Linux 基礎(chǔ)教程 29-tcpdump命令-1

? ? 在Linux中輸入命令man tcpdump給出的定義如下所示：

創(chuàng)新互聯(lián)專注于古雷港企業(yè)網(wǎng)站建設(shè),成都響應(yīng)式網(wǎng)站建設(shè)公司,商城開(kāi)發(fā)。古雷港網(wǎng)站建設(shè)公司,為古雷港等地區(qū)提供建站服務(wù)。全流程按需開(kāi)發(fā)，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，創(chuàng)新互聯(lián)專業(yè)和態(tài)度為您提供的服務(wù)

是不是感覺(jué)很懵？我們用通俗、形象、學(xué)術(shù)的表達(dá)方式來(lái)全方位描述tcpdump:

常用選項(xiàng)如下所示：

1、第一個(gè)抓包示例

-i : 指定用來(lái)抓包的網(wǎng)絡(luò)接口，這個(gè)參數(shù)在服務(wù)器有多個(gè)網(wǎng)卡的時(shí)候非常有效

-nn : 不轉(zhuǎn)換協(xié)議和端口號(hào)，當(dāng)tcpdump遇到協(xié)議號(hào)或端口號(hào)，不需要將這些數(shù)字轉(zhuǎn)換為對(duì)應(yīng)的協(xié)議名稱或端口名稱，如22端口SSH端口，我們希望顯示22，而非SSH

-X : 將協(xié)議頭和包內(nèi)容原原本本的顯示出來(lái),tcpdump會(huì)同時(shí)以16進(jìn)制和ASCII的形式進(jìn)行顯示，在協(xié)議分析時(shí)非常好用。

'port 22' : 告訴tcpdump要有選擇的顯示所抓到的包，在該示例中，只顯示源端口或目的端口是22的數(shù)據(jù)包，其他的數(shù)據(jù)包則不顯示。

-c : 用來(lái)指定抓包的個(gè)數(shù)，示例設(shè)置的個(gè)數(shù)為1，則代表僅抓取一個(gè)包之后就退出不再抓包了。

2、-e 增加數(shù)據(jù)鏈路層的頭部信息

? ? 通過(guò)兩個(gè)命令的輸出對(duì)比，可以看到增加-e選項(xiàng)后，輸出的結(jié)果中增加MAC地址信息。而且在輸出內(nèi)容中會(huì)有 oui Unknown ，OUI即Organizationally unique identifier(組織唯一標(biāo)識(shí)符)，在任何一塊網(wǎng)卡中燒錄的6字節(jié)MAC地址中，前3個(gè)字節(jié)體現(xiàn)了OUI，其表明了網(wǎng)卡的制造組織，通常情況下，該標(biāo)識(shí)符是唯一的。在本例中，由于沒(méi)有識(shí)別出網(wǎng)卡的制造商，因此顯示為Unknown。

3、-l 將輸出變?yōu)樾芯彌_模式

? ? -l的作用是將tcpdump的輸出行為變?yōu)?行緩沖 方式，這樣可以保證tcpdump遇到換行符，就立即將緩沖的內(nèi)容輸出到標(biāo)準(zhǔn)輸出(stdout)，方便利用管道或重定向方式進(jìn)行后續(xù)處理，而不會(huì)造成延遲。

? ? 在Linux的標(biāo)準(zhǔn)I/O中提供了 全緩沖 、 行緩沖 、 無(wú)緩沖 三種緩沖方式。標(biāo)準(zhǔn)錯(cuò)誤是不帶緩沖的，而終端設(shè)備常為行緩沖，其他默認(rèn)則為全緩沖。

? ? 在該例中，將tcpdump輸出的內(nèi)容通過(guò)管道提取第5列，可以用來(lái)查看詳細(xì)的連接信息。而如果不加 -l 選項(xiàng)時(shí)，則只有當(dāng)緩沖區(qū)全部占滿時(shí)，tcpdump才會(huì)將緩沖區(qū)中的內(nèi)容輸出，這樣就有可能導(dǎo)致輸出不連續(xù)的，如果強(qiáng)行結(jié)束，則會(huì)影響下一行的完整性。

4、-t 輸出不加時(shí)間戳

? ? 在增加選項(xiàng) -t 選項(xiàng)后，時(shí)間23:48:03.193526就消失了。tcpdump默認(rèn)情況下是按微秒來(lái)計(jì)時(shí)，因此最一個(gè)時(shí)間精確到了第6位。

5、 -v 顯示詳細(xì)信息

? ? 在增加 -v 選項(xiàng)后，會(huì)在輸出的內(nèi)容中增加 tos 、 ttl 、 id 、 offset 、 協(xié)議編號(hào) 、 總長(zhǎng)度 等，如需要理解這些信息，就需要了解TCP/IP協(xié)議中的頭的具體定義了。

6、-F 指定過(guò)濾表達(dá)式所在的文件

? ? 在第一個(gè)示例中，命令行增加了 'port 22' ，而這一項(xiàng)就叫 過(guò)濾條件 ，如果設(shè)置了過(guò)濾條件，則tcpdump只抓取滿足過(guò)濾條件的數(shù)據(jù)包。如需要設(shè)置較為復(fù)雜的過(guò)濾條件或復(fù)用過(guò)濾條件時(shí)，這時(shí)可以將過(guò)濾條件保存為文件，然后通過(guò)-F加載該過(guò)濾文件。

7、 -w 將原始數(shù)據(jù)包信息保存到文件中

? ? 當(dāng)我們查看保存的文件時(shí)，出現(xiàn)的是亂碼。則代表無(wú)法直接查看，很有可能是二進(jìn)制文件。那么怎么查看保存的文件了？請(qǐng)看下一個(gè)示例。

7、 -r 從文件中讀取原始數(shù)據(jù)包

? ? 通過(guò)-w和-r選項(xiàng)即可實(shí)現(xiàn)抓包的錄制回放功能。

Linux 系統(tǒng)掃描nmap與tcpdump抓包

NMAP掃描

一款強(qiáng)大的網(wǎng)絡(luò)探測(cè)利器工具

支持多種探測(cè)技術(shù)

--ping掃描

--多端口掃描

-- TCP/IP指紋校驗(yàn)

為什么需要掃描?

以獲取一些公開(kāi)/非公開(kāi)信息為目的

--檢測(cè)潛在風(fēng)險(xiǎn)

--查找可攻擊目標(biāo)

--收集設(shè)備/主機(jī)/系統(tǒng)/軟件信息

--發(fā)現(xiàn)可利用的安全漏洞

基本用法

nmap [掃描類型] [選項(xiàng)] 掃描目標(biāo)...

常用的掃描類型

常用選項(xiàng)

-sS TCP SYN掃描(半開(kāi)) 該方式發(fā)送SYN到目標(biāo)端口，如果收到SYN/ACK回復(fù)，那么判斷端口是開(kāi)放的；如果收到RST包，說(shuō)明該端口是關(guān)閉的。簡(jiǎn)單理解就是3次握手只完成一半就可以判斷端口是否打開(kāi),提高掃描速度

-sT TCP 連接掃描(全開(kāi))

-sU UDP掃描

-sP ICMP掃描

-sV 探測(cè)打開(kāi)的端口對(duì)應(yīng)的服務(wù)版本信息

-A 目標(biāo)系統(tǒng)全面分析 (可能會(huì)比較慢)

-p 掃描指定端口

1 ) 檢查目標(biāo)主機(jī)是否能ping通

2）檢查目標(biāo)主機(jī)所開(kāi)啟的TCP服務(wù)

3 ) 檢查192.168.4.0/24網(wǎng)段內(nèi)哪些主機(jī)開(kāi)啟了FTP、SSH服務(wù)

4）檢查目標(biāo)主機(jī)所開(kāi)啟的UDP服務(wù)

5 ) 探測(cè)打開(kāi)的端口對(duì)應(yīng)的服務(wù)版本信息

6）全面分析目標(biāo)主機(jī)192.168.4.100的操作系統(tǒng)信息

tcpdump

命令行抓取數(shù)據(jù)包工具

基本用法

tcpdump [選項(xiàng)] [過(guò)濾條件]

常見(jiàn)監(jiān)控選項(xiàng)

-i，指定監(jiān)控的網(wǎng)絡(luò)接口（默認(rèn)監(jiān)聽(tīng)第一個(gè)網(wǎng)卡）

-A，轉(zhuǎn)換為 ACSII 碼，以方便閱讀

-w，將數(shù)據(jù)包信息保存到指定文件

-r，從指定文件讀取數(shù)據(jù)包信息

常用的過(guò)濾條件：

類型：host、net、port、portrange

方向：src、dst

協(xié)議：tcp、udp、ip、wlan、arp、……

多個(gè)條件組合：and、or、not

案例1

案例2:使用tcpdump分析FTP訪問(wèn)中的明文交換信息

1 ) 安裝部署vsftpd服務(wù)

2 ) 并啟動(dòng)tcpdump等待抓包

執(zhí)行tcpdump命令行，添加適當(dāng)?shù)倪^(guò)濾條件，只抓取訪問(wèn)主機(jī)192.168.4.100的21端口的數(shù)據(jù)通信 ，并轉(zhuǎn)換為ASCII碼格式的易讀文本。

3 ) case100作為客戶端訪問(wèn)case254服務(wù)端

4 ) 查看tcpdump抓包

5 ) 再次使用tcpdump抓包，使用-w選項(xiàng)可以將抓取的數(shù)據(jù)包另存為文件，方便后期慢慢分析。

6 ) tcpdump命令的-r選項(xiàng)，可以去讀之前抓取的歷史數(shù)據(jù)文件

linux系統(tǒng)下如何查看數(shù)據(jù)包

linux上有兩種比較好的抓包工具：ethereal和tcpdump

對(duì)于ethereal，有圖形界面和字符界面兩種方式。

到linux系統(tǒng)上執(zhí)行rpm -qa | grep ethereal-gnome可查看是否安裝了圖形版本

但是如果服務(wù)器上沒(méi)有xwin圖形環(huán)境，那么就只能用字符界面了

命令：tethereal

可選參數(shù)：-V、-f

如果只執(zhí)行tethereal，那么將只抓取數(shù)據(jù)包的包頭，不顯示里邊的內(nèi)容。加上-V參數(shù)后，即可顯示內(nèi)容。

-f 參數(shù)用于過(guò)濾，默認(rèn)情況下將抓取tcp和udp所有協(xié)議。

如果想抓取UDP數(shù)據(jù)包并顯示內(nèi)容，則執(zhí)行tethereal -V -f udp 即可

另外還可以配合grep命令提取需要的關(guān)鍵內(nèi)容

tcudump命令是另外一個(gè)有用的工具，只能在字符下使用，

tcpdump -n -nn -vv -XX -tttt -c 10 -e

參數(shù)：

-n：數(shù)字端口

-nn：數(shù)字地址

-vv：輸出詳細(xì)信息

-c：抓取包的數(shù)量

-e：打印以太網(wǎng)報(bào)頭信息

-i：選擇適配器

linux怎么抓tcpdump的數(shù)據(jù)包

linux下有命令可直接執(zhí)行抓包的，命令如下：1、tcpdump -vv -i ethN -s 10240 -w /root/abc.cap host ip

2、上述命令中，ethN,是你要抓的本機(jī)網(wǎng)卡，一般是eth0,可使用ifconfig查看使用的哪個(gè)網(wǎng)卡

-s 指定的是抓包數(shù)量 -w指定的是抓到的包寫到哪個(gè)位置 host ip即為抓取哪個(gè)ip 的包

linux抓指令從哪個(gè)網(wǎng)卡發(fā)送

linux抓包命令是“tcpdump”

，可以抓取流動(dòng)在網(wǎng)卡上的數(shù)據(jù)包，可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來(lái)提供分析；它支持針對(duì)網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過(guò)濾，并提供and、or、not等邏輯語(yǔ)句來(lái)幫助你去掉無(wú)用的信息。

在linux命令行環(huán)境下如何抓取網(wǎng)絡(luò)數(shù)據(jù)包？

? 眾所周知，在Windows下開(kāi)發(fā)運(yùn)行環(huán)境下，在調(diào)試網(wǎng)絡(luò)環(huán)境時(shí)，可以可以很方便的借助wireshark等軟件進(jìn)行抓包分析；并且在linux或者Ubuntu等桌面版里也可以進(jìn)行安裝抓包工具進(jìn)行抓包分析，但總有一些情況，無(wú)法直接運(yùn)用工具（比如一些沒(méi)有界面的linux環(huán)境系統(tǒng)中），則此時(shí)我們就需要使用到最簡(jiǎn)單的tcpdump命令進(jìn)行網(wǎng)絡(luò)抓包。

? 一般的，linux下抓包時(shí)，抓取特定的網(wǎng)絡(luò)數(shù)據(jù)包到當(dāng)前文件夾下的文件中，再把文件拷貝出來(lái)利用Windows下的wireshark軟件進(jìn)行分析。

tcpdump命令詳解：（簡(jiǎn)單舉例）

? 1、抓取到的文件為filename.cap，然后將此文件拷貝到Windows下，使用wireshar打開(kāi)后，即可對(duì)此文件進(jìn)行分析。

? 2、eth0 是主機(jī)的網(wǎng)絡(luò)適配器名稱，具體的參數(shù)值可以在linux命令行窗口中通過(guò) ifconfig 指令查詢。