tcpdump的語法及參數(shù)有哪些

tcpdump的語法及參數(shù)有哪些，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。

一、Tcpdump簡介
        Tcpdum是Linux上強大的網(wǎng)絡數(shù)據(jù)采集分析工具

        1.1 第一種類型的關鍵字：host    net     port        
            host 210.27.48.3指明 210.27.48.3是一臺主機       net202.0.0.0 指明202.0.0.0 是一個網(wǎng)絡地址   port 23 指明端口23
        1.2 第二種確定傳輸方向的關鍵字，主要包括 src,dst，dst or src，dst and src。這些關鍵字指明了傳輸?shù)姆较颉?br/>             src 源；        dst 目的；         沒有指明方向關鍵字，則缺省是src or dst.

        1.3 第三種是協(xié)議的關鍵字，主要包括ip,arp，udp,tcp,fddi

二、語法

        tcpdump [-adeflnNOpqStvx][-c<數(shù)據(jù)包數(shù)目>][-dd][-ddd][-F<表達文件>][-i<網(wǎng)絡界面>][-r<數(shù)據(jù)包文件>][-s<數(shù)據(jù)包大小>][-tt][-T<數(shù)據(jù)包類型>][-vv][-w<數(shù)據(jù)包文件>][輸出數(shù)據(jù)欄位]

使用-i參數(shù)  指定tcpdump監(jiān)聽的網(wǎng)絡界面，這在計算機具有多個網(wǎng)絡界面時非常有用，  
使用-c  參數(shù)指定要監(jiān)聽的數(shù)據(jù)包數(shù)量，  
使用-w  參數(shù)指定將監(jiān)聽到的數(shù)據(jù)包寫入文件中保存  
 tcpdump總的的輸出格式為：系統(tǒng)時間 來源主機.端口 > 目標主機.端口 數(shù)據(jù)包參數(shù)  

         補充說明：執(zhí)行tcpdump指令可列出經(jīng)過指定網(wǎng)絡界面的數(shù)據(jù)包文件頭，在Linux操作系統(tǒng)中，你必須是系統(tǒng)管理員root
                        不帶參數(shù)的tcpdump會收集網(wǎng)絡中所有的信息包頭，數(shù)據(jù)量巨大，必須過濾。

三、具體參數(shù)細節(jié)

     -A 以ASCII格式打印出所有分組，并將鏈路層的頭最小化。  
 
    -c 在收到指定的數(shù)量的分組后，tcpdump就會停止。  
 
    -C 在將一個原始分組寫入文件之前，檢查文件當前的大小是否超過了參數(shù)file_size 中指定的大小。如果超過了指定大小，則關閉當前文件，然后在打開一個新的文件。參數(shù) file_size 的單位是兆字節(jié)（是1,000,000字節(jié)，而不是1,048,576字節(jié)）。  
 
