Linux学习:tcpdump表达式及命令参数详解例子

lvan_linux

1:tcpdump抓取各种类型的包。
tcp规则只有一套,但是它有两种用途。一个是用于显示抓取到的包、另一个是用于抓包。
当然有些options只能用于抓取包,有些options只能用于显示包。同时、tcpdump命令提供表达式,此项功能可以过滤掉我们抓到大包,只去显示或存储
我们想要的包。废话不多说,下面开始介绍tcp。(这其中我也有许多参数弄不明白、希望懂的人能够再评论区下方加以评论)。

首先、是总体看tcp这个命令都有哪些opitons 。

    
    tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]
                             [ -c count ]
                             [ -C file_size ] [ -G rotate_seconds ] [ -F file ]
                             [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]
                             [ --number ] [ -Q in|out|inout ]
                             [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ]
                             [ -W filecount ]
                             [ -E spi@ipaddr algo:secret,...  ]
                             [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]
                             [ --time-stamp-precision=tstamp_precision ]
                             [ --immediate-mode ] [ --version ]
                             [ expression ]
从上述可以看的出来、tcp有许多选项,我会将我不懂的地方标记出来、希望各位大神能够加以讨论。
我这里可能不是按照上述书写的顺序定义。
-i:指定我们要抓取的接口。
-D:列出我们可以使用该命令抓取包的网络接口。如下图所示

file


-c:代表抓取指数目的包就停止抓取,如下图所示。

file

从图中我们可以看到,当我们抓到5个包之后就停止抓取了。
-Q:指定过滤输入或者输出的包,如下图所示,我们只抓输入的包。如下图所示,我们使用ping命令ping本地地址,所以我们只能抓到in的包,却抓不到output的包。

file

-w:此选项是将抓到的包输入到指定的文件中,而不去限制到终端上。
-r:此选项是用于显示抓取都的包,但是具体显示细节还需要其他的参数进行控制。

如下图所示,是我们使用此命令抓取和显示的包。

file


-s:指定我们每个抓取包保存数据的大小,默认情况下是64bit。如下图所示,名下看到两次抓到的包存储到文件中文件的大小不一样。

file


-Z:此命令用于指定包的所有者和所属组,如下图所示,默认的情况下、包的所有者和所属组都是tcpdump,但是我们指定后,包的所有者和所属组就是我们指定的。

file


-F:此选项用于从指定文件中读取过滤表达式,但是使用此选项后、命令行中的表岛是将不会起作用。关于表达是这部分之后会进行讲解。
-v、-vv、-vvv:此选项用于详细显示消息,带有v的根数越多,显示的月详细。

file


如图所示,带v参数显示的更加详细。
-t、-tt、-ttt、-tttt:此选项用于包显示或者不显示时间和显示时间格式的设定<-t:不显示时间。-tt:显示时间戳。-ttt:显示和上一次抓包的时间间隔。-tttt:以年月日时分秒进行显示>:如下图所示。

file

 --immediate-mode:此选项有点类似于我们c标准IO函数的缓冲,指定这个选项便没有这个缓冲,直接将包送达。
 -B:指定缓冲的大小,也就是我们能够抓取多大缓冲的包。
 -C:指定我们存储抓取到的包文件的大小
 上述这两个选项我实在有些分不清,缓冲的大小和指定文件的大小有什么区别呢。
 
 我不知道怎么用的选项:
  --time-stamp-precision=tstamp_precision
    -E spi@ipaddr algo:secret,...
 -G rotate_seconds :此选项可以理解为轮询、他需要配合其他选项使用。如-C、当我们将文件抓满的时候,我们就会还是会继续抓、并且覆盖掉之前抓到的内容。
  -W filecount。
    

接下来我们介绍一下表达式。


表达式的作用是过滤掉我们抓到的包,我们可以再抓取的时候进行过滤,同时我们也可以再显示的时候进行过滤。

过滤包就是抓到我们想要的包:我们可以过滤指定包的协议、包的类型、包的传输源和目的和包中一些关键字进行过滤。同时我们也可以指定包中的内容进行过滤。
由于协议很多,我们抓到的包种类也有很多,因此、我们这里只用icmp作为例子进行介绍,同时man手册中的内容有许多我也不是很懂,我只是从过滤包的大体方向进行介绍。
如果想要了解更过内容、或者抓包的例子我这里没有介绍,可以参考man手册、然后搜索对应的关键字就可以。一般的情况下很容易搜索到对应的内容。

type:这里介绍过滤包的host、net、port、portrange字段,[host是主机(例如192.168.3.1),net是使用的网络(例如192.168.3.0 mask是255.255.255)]port是发送或者接受的端口、
portrange是发送或者接受的端口范围。如下图所示、说明net和host

file

dir:此字段说明传输的源于目的一些信息,这部分和type字段联合使用,可以抓指定源ip或目的ip的端口。当然、man手册还有许多用法,我这里就不一一介绍了。
proto:此字段指定我们过滤使用的协议,如udp、tcp。

最后我们介绍一下如果过滤指定类型的包,或者根据包中某些字段的值进行过滤。如下图所示、是man手册上一个简单例子。

file


我们这里给出一个抓指定icmp类型的包。

file


同时man手册中还有许多这样的定义,我们再下图中给出一些。

抓取广播

file


抓取包的长度大于或者小于某一个数。

file

阅读 126
4 声望
0 粉丝
0 条评论
你知道吗?

4 声望
0 粉丝
宣传栏