CentOS下如何使用tcpdump網(wǎng)絡抓包

下面由centos教程欄目給大家介紹CentOS下使用tcpdump網(wǎng)絡抓包的方法，希望對需要的朋友有所幫助！

tcpdump是Linux下的截獲分析網(wǎng)絡數(shù)據(jù)包的工具，對優(yōu)化系統(tǒng)性能有很大參考價值。

tcpdump不是默認安裝的，在CentOS下安裝：

在Ubuntu下安裝：

普通情況下，直接啟動tcpdump將監(jiān)視第一個網(wǎng)絡接口上所有流過的數(shù)據(jù)包。

監(jiān)視指定網(wǎng)絡接口的數(shù)據(jù)包(一定要查看網(wǎng)卡)

如果不指定網(wǎng)卡，默認tcpdump只會監(jiān)視第一個網(wǎng)絡接口，一般是eth0，下面的例子都沒有指定網(wǎng)絡接口。　

打印所有進入或離開sundown的數(shù)據(jù)包.

也可以指定ip,例如截獲所有210.27.48.1 的主機收到的和發(fā)出的所有的數(shù)據(jù)包

打印helios 與 hot 或者與 ace 之間通信的數(shù)據(jù)包

截獲主機210.27.48.1 和主機210.27.48.2 或210.27.48.3的通信

打印ace與任何其他主機之間通信的IP 數(shù)據(jù)包, 但不包括與helios之間的數(shù)據(jù)包.

如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包，使用命令：

截獲主機hostname發(fā)送的所有數(shù)據(jù)

監(jiān)視所有送到主機hostname的數(shù)據(jù)包

如果想要獲取主機210.27.48.1接收或發(fā)出的telnet包，使用如下命令

對本機的udp 123 端口進行監(jiān)視 123 為ntp的服務端口

打印本地主機與Berkeley網(wǎng)絡上的主機之間的所有通信數(shù)據(jù)包(nt: ucb-ether, 此處可理解為'Berkeley網(wǎng)絡'的網(wǎng)絡地址,此表達式最原始的含義可表達為: 打印網(wǎng)絡地址為ucb-ether的所有數(shù)據(jù)包)

打印所有通過網(wǎng)關snup的ftp數(shù)據(jù)包(注意, 表達式被單引號括起來了, 這可以防止shell對其中的括號進行錯誤解析)

打印所有源地址或目標地址是本地主機的IP數(shù)據(jù)包

(如果本地網(wǎng)絡通過網(wǎng)關連到了另一網(wǎng)絡, 則另一網(wǎng)絡并不能算作本地網(wǎng)絡.(nt: 此句翻譯曲折,需補充).localnet 實際使用時要真正替換成本地網(wǎng)絡的名字)

打印TCP會話中的的開始和結(jié)束數(shù)據(jù)包, 并且數(shù)據(jù)包的源或目的不是本地網(wǎng)絡上的主機.(nt: localnet, 實際使用時要真正替換成本地網(wǎng)絡的名字))

打印所有源或目的端口是80, 網(wǎng)絡層協(xié)議為IPv4, 并且含有數(shù)據(jù),而不是SYN,FIN以及ACK-only等不含數(shù)據(jù)的數(shù)據(jù)包.(ipv6的版本的表達式可做練習)

(nt: 可理解為, ip[2:2]表示整個ip數(shù)據(jù)包的長度, (ip[0]&0xf)4 表示tcp頭的長度, 此域的單位也是32bit,　換算成比特數(shù)為 ((tcp[12]&0xf0) >> 4)　2).　((ip[2:2] - ((ip[0]&0xf)2)) != 0　表示: 整個ip數(shù)據(jù)包的長度減去ip頭的長度,再減去tcp頭的長度不為0, 這就意味著, ip數(shù)據(jù)包中確實是有數(shù)據(jù).對于ipv6版本只需考慮ipv6頭中的'Payload Length' 與 'tcp頭的長度'的差值, 并且其中表達方式'ip[]'需換成'ip6[]'.)

打印長度超過576字節(jié), 并且網(wǎng)關地址是snup的IP數(shù)據(jù)包

打印所有IP層廣播或多播的數(shù)據(jù)包， 但不是物理以太網(wǎng)層的廣播或多播數(shù)據(jù)報

打印除'echo request'或者'echo reply'類型以外的ICMP數(shù)據(jù)包( 比如,需要打印所有非ping 程序產(chǎn)生的數(shù)據(jù)包時可用到此表達式 .(nt: 'echo reuqest' 與 'echo reply' 這兩種類型的ICMP數(shù)據(jù)包通常由ping程序產(chǎn)生))

Wireshark(以前是ethereal)是Windows下非常簡單易用的抓包工具。但在Linux下很難找到一個好用的圖形化抓包工具。還好有Tcpdump。我們可以用Tcpdump + Wireshark 的完美組合實現(xiàn)：在 Linux 里抓包，然后在Windows 里分析包。

使用tcpdump抓取HTTP包

tcpdump 對截獲的數(shù)據(jù)并沒有進行徹底解碼，數(shù)據(jù)包內(nèi)的大部分內(nèi)容是使用十六進制的形式直接打印輸出的。顯然這不利于分析網(wǎng)絡故障，通常的解決辦法是先使用帶-w參數(shù)的tcpdump 截獲數(shù)據(jù)并保存到文件中，然后再使用其他程序(如Wireshark)進行解碼分析。當然也應該定義過濾規(guī)則，以避免捕獲的數(shù)據(jù)包填滿整個硬盤。

1、抓取回環(huán)網(wǎng)口的包：tcpdump -i lo

2、防止包截斷：tcpdump -s0

3、以數(shù)字顯示主機及端口：tcpdump -n

第一種是關于類型的關鍵字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一臺主機，net 202.0.0.0 指明 202.0.0.0是一個網(wǎng)絡地址，port 23 指明端口號是23。如果沒有指定類型，缺省的類型是host.