    -d 將匹配信息包的代碼以人們能夠理解的匯編格式給出。  
 
    -dd 將匹配信息包的代碼以c語言程序段的格式給出。  
 
    -ddd 將匹配信息包的代碼以十進制的形式給出。  
 
    -D 打印出系統(tǒng)中所有可以用tcpdump截包的網(wǎng)絡接口。  
 
      -e 在輸出行打印出  數(shù)據(jù)鏈路層的頭部信息。  
 
    -E 用spi@ipaddr algo:secret解密那些以addr作為地址，并且包含了安全參數(shù)索引值spi的IPsec ESP分組。  
 
    -f 將外部的Internet地址以數(shù)字的形式打印出來。  
 
    -F 從指定的文件中讀取表達式，忽略命令行中給出的表達式。  
 
    -i 指定監(jiān)聽的網(wǎng)絡接口。  
 
    -l 使標準輸出變?yōu)榫彌_行形式，可以把數(shù)據(jù)導出到文件。  
 
    -L 列出網(wǎng)絡接口的已知數(shù)據(jù)鏈路。  
 
    -m 從文件module中導入SMI MIB模塊定義。該參數(shù)可以被使用多次，以導入多個MIB模塊。  
 
    -M 如果tcp報文中存在TCP-MD5選項，則需要用secret作為共享的驗證碼用于驗證TCP-MD5選選項摘要（詳情可參考RFC 2385）。  
 
    -b 在數(shù)據(jù)-鏈路層上選擇協(xié)議，包括ip、arp、rarp、ipx都是這一層的。  
 
    -n 不把網(wǎng)絡地址轉(zhuǎn)換成名字。  
 
    -nn 不進行端口名稱的轉(zhuǎn)換。  
 
    -N 不輸出主機名中的域名部分。例如，‘nic.ddn.mil‘只輸出’nic‘。  
 
    -t 在輸出的每一行不打印時間戳。  
 
    -O 不運行分組分組匹配（packet-matching）代碼優(yōu)化程序。  
 
    -P 不將網(wǎng)絡接口設置成混雜模式。  
 
    -q 快速輸出。只輸出較少的協(xié)議信息。  
 
    -r 從指定的文件中讀取包(這些包一般通過-w選項產(chǎn)生)。  
 
    -S 將tcp的序列號以絕對值形式輸出，而不是相對值。  
 
    -s 從每個分組中讀取最開始的snaplen個字節(jié)，而不是默認的68個字節(jié)。  
 
    -T 將監(jiān)聽到的包直接解釋為指定的類型的報文，常見的類型有rpc遠程過程調(diào)用）和snmp（簡單網(wǎng)絡管理協(xié)議；）。  
 
    -t 不在每一行中輸出時間戳。  
 
    -tt 在每一行中輸出非格式化的時間戳。  
 
    -ttt 輸出本行和前面一行之間的時間差。  
 
    -tttt 在每一行中輸出由date處理的默認格式的時間戳。  
 
    -u 輸出未解碼的NFS句柄。  
 
    -v 輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息。  
 
    -vv 輸出詳細的報文信息。  
 
    -w 直接將分組寫入文件中，而不是不分析并打印出來。   
 
 數(shù)據(jù)過濾  

-b 在數(shù)據(jù)-鏈路層上選擇協(xié)議，包括ip、arp、rarp、ipx都是這一層的。例如：tcpdump -b arp 將只顯示網(wǎng)絡中的arp即地址轉(zhuǎn)換協(xié)議信息。  
 -i 選擇過濾的網(wǎng)絡接口，如果是作為路由器至少有兩個網(wǎng)絡接口，通過這個選項，就可以只過濾指定的接口上通過的數(shù)據(jù)。例如：tcpdump -i eth0 只顯示通過eth0接口上的所有報頭。  

四、實例

4.1 用tcpdump嗅探80端口的訪問看看誰最高  
#tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F "." '{print $1"."$2"."$3"."$4}' | sort | uniq -c | sort -nr | head -20    Linux Web服務器網(wǎng)站故障分析常用的命令  
 
4.2  A想要截獲所有210.27.48.1的主機收到的和發(fā)出的所有的數(shù)據(jù)包  
#tcpdump host 210.27.48.1  
 
4.3  B想要截獲主機210.27.48.1和主機210.27.48.2或210.27.48.3的通信，使用命令：  
#tcpdump host 210.27.48.1 and \（210.27.48.2 or 210.27.48.3 \）  
 
4.3 C想如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包，使用命令：  
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2  
 
4.4 D 如果想要獲取主機210.27.48.1接收或發(fā)出的telnet包，使用如下命令：  
#tcpdump tcp port 23 host 210.27.48.1  
 
4.5 E 對本機的UDP123 端口進行監(jiān)視123為ntp的服務端口  
#tcpdump udp port 123   
 
4.6 F系統(tǒng)將只對名為hostname的主機的通信數(shù)據(jù)包進行監(jiān)視。主機名可本機或他機。  
#tcpdump -i eth0 src host hostname  
 
4.7 G下面的命令可以監(jiān)視所有送到主機hostname的數(shù)據(jù)包  
#tcpdump -i eth0 dst host hostname  
 
4.8 H 我們還可以監(jiān)視通過指定的網(wǎng)關的數(shù)據(jù)包  
#tcpdump -i eth0 gateway gatewayname  
 
4.9 I 如果想要獲取主機192.168.228.246接收或發(fā)出的ssh包，并且不轉(zhuǎn)換主機名使用如下命令：  
#tcpdump -nn -n src host 192.168.228.246 and port 22 and tcp  
 
