tcpdump抓包 tcpdump抓包工具使用 一、 Tcpdump的安装 yum -y install tcpdump tar xvfz tcpdump-3_4a5.tar.Z vi Makefile.in . /configure make make install 二、常见抓包方式 1、tcpdump的选项 tcpdump采用命令行方式，它的命令格式为： tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ] [ -T 类型 ] [ -w 文件名 ] [表达式 ] 抓包选项： -c：在捕获指定个数的数据包后退出。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。 -i：interface，指定监听的网络接口。若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)， ：一旦找到第一个符合条件的接口，搜寻马上结束。可以使用’any’关键字表示所有网络接口。 -n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析（DNS查询）。 -nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。（以ip和port的方式显示来源主机和目的主机，而不是用主机名和服务） -N：不打印出host的域名部分。例如tcpdump将会打印’nic’而不是’nic.ddn.mil’。 -P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、“out"和"inout”，默认为"inout"。 -s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断， ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。但是抓取len越长，包的处理时间越长，并且会减少tcpdump可缓存的数据包的数量， ：从而会导致数据包的丢失，所以在能抓取我们想要的包的前提下，抓取长度越小越好。 输出选项： -e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。 -q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。 -X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。 -XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。 -v：输出较周详的信息，例如IP包中的TTL和服务类型信息。 -vv：产生比-v更详细的输出。 -vvv：产生比-vv更详细的输出。 功能性选项： -D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。 -F：从指定的文档中读取过滤规则，忽略命令行中指定的其他过滤规则。 -w：将截获的数据包直接写入指定的文档中，不对其进行分析和输出。可以同时配合"-G time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。 -r：从指定的文档中读取数据包(该文档一般通过-w选项产生)。使用"-"表示从标准输入中读取。 其他： -a 将网络地址和广播地址转变成容易识别的名字 -d 将已截获的数据包的代码以人容易理解的格式输出； -dd 将已截获的数据包的代码以C程式的格式输出； -ddd 将已截获的数据包的代码以十进制格式输出； -e 输出数据链路层的头部信息； -f 将internet地址以数字形式输出； -l 将标准输出变为行缓冲方式； -t 不输出时间戳； -T 将截获的数据包直接解释为指定类型的报文，现在支持的类型有cnfp、rpc、rtp、snmp、vat和wb。 　　　 2、tcpdump的表达式介绍 表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。 　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，net，port, 例如 host 192.168.2.2，指明 192.168.2.2是一台主机，net 192.168.2.0 指明 192.168.2.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host. 　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 192.168.2.2 ,指明ip包中源地址是192.168.2.2 , dst net 192.168.2.0 指明目的网络地址是192.168.2.0 。如果没有指明方向关键字，则缺省是src or dst关键字。 　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。 　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'||'； 　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。 　　　(1)想要截获所有192.168.2.1的主机收到的和发出的所有的数据包： 　　　　#tcpdump host 192.168.2.1 　　　(2) 想要截获主机192.168.2.1和主机192.168.2.2 或192.168.2.3的通信，使用命令：（在命令行中适用　　括号时，一定要 　　　　#tcpdump -i eth0 host 192.168.2.1 and \(192.168.2.2 or 192.168.2.3\) 　　　(3) 如果想要获取主机192.168.2.1除了和主机192.168.2.2之外所有主机通信的ip包，使用命令： 　　　　#tcpdump ip host 192.168.2.1 and ! 192.168.2.2 　　　(4)如果想要获取主机192.168.2.1接收或发出的telnet包，使用如下命令： 　　　　#tcpdump -i eth0 host 192.168.2.1 and port 23 在tcpdump中，使用net参数可以指定网络地址或子网地址。具体使用方法如下： tcpdump -i net 其中， 指定要监听的网络接口， 指定要捕获的网络地址或子网地址。 例如，如果要捕获所有传输到或从网络地址为192.168.2.0/24的子网的数据包，可以使用以下命令： tcpdump -i eth0 net 192.168.2.0/24 如果要捕获所有传输到或从IP地址为192.168.0.1的主机的数据包，可以使用以下命令： tcpdump -i eth0 net 192.168.2.1 使用net参数时，可以使用子网掩码指定网络地址的范围。例如，如果要捕获所有传输到或从10.0.0.0/8网络的数据包，可以使用以下命令： tcpdump -i eth0 net 10.0.0.0 mask 255.0.0.0 这将捕获所有源或目的地址为10.0.0.0到10.255.255.255之间的数据包。 　　3. tcpdump 的输出结果介绍 　　　下面我们介绍几种典型的tcpdump命令的输出信息 　　　(1) 数据链路层头信息 　　　使用命令#tcpdump --e host ice 　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A 　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条命令的输出结果如下所示： 21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.telne t 0:0(0) ack 22535 win 8760 (DF) 　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535 表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760. 　　(2) ARP包的TCPDUMP输出信息 　　　使用命令#tcpdump arp 　　　得到的输出结果是： 　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a) 　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a) 　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:58:af:1a是主机ICE的MAC地址。 　　