第二種是確定傳輸方向的關鍵字，主要包括src , dst ,dst or src, dst and src ,這些關鍵字指明了傳輸?shù)姆较颉Ｅe例說明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的網(wǎng)絡地址是202.0.0.0 。如果沒有指明方向關鍵字，則缺省是src or dst關鍵字。

第三種是協(xié)議的關鍵字，主要包括fddi,ip,arp,rarp,tcp,udp等類型。Fddi指明是在FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡)上的特定 的網(wǎng)絡協(xié)議，實際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協(xié)議包當作ether的包進行處理和 分析。其他的幾個關鍵字就是指明了監(jiān)聽的包的協(xié)議內(nèi)容。如果沒有指定任何協(xié)議，則tcpdump將會監(jiān)聽所有協(xié)議的信息包。

除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是 'not ' '! ', 與運算是'and','&&;或運算 是'or' ,'||'；這些關鍵字可以組合起來構(gòu)成強大的組合條件來滿足人們的需要，下面舉幾個例子來說明。

普通情況下，直接啟動tcpdump將監(jiān)視第一個網(wǎng)絡界面上所有流過的數(shù)據(jù)包。

使用-i參數(shù)指定tcpdump監(jiān)聽的網(wǎng)絡界面，這在計算機具有多個網(wǎng)絡界面時非常有用，使用-c參數(shù)指定要監(jiān)聽的數(shù)據(jù)包數(shù)量，使用-w參數(shù)指定將監(jiān)聽到的數(shù)據(jù)包寫入文件中保存A想要截獲所有210.27.48.1 的主機收到的和發(fā)出的所有的數(shù)據(jù)包：

B想要截獲主機210.27.48.1 和主機210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中適用　括號時，一定要

C如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包，使用命令：

D如果想要獲取主機210.27.48.1接收或發(fā)出的telnet包，使用如下命令：

E 對本機的udp 123 端口進行監(jiān)視 123 為ntp的服務端口

F 系統(tǒng)將只對名為hostname的主機的通信數(shù)據(jù)包進行監(jiān)視。主機名可以是本地主機，也可以是網(wǎng)絡上的任何一臺計算機。下面的命令可以讀取主機hostname發(fā)送的所有數(shù)據(jù)：

G 下面的命令可以監(jiān)視所有送到主機hostname的數(shù)據(jù)包：

H 我們還可以監(jiān)視通過指定網(wǎng)關的數(shù)據(jù)包：

I 如果你還想監(jiān)視編址到指定端口的TCP或UDP數(shù)據(jù)包，那么執(zhí)行以下命令：

J 如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包，使用命令：

K 想要截獲主機210.27.48.1 和主機210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中適用　括號時，一定要

L 如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包，使用命令：

M 如果想要獲取主機210.27.48.1接收或發(fā)出的telnet包，使用如下命令：

第三種是協(xié)議的關鍵字，主要包括fddi,ip ,arp,rarp,tcp,udp等類型除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是 'not ' '! ', 與運算是'and','&&';或運算 是'or' ,'||'；第二種是確定傳輸方向的關鍵字，主要包括src , dst ,dst or src, dst and src ,如果我們只需要列出送到80端口的數(shù)據(jù)包，用dst port；如果我們只希望看到返回80端口的數(shù)據(jù)包，用src port。

或者

如果條件很多的話 要在條件之前加and 或 or 或 not

如果在ethernet 使用混雜模式 系統(tǒng)的日志將會記錄May 7 20:03:46 localhost kernel: eth0: Promiscuous mode enabled.May 7 20:03:46 localhost kernel: device eth0 entered promiscuous modeMay 7 20:03:57 localhost kernel: device eth0 left promiscuous modetcpdump對截獲的數(shù)據(jù)并沒有進行徹底解碼，數(shù)據(jù)包內(nèi)的大部分內(nèi)容是使用十六進制的形式直接打印輸出的。顯然這不利于分析網(wǎng)絡故障，通常的解決辦法是先使用帶-w參數(shù)的tcpdump 截獲數(shù)據(jù)并保存到文件中，然后再使用其他程序進行解碼分析。當然也應該定義過濾規(guī)則，以避免捕獲的數(shù)據(jù)包填滿整個硬盤。

表明在00:02:03點的時候，211.167.237.199通過ssh源端口連接到221.216.165.189的1467端口

截獲所有由eth0進入、源地址(src)為192.168.0.5的主機(host)，并且(and)目標(dst)端口(port)為80的數(shù)據(jù)包

觀看網(wǎng)卡傳送、接收數(shù)據(jù)包的狀態(tài)

以上就是CentOS下如何使用tcpdump網(wǎng)絡抓包的詳細內(nèi)容，更多請關注php中文網(wǎng)其它相關文章！