使用tcpdump抓包

tcpdump 是一款开源的命令行数据包分析获取软件，它有着丰富的功能，通常我们可以在使用网易云 linux 服务器上使用他进行网络故障的分析，可以输出 wireshark 支持的 pcap 文件打开在图形化界面查看。

tcpdump可以指定关键字加各种条件判断进行过滤:

  • 第一种是关于类型的关键字，主要包括host，net，port, 例如 host 10.27.48.2，指明 10.27.48.2是一台主机，net 201.0.0.0 指明 201.0.0.0是一个网络地址，port 80 指明端口号是80。如果没有指定类型，缺省的类型是host。
  • 第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 10.27.48.2 ,指明ip包中源地址是10.27.48.2 , dst net 20.0.0.0 指明目的网络地址是20.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。
  • 第三种是协议的关键字，主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定 的网络协议，实际上它是”ether”的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和 分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。

除了这三种类型的关键字之外，其他重要的关键字如下：gateway、broadcast、less、greater还有三种逻辑运算，取非运算是 ‘not ‘ ‘! ‘, 与运算是’and’,’&&或运算是’or’ ,’||’；这些关键字可以组合起来构成强大的组合条件来满足人们的需要。

安装

1.centos

yum -y install tcpdump

2.ubuntu

sudo apt-get install tcpdump

案例讲解

案例1:

tcpdump -i eth1 -c 10

-i 指定接口 -c 只打印10个数据包

其中

10 packets captured 表示捕捉数据包的数量
10 packets received by filter 过滤后所得的报数
0 packets dropped by kernel 被内核丢弃的包数量

如图所示:

案例2:

tcpdump -i eth1 -c 10 host 115.231.100.10

host ip_address 只输出指定 host 的数据包

tcpdump -i eth1 -c 10 host 115.231.100.10 -s0 -w /home/fangwenjun/tcp.pcap

保存为 wireshark 可以打开的格式，-s0 表示输出完整的报文头，防止被截断。

tcpdump host 210.27.48.1 and / (210.27.48.2 or 210.27.48.3 /)

截取 210.27.48.1 和210.27.48.2 或 210.27.48.1 和 210.27.48.3 之间的数据包

tcpdump -i eth1 host 115.231.100.10 -s0 -c 100 and tcp port 80 or 443

打印指定host 的80和443端口的数据包

17:05:26.738783 IP spider-141-8-142-49.yandex.com.44018 > 121.42.148.6.https: Flags [.], ack 1466937074, win 122, options [nop,nop,TS val 3216080543 ecr 96181242], length 0
17:05:26.738831 IP spider-141-8-142-49.yandex.com.44018 > 121.42.148.6.https: Flags [.], ack 1399, win 132, options [nop,nop,TS val 3216080543 ecr 96181242], length 0
17:05:26.738839 IP spider-141-8-142-49.yandex.com.44018 > 121.42.148.6.https: Flags [.], ack 1510, win 132, options [nop,nop,TS val 3216080543 ecr 96181242], length 0

如果加上-nn 参数则不会解析常用端口所对应的协议，例如 http 会变成80 https 会变成443

tcpdump -i eth1 host 115.231.100.10 -s0 -c 100 and tcp port 80 or 443 -nn

-q 参数会显示比较短的数据包信息，如下

# tcpdump -i eth1 host 115.231.100.10 -s0 -c 100 and tcp port 80 or 443 -nn -q
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
17:11:03.670618 IP 115.231.100.10.62036 > 121.42.148.6.443: tcp 77
17:11:03.670670 IP 121.42.148.6.443 > 115.231.100.10.62036: tcp 0
17:11:03.670681 IP 115.231.100.10.62036 > 121.42.148.6.443: tcp 46
17:11:03.670687 IP 121.42.148.6.443 > 115.231.100.10.62036: tcp 0
17:11:03.670956 IP 121.42.148.6.443 > 115.231.100.10.62036: tcp 46
17:11:03.698967 IP 115.231.100.10.62036 > 121.42.148.6.443: tcp 0

然后，我们看-e 参数

tcpdump -i eth1 host 115.231.100.10 -s0 -c 100 and tcp port 80 or 443 -nn -qe

-e 参数会使用二层的 mac 地址输出信息，例如

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
 listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
 17:13:53.002550 ee:ff:ff:ff:ff:ff > 00:16:3e:00:29:6d, IPv4, length 143: 115.231.100.10.62036 > 121.42.148.6.443: tcp 77
 17:13:53.002731 ee:ff:ff:ff:ff:ff > 00:16:3e:00:29:6d, IPv4, length 112: 115.231.100.10.62036 > 121.42.148.6443: tcp 46

我们继续看

tcpdump -i eth1 host 115.231.100.10 -s0 -c 10 and tcp port 80 or 443 -nn -X

-X参数，会打印16位进制（hex）以及 ASCII 的封包內容

如图所示: