tcpdump用法详解
时间:2006-06-25 14:23:47 来源:本站搜集整理 作者:Eric
第一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host.
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。
第三种是协议的关键字，主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定 的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和 分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。
普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包。
# tcpdump
tcpdump: listening on fxp0
11:58:47.873028 202.102.245.40.netbios-ns > 202.102.245.127.netbios-ns: udp 50
11:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1d ui/C len=43
0000 0000 0080 0000 1007 cf08 0900 0000
0e80 0000 902b 4695 0980 8701 0014 0002
000f 0000 902b 4695 0008 00
11:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0 ui/C len=97
ffff 0060 0004 ffff ffff ffff ffff ffff
0452 ffff ffff 0000 e85b 6d85 4008 0002
0640 4d41 5354 4552 5f57 4542 0000 0000
0000 00
使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用，
使用-c参数指定要监听的数据包数量，
使用-w参数指定将监听到的数据包写入文件中保存
A想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
#tcpdump host 210.27.48.1
B想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中适用 括号时，一定要
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
C如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
D如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
E 对本机的udp 123 端口进行监视 123 为ntp的服务端口
# tcpdump udp port 123
F 系统将只对名为hostname的主机的通信数据包进行监视。主机名可以是本地主机，也可以是网络上的任何一台计算机。下面的命令可以读取主机hostname发送的所有数据：
#tcpdump -i eth0 src host hostname
G 下面的命令可以监视所有送到主机hostname的数据包：
#tcpdump -i eth0 dst host hostname
H 我们还可以监视通过指定网关的数据包：
#tcpdump -i eth0 gateway Gatewayname
I 如果你还想监视编址到指定端口的TCP或UDP数据包，那么执行以下命令：
#tcpdump -i eth0 host hostname and port 80
J 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
K 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用 括号时，一定要
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
L 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
M 如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,
greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
r' ,'||'；
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,
如果我们只需要列出送到80端口的数据包，用dst port；如果我们只希望看到返回80端口的数据包，用src port。
#tcpdump –i eth0 host hostname and dst port 80 目的端口是80
或者
#tcpdump –i eth0 host hostname and src port 80 源端口是80 一般是提供http的服务的主机
如果条件很多的话 要在条件之前加and 或 or 或 not
#tcpdump -i eth0 host ! 211.161.223.70 and ! 211.161.223.71 and dst port 80
如果在ethernet 使用混杂模式 系统的日志将会记录
May 7 20:03:46 localhost kernel: eth0: Promiscuous mode enabled.
May 7 20:03:46 localhost kernel: device eth0 entered promiscuous mode
May 7 20:03:57 localhost kernel: device eth0 left promiscuous mode
tcpdump对截获的数据并没有进行彻底解码，数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障，通常的解决办法是先使用带-w参数的tcpdump 截获数据并保存到文件中，然后再使用其他程序进行解码分析。当然也应该定义过滤规则，以避免捕获的数据包填满整个硬盘。
其实LZ 只说明了过滤语句的用法，没有将很重要另外一个参数说明，也就是说，如果这个参数不设置正确，会导致包数据的丢失！
它就是-s 参数，snaplen, 也就是数据包的截取长度，仔细看man就会明白的！默认截取长度为60个字节，但一般ethernet MTU都是1500字节。所以，要抓取大于60字节的包时，使用默认参数就会导致包数据丢失！
只要使用-s 0就可以按包长，截取数据！
各位有兴趣，我可以多说一点。
LZ所说的这个格式有一个业界标准，称作bpf (Berkeley Packet Filter)包过滤语言。现在有很多抓包工具支持这个标准。包扩ethereal的capture filter, 注意不是displayfilter, 因为ethereal的display filter 使用了近似于C/C 表达式的另一套自己的表达方式。
其实，如果各位使用过libpcap的，就知道，所有的libpcap都需要snaplen 这个参数设定才能抓到整个的包数据。那如果不熟悉C/C 怎么办?，没关系那也可以结合tcpdump -xls 0 命令行加管道导向到Awk的程序来自己解析IP数据包并分析应用层的数据。如果用tcpdump Perl的话，更可以经过简单的包数据重构，方便地组成NetPacket模块能自动识别的包数据，让现成的NetPacket模块自动解析和分析底层的IP和TCP/UDP层数据包。而你则只要懂得gawk/nawk或Perl就可以简单的自己编程来解析非标的应用层的数据了。注意，这里我并没有使用perl 的libpcap兼容模块，而是直接用tcpdump替代了。这样对Perl模块的要求降得比较低了，如果遇到非标的协议，就是不会C/C , 没装抓包的perl模块，也可以通过自己编程来解析数剧包了！