(3) TCP包的输出信息 　　　用TCPDUMP捕获的TCP包的一般输出信息是： 　　src > dst: flags data-seqno ack window urgent options 　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (FIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. Options是选项. 　　(4) UDP包的输出信息 　　　用TCPDUMP捕获的UDP包的一般输出信息是： 　　route.port1 > ice.port2: udp lenth 　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机ICE的port2端口，类型是UDP， 包的长度是lenth 　　 4、tcpdump示例 tcpdump只能抓取流经本机的数据包，一般有三个类型，比如指定地址，指定协议，或者指定网卡。 tcpdump -i eth0 host 192.168.2.100 and port 7779 -w test.pcap tcpdump -i any udp and port 6662 -nnA //直接显示报文(JSON格式可用) //16进制显示 tcpdump -i any udp port 6005 -nn -xx //抓取所有经过 7777端口，源地址是 192.168.2.100 的网络数据() tcpdump -i any src host 192.168.2.100 and port 7777 -nnA tcpdump -i any dst host 192.168.2.100 and port 7777 -nnA //ipv6 tcpdump icmp6 -XX tcpdump ip6 proto 6 tcpdump -i ens32 ip6 proto 6 -w server_ipv6.pcap 5、过滤主机 //抓取所有经过 eth0，目的或源地址是 192.168.1.70 的网络数据 tcpdump -i eth0 host 192.168.1.70 //抓取所有经过 eth0，源地址是 192.168.1.70 的网络数据 tcpdump -i eth0 src host 192.168.1.70 //抓取所有经过 eth0，目的地址是 192.168.1.70 的网络数据 tcpdump -i eth0 dst host 192.168.1.70 6、过滤端口 //抓取所有经过 eth0，目的或源端口是 22 的网络数据 tcpdump -i eth0 port 22 //抓取所有经过 eth0，源端口是 22 的网络数据 tcpdump -i eth0 src port 22 //抓取所有经过 eth0，目的端口是 22 的网络数据 tcpdump -i eth0 dst port 22 7、过滤协议 tcpdump -i eth0 tcp tcpdump -i eth0 udp tcpdump -i eth0 ip tcpdump -i eth0 icmp tcpdump -i eth0 arp 8、常用表达式 在tcpdump的过滤表达式中，各类关键字之间还能够通过布尔运算符来构成组合表达式，以满足实际运用时的需要。 布尔运算符包括取非运算符(not 或!)、和运算符(and或&&)、或运算符(or或||)，使用布尔运算符能够将表达式组合起来构成强大的组合条件，从而能够对 Tcpdump的过滤器做进一步细化。 //抓取所有经过 eth0，目的地址是 192.168.2.254 或 192.168.2.100 端口是 80 的 TCP 数据 tcpdump -i eth0 '((tcp) and (port 80) and ((dst host 192.168.2.254) or (dst host 192.168.2.100)))' //抓取所有经过 eth0，目标 MAC 地址是 00:01:02:03:04:05 的 ICMP 数据 tcpdump -i eth0 '((icmp) and ((ether dst host 00:01:02:03:04:05)))' //抓取所有经过 eth0，目的网络是 192.168，但目的主机不是 192.168.2.100 的 TCP 数据 tcpdump -i eth0 '((tcp) and ((dst net 192.168) and (not dst host 192.168.2.100)))' 9、tcpdump的过滤表达式 表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有的数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。 tcpdump的表达式由一个或多个"单元"组成，每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符： 1、type：类型关键字，指定ID的类型。 可以给定的值有host、net、port、portrange，用于指定主机、网络或端口。例如，能够用“host 192.168.2.100”来标明监听的主机；用“net 192.168.2.0”来标明监听的网络；用“port 23”来标明监听的端口。假如没有在表达式中指明类型，则缺省的类型为host。 2、dir：方向关键字，指定ID的方向。 可以给定的值包括src、dst、src or dst、src and dst，用于指定截获的方向，默认为src or dst。例如，能够用src 9.185.10.57来指明截获的数据包中的源主机地址；用“dst net 9.185.0.0”来指明截获的数据包中的目标网络地址；用"src or dst port 22"表示源或目的端口为22的数据包。假如没有在表达式中指明方向，则缺省的方向为“dst or src”，即两个方向的数据包都将被捕获。对于数据链路层协议(如SLIP和PPP)，使用inbound和outbound来定义方向。 3、proto：协议关键字，通过给定协议限定匹配的数据包类型。 用于指定要截获的数据包所属的协议，包括tcp、udp、arp、ip、ip6、ether、fddi、tr、ip6、arp、rarp、decnet等关键字，若未给定协议类型，则匹配所有可能的类型。例如"tcp port 21"，“udp portrange 7000-7009”。 10、在嵌入式设备中使用tcpdump 准备好tcpdump可执行文件和依赖库（如：libpcap.so.1），通过nfs挂载，将依赖库libpcap.so.1拷贝到/usr/lib目录下，之后再执行tcpdump。 通过tcpdump+Wireshark进行抓包和数据分析； 例如： tcpdump -i eth0 -w test.cap tcpdump -i wlan0 -w 10.175.25.100.pcap tcpdump -i wlan0 -nn 'host 228.228.228.228' -w test.pcap 11、抓包循环写入文件 #循环10个文件、每个文件20M tcpdump -i any -C 20 -W 10 -w 7777.pcap port 7777 OPTIONS（选项） -i参数：指定抓包的网口 -C参数：指定了抓包文件的大小（单位1,000,000字节）。当文件写满后会在新打开一个文件，文件名是在-w参数指定的名字后增加后缀1，2，3……。当执行以下命令后，会生成t.pcap，t.pcap1，t.pcap2… -W参数：与-C参数一起使用时，可以达到循环写入文件的作用。当执行以下命令后，会生成a.pcap00，a.pcap01…… tcpdump -i eth0 -C 1 -w t.pcap tcpdump -i eth0 -C 5 -W 20 -w a.pcap expression：表达式为真的包才会被抓取，无表达式时抓取所有包。以下指令表达式会只抓取源ip地址为192.168.2.100，且目的端口为9999的数据包 tcpdump -i eth0 -C 5 -W 20 -w a.pcap src host 192.168.2.100 and dst port 9999 12、tcpdump按进出方向抓包 tcpdump抓取进入网卡的包，或者出网卡的包。 #抓进入网卡的包 tcpdump -i wlan0 -nn -xx " inbound " #抓出网卡的包 tcpdump -i wlan0 -nn -xx " outbound "