踪的协定.  
3     wlan, 无线局域网协定; ip,ip6 即一般的TCP/IP协定栈中所运用的ipv4以及ipv6收集层协定;
4     arp, rarp 即地点剖析协定,反向地点剖析协定; 
5     decnet, Digital Equipment Corporation开发的, 最早用于PDP-11 机械互联的收集协定; 
6     tcp and udp, 即一般TCP/IP协定栈中的两个传输层协定).

 

表达式次序:proto dir type

关于修饰符后跟id 的花样,可明白为 type id 是对包最基础的过滤前提:即对包相干的主机,收集,端口的限定;dir 示意对包的传送方向的限定;proto示意对包相干的协定限定

表达元之间还能够经由过程关键字and,or 以及 not 举行连接,从而可构成比较复杂的前提表达式。比方,host foo and not port ftp and not port ftp-data (nt:其过滤前提可明白为,数据包的主机为foo,而且端口不是ftp(端口21) 和ftp-data(端口20,经常运用端口和名字的对应可在linux 体系中的/etc/service 文件中找到))。

为了示意轻易,一样的修饰符能够被省略,如 tcp dst port ftp or ftp-data or domain 与以下的表达式寄义雷同 tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain。(nt:其过滤前提可明白为:包的协定为tcp,目标端口为ftp 或 ftp-data 或 domain(端口53) )。

 

 

PBFT算法java实现

参与评论