现在的抓包工具，都不能正确显示汉字，而在实际工作中，也可以通过其他方法弥补，这个不足。如果真需要这么做，那就需要自己解包了。如果想查看HTTP协议中的东西，在客户端IE中装一个HTTP协议查看工具插件就可以了，这样即可以看协议头，又可以看内容。要么在服务器端装支持相应编码的代理，然后dump数据。
to zenith518:
还好的是可以通过hex value来查包中的汉字。我是先在linux上边tcpdump出完整的package data，然后呢，将文件down到windows上来用ethereal来做查看的。
我不是很理解你所说的 '要么在服务器端装支持相应编码的代理，然后dump数据。
你说的编码的代理，我觉得这个与整个网页的charset是有关系的。可能是不同的charset,gb2312,unicode或是gbk之类的。很难理解你说的编码的代理是什么东东？
我想ethereal就是没有去分析每个包应该用什么来charset来做显示，所以都以ascii来显示了。所以汉字就显示不出来。
要想ethereal知道使用什么样的charset显示，那么就需要联系其他包里的charset设置来做显示，看来ethereal目前还没这么做，就只是简单的显示ascii。
你的回答非常好，讲出了思路，比较开阔。另外，perl确实是个好东东。
如果是HTTP协议，那么查看数据包的方法就很多了，
1. 首先可以用tcpdump -Xls 0 ,(注意X 是upcase) 来同时看ASCII和HexDump，这个和solaris的snoop的命令行可以达到类似的效果。可以避免数据包当来当去的麻烦！
2. 还可以使用自己编写的Proxy(市面上有很多OpenSource的冬冬，稍做修改就可以用了，应尽量找跨平台的冬冬为好)，挡在真正的服务器前面，在做转发的同时，截获客户端和服务器之间的对话。并同时按正确的charset(从HTTP头上应该可以获取到正确的charset的定义)打出请求和回应数据的Log，就可以了。
ethereal 能支持很多应用层的协议，好像网站上说有一千多种，这样我们就不担心了，ethereal会自动识别的。
大家还可以分析msn messenger和qq的传输协议，呵呵，我就是看中了他能自动判断应用层的协议
我发现通过tcpdump加上-X的参数之后，直接倒成一个ascii的文件，然后你选择适合的工具来查看该文件就可以了。这样子的话，看汉字就没有问题了，直接按汉字搜索就可以了。
记事本看gb2312是没有问题的，当然ULTRAEDIT看LINUX上那些回车符就更加的方便。
不知大家是否同意我的观点！？
再次感谢ZENITH518！其实这个工作通过PERL可以很随意的较完美的来做！只是偷懒，想尽量的简单！
我需要再看看TCPDUMP的帮助，里边讲得很不错！另外，明天再看能否截获到MSN出去的字符，如果客户端加了密，就什么都不行了。
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。
第三种是协议的关键字，主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定 的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和 分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。
普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包。
# tcpdump
tcpdump: listening on fxp0
11:58:47.873028 202.102.245.40.netbios-ns > 202.102.245.127.netbios-ns: udp 50
11:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1d ui/C len=43
0000 0000 0080 0000 1007 cf08 0900 0000
0e80 0000 902b 4695 0980 8701 0014 0002
000f 0000 902b 4695 0008 00
11:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0 ui/C len=97
ffff 0060 0004 ffff ffff ffff ffff ffff
0452 ffff ffff 0000 e85b 6d85 4008 0002
0640 4d41 5354 4552 5f57 4542 0000 0000
0000 00
使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用，
使用-c参数指定要监听的数据包数量，
使用-w参数指定将监听到的数据包写入文件中保存
A想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
#tcpdump host 210.27.48.1
B想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中适用 括号时，一定要
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
C如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
D如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
E 对本机的udp 123 端口进行监视 123 为ntp的服务端口
# tcpdump udp port 123
F 系统将只对名为hostname的主机的通信数据包进行监视。主机名可以是本地主机，也可以是网络上的任何一台计算机。下面的命令可以读取主机hostname发送的所有数据：
#tcpdump -i eth0 src host hostname
G 下面的命令可以监视所有送到主机hostname的数据包：
#tcpdump -i eth0 dst host hostname
H 我们还可以监视通过指定网关的数据包：
#tcpdump -i eth0 gateway Gatewayname
I 如果你还想监视编址到指定端口的TCP或UDP数据包，那么执行以下命令：
#tcpdump -i eth0 host hostname and port 80
J 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
K 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用 括号时，一定要
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
L 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
M 如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,
greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
r' ,'||'；
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,
如果我们只需要列出送到80端口的数据包，用dst port；如果我们只希望看到返回80端口的数据包，用src port。
#tcpdump –i eth0 host hostname and dst port 80 目的端口是80
或者
#tcpdump –i eth0 host hostname and src port 80 源端口是80 一般是提供http的服务的主机
如果条件很多的话 要在条件之前加and 或 or 或 not
#tcpdump -i eth0 host ! 211.161.223.70 and ! 211.161.223.71 and dst port 80
如果在ethernet 使用混杂模式 系统的日志将会记录
May 7 20:03:46 localhost kernel: eth0: Promiscuous mode enabled.
