linux抓包命令是“tcpdump”，可以抓取流動在網卡上的數據包，可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析；它支持針對網絡層、協議、主機、網絡或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息。
本教程操作環境：Red Hat Enterprise Linux 6.1系統、Dell G3電腦。
tcpdump命令是基于unix系統的命令行的數據報嗅探工具，可以抓取流動在網卡上的數據包。
顧名思義，tcpdump可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息,tcpdump憑借強大的功能和靈活的截取策略，使其成為類UNIX系統下用于網絡分析和問題排查的首選工具.
實用命令實例:
(1).默認啟動
#普通情況下，直接啟動tcpdump將監視第一個網絡接口上所有流過的數據包. [root@localhost?~]#?tcpdump
(2).監視指定網絡接口的數據包
[root@localhost?~]#?tcpdump?-i?eth0?-c?10
(3).監視指定主機的數據包
[root@localhost?~]#?tcpdump?-i?eth0?host?10.20.3.25
(4.).獲取主機10.20.3.25發送的所有數據
[root@localhost?~]#tcpdump?-i?eth0?src?host?10.20.3.25
(5).監視所有發送到主機10.20.3.25的數據包
[root@localhost?~]#?tcpdump?-i?eth0?dst?host?10.20.3.25
(6).監視指定主機和端口的數據包
[root@localhost?~]#?tcpdump?tcp?port?22?and?host?10.20.3.25
(7).監視指定網絡的數據包，如本機與10.20.3網段通信的數據包，”-c 10″表示只抓取10個包
[root@localhost?~]#?tcpdump?-c?10?net?10.20.3
(8).抓取ping包
[root@localhost?~]#?tcpdump?-c?5?-nn?-i?eth0?icmp
(9).解析包數據
[root@localhost?~]#?tcpdump?-c?2?-q?-XX?-vvv?-nn?-i?eth0?tcp?dst?port?22 tcpdump:?listening?on?eth0,?link-type?EN10MB?(Ethernet),?capture?size?65535?bytes 10:22:22.334383?IP?(tos?0x0,?ttl?63,?id?26834,?offset?0,?flags?[DF],?proto?TCP?(6),?length?40) ????10.20.3.25.60401?>?10.20.9.131.22:?tcp?0 ????????0x0000:??0050?5685?2ba8?0074?9c0f?c748?0800?4500??.PV.+..t...H..E. ????????0x0010:??0028?68d2?4000?3f06?b23a?0a14?0319?0a14??.(h.@.?..:...... ????????0x0020:??0983?ebf1?0016?93e3?6ba8?cd6b?d1ce?5010??........k..k..P. ????????0x0030:??f6b4?0d8e?0000?0000?0000?0000????????????............ 10:22:22.376759?IP?(tos?0x0,?ttl?63,?id?26835,?offset?0,?flags?[DF],?proto?TCP?(6),?length?40) ????10.20.3.25.60401?>?10.20.9.131.22:?tcp?0 ????????0x0000:??0050?5685?2ba8?0074?9c0f?c748?0800?4500??.PV.+..t...H..E. ????????0x0010:??0028?68d3?4000?3f06?b239?0a14?0319?0a14??.(h.@.?..9...... ????????0x0020:??0983?ebf1?0016?93e3?6ba8?cd6b?d392?5010??........k..k..P. ????????0x0030:??faf0?078e?0000?0000?0000?0000????????????............ 2?packets?captured 2?packets?received?by?filter 0?packets?dropped?by?kernel [root@test-core-services-03?~]#
(10).tcpdump抓取http包
tcpdump??-XvvennSs?0?-i?eth0?tcp[20:2]=0x4745?or?tcp[20:2]=0x4854 0x4745?為"GET"前兩個字母"GE",0x4854?為"HTTP"前兩個字母"HT"。
tcpdump常用選項:
它的命令格式為：
tcpdump?[?-DenNqvX?]?[?-c?count?]?[?-F?file?]?[?-i?interface?]?[?-r?file?] ????????[?-s?snaplen?]?[?-w?file?]?[?expression?] 抓包選項： -c：指定要抓取的包數量。注意，是最終要獲取這么多個包。例如，指定"-c?10"將獲取10個包，但可能已經處理了100個包，只不過只有10個包是滿足條件的包。 -i?interface：指定tcpdump需要監聽的接口。若未指定該選項，將從系統接口列表中搜尋編號最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump?-i?lo)， ????????????：一旦找到第一個符合條件的接口，搜尋馬上結束?？梢允褂?any'關鍵字表示所有網絡接口。 -n：對地址以數字方式顯式，否則顯式為主機名，也就是說-n選項不做主機名解析。 -nn：除了-n的作用外，還把端口顯示為數值，否則顯示端口服務名。 -N：不打印出host的域名部分。例如tcpdump將會打印'nic'而不是'nic.ddn.mil'。 -P：指定要抓取的包是流入還是流出的包?？梢越o定的值為"in"、"out"和"inout"，默認為"inout"。 -s?len：設置tcpdump的數據包抓取長度為len，如果不設置默認將會是65535字節。對于要抓取的數據包較大時，長度設置不夠可能會產生包截斷，若出現包截斷， ??????：輸出行中會出現"[|proto]"的標志(proto實際會顯示為協議名)。但是抓取len越長，包的處理時間越長，并且會減少tcpdump可緩存的數據包的數量， ??????：從而會導致數據包的丟失，所以在能抓取我們想要的包的前提下，抓取長度越小越好。 輸出選項： -e：輸出的每行中都將包括數據鏈路層頭部信息，例如源MAC和目標MAC。 -q：快速打印輸出。即打印很少的協議相關信息，從而輸出行都比較簡短。 -X：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出。 -XX：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出，更詳細。 -v：當分析和打印的時候，產生詳細的輸出。 -vv：產生比-v更詳細的輸出。 -vvv：產生比-vv更詳細的輸出。 其他功能性選項： -D：列出可用于抓包的接口。將會列出接口的數值編號和接口名，它們都可以用于"-i"后。 -F：從文件中讀取抓包的表達式。若使用該選項，則命令行中給定的其他表達式都將失效。 -w：將抓包數據輸出到文件中而不是標準輸出?？梢酝瑫r配合"-G?time"選項使得輸出文件每time秒就自動切換到另一個文件?？赏ㄟ^"-r"選項載入這些文件以進行分析和打印。 -r：從給定的數據包文件中讀取數據。使用"-"表示從標準輸入中讀取。
相關推薦：《Linux視頻教程》
? 版權聲明
文章版權歸作者所有，未經允許請勿轉載。
THE END
喜歡就支持一下吧
相關推薦