May 7 20:03:46 localhost kernel: device eth0 entered promiscuous mode
May 7 20:03:57 localhost kernel: device eth0 left promiscuous mode
tcpdump对截获的数据并没有进行彻底解码，数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障，通常的解决办法是先使用带-w参数的tcpdump 截获数据并保存到文件中，然后再使用其他程序进行解码分析。当然也应该定义过滤规则，以避免捕获的数据包填满整个硬盘。
其实LZ 只说明了过滤语句的用法，没有将很重要另外一个参数说明，也就是说，如果这个参数不设置正确，会导致包数据的丢失！
它就是-s 参数，snaplen, 也就是数据包的截取长度，仔细看man就会明白的！默认截取长度为60个字节，但一般ethernet MTU都是1500字节。所以，要抓取大于60字节的包时，使用默认参数就会导致包数据丢失！
只要使用-s 0就可以按包长，截取数据！
各位有兴趣，我可以多说一点。
LZ所说的这个格式有一个业界标准，称作bpf (Berkeley Packet Filter)包过滤语言。现在有很多抓包工具支持这个标准。包扩ethereal的capture filter, 注意不是displayfilter, 因为ethereal的display filter 使用了近似于C/C 表达式的另一套自己的表达方式。
其实，如果各位使用过libpcap的，就知道，所有的libpcap都需要snaplen 这个参数设定才能抓到整个的包数据。那如果不熟悉C/C 怎么办?，没关系那也可以结合tcpdump -xls 0 命令行加管道导向到Awk的程序来自己解析IP数据包并分析应用层的数据。如果用tcpdump Perl的话，更可以经过简单的包数据重构，方便地组成NetPacket模块能自动识别的包数据，让现成的NetPacket模块自动解析和分析底层的IP和TCP/UDP层数据包。而你则只要懂得gawk/nawk或Perl就可以简单的自己编程来解析非标的应用层的数据了。注意，这里我并没有使用perl 的libpcap兼容模块，而是直接用tcpdump替代了。这样对Perl模块的要求降得比较低了，如果遇到非标的协议，就是不会C/C , 没装抓包的perl模块，也可以通过自己编程来解析数剧包了！
现在的抓包工具，都不能正确显示汉字，而在实际工作中，也可以通过其他方法弥补，这个不足。如果真需要这么做，那就需要自己解包了。如果想查看HTTP协议中的东西，在客户端IE中装一个HTTP协议查看工具插件就可以了，这样即可以看协议头，又可以看内容。要么在服务器端装支持相应编码的代理，然后dump数据。
to zenith518:
还好的是可以通过hex value来查包中的汉字。我是先在linux上边tcpdump出完整的package data，然后呢，将文件down到windows上来用ethereal来做查看的。
我不是很理解你所说的 '要么在服务器端装支持相应编码的代理，然后dump数据。
你说的编码的代理，我觉得这个与整个网页的charset是有关系的。可能是不同的charset,gb2312,unicode或是gbk之类的。很难理解你说的编码的代理是什么东东？
我想ethereal就是没有去分析每个包应该用什么来charset来做显示，所以都以ascii来显示了。所以汉字就显示不出来。
要想ethereal知道使用什么样的charset显示，那么就需要联系其他包里的charset设置来做显示，看来ethereal目前还没这么做，就只是简单的显示ascii。
你的回答非常好，讲出了思路，比较开阔。另外，perl确实是个好东东。
如果是HTTP协议，那么查看数据包的方法就很多了，
1. 首先可以用tcpdump -Xls 0 ,(注意X 是upcase) 来同时看ASCII和HexDump，这个和solaris的snoop的命令行可以达到类似的效果。可以避免数据包当来当去的麻烦！
2. 还可以使用自己编写的Proxy(市面上有很多OpenSource的冬冬，稍做修改就可以用了，应尽量找跨平台的冬冬为好)，挡在真正的服务器前面，在做转发的同时，截获客户端和服务器之间的对话。并同时按正确的charset(从HTTP头上应该可以获取到正确的charset的定义)打出请求和回应数据的Log，就可以了。
ethereal 能支持很多应用层的协议，好像网站上说有一千多种，这样我们就不担心了，ethereal会自动识别的。
大家还可以分析msn messenger和qq的传输协议，呵呵，我就是看中了他能自动判断应用层的协议
我发现通过tcpdump加上-X的参数之后，直接倒成一个ascii的文件，然后你选择适合的工具来查看该文件就可以了。这样子的话，看汉字就没有问题了，直接按汉字搜索就可以了。
记事本看gb2312是没有问题的，当然ULTRAEDIT看LINUX上那些回车符就更加的方便。
不知大家是否同意我的观点！？
再次感谢ZENITH518！其实这个工作通过PERL可以很随意的较完美的来做！只是偷懒，想尽量的简单！
我需要再看看TCPDUMP的帮助，里边讲得很不错！另外，明天再看能否截获到MSN出去的字符，如果客户端加了密，就什么都不行了。
文章评论
共有 0 位网友发表了评论 此处只显示部分留言 点击查看完整评论页面