5.0 J 獲取主機192.168.228.246接收或發(fā)出的ssh包，并把mac地址也一同顯示：  
# tcpdump -e src host 192.168.228.246 and port 22 and tcp -n -nn  
 
5.1 K 過濾的是源主機為192.168.0.1與目的網(wǎng)絡為192.168.0.0的報頭：  
tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24  
 
5.2Ｌ 過濾源主機物理地址為XXX的報頭：  
tcpdump ether src 00:50:04:BA:9B and dst……  
 
５.3 M 過濾源主機192.168.0.1和目的端口不是telnet的報頭，并導入到tes.t.txt文件中：  
Tcpdump src host 192.168.0.1 and dst port not telnet -l > test.txt  
 
 ip icmp arp rarp 和 tcp、udp、icmp這些選項等都要放到第一個參數(shù)的位置，用來過濾數(shù)據(jù)報的類型。  
 例題：如何使用tcpdump監(jiān)聽來自eth0適配卡且通信協(xié)議為port 22，目標來源為192.168.1.100的數(shù)據(jù)包資料？  
答：tcpdump -i eth0 -nn port 22 and src host 192.168.1.100  
 例題：如何使用tcpdump抓取訪問eth0適配卡且訪問端口為tcp 9080？  
答:tcpdump -i eth0 dst 172.168.70.35 and tcp port 9080  
 例題：如何使用tcpdump抓取與主機192.168.43.23或著與主機192.168.43.24通信報文，并且顯示在控制臺上  
tcpdump -X -s 1024 -i eth0 host (192.168.43.23 or 192.168.43.24) and  host 172.16.70.35

例如：  

如果想捕獲119.75.219.38接收或發(fā)送的HTTP包，將其生成詳細報告

可使用如下命令： 

tcpdump tcp port 80 and host 119.75.219.38 -w /tmp/111.pcap

如果想監(jiān)控80上的數(shù)據(jù)包

tcpdump tcp port 80 -s 0 -w /tmp/222.pcap

pcap的包可使用wireshark的工具軟件來分析

五、輸出結(jié)果介紹

(1) 數(shù)據(jù)鏈路層頭信息  
#tcpdump --e host ICE  
ICE 是一臺裝有l(wèi)inux的主機。它的MAC地址是0：90：27：58：AF：1A                                                                   
H219是一臺裝有Solaris的SUN工作站。它的MAC地址是8：0：20：79：5B：46； 上一條命令的輸出結(jié)果如下所示：  
 
 21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h319.33357 > ICE.  telne t 0:0(0) ack 22535 win 8760 (DF)  
 
21：50：12是顯示的  時間， 847509是I  D號，  eth0 <表示從網(wǎng)絡接口eth0接收該分組， eth0 >表示從網(wǎng)絡接口設備發(fā)送分組，  
8:0:20:79:5b:46是主機H219的MAC地址， 它表明是從源地址H219發(fā)來的分組.  
0:90:27:58:af:1a是主機ICE的MAC地址， 表示該分組的目的地址是ICE。  
ip 是表明  該分組是IP分組，60 是  分組的長度， h319.33357 > ICE. telnet   表明該分組是從主機H219的33357端口發(fā)往主機ICE的 TELNET(23)端口。   
ack 22535 表明對序列號是222535的包進行響應。 win 8760表明發(fā) 送窗口的大小是8760。  
 
 (2) ARP包的tcpdump輸出信息  
使用命令：  
#tcpdump arp  
 
得到的輸出結(jié)果是：  
 
22:32:42.802509 eth0 > arp who-has route tell ICE (0:90:27:58:af:1a)  
22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)  
 
22:32:42是  時間戳， 802509是  ID號，   eth0 >表明從主機  發(fā)出該分組，arp表明是ARP請求包，   who-has route tell ICE表明是主機ICE請求主機route的MAC地址。 0:90:27:58:af:1a是主機 ICE的MAC地址。  
 (3) TCP包的輸出信息  
 
用tcpdump捕獲的TCP包的一般輸出信息是：  
 
src > dst: flags data-seqno ack window urgent options  
 
 src > dst:表明從源地址到目的地址， flags是TCP報文中的標志信息，S 是SYN標志， F (FIN)， P (PUSH) ， R (RST) “.” (沒有標記); data-seqno是報文中的數(shù)據(jù) 的順序號， ack是下次期望的順序號， window是接收緩存的窗口大小， urgent表明 報文中是否有緊急指針。 Options是選項。  
 
 (4) UDP包的輸出信息  
 
用tcpdump捕獲的UDP包的一般輸出信息是：  
 
route.port1 > ICE.port2: udp lenth  
 
UDP十分簡單，上面的輸出行表明從主機route的port1端口發(fā)出的一個UDP報文 到主機ICE的port2端口，類型是UDP， 包的長度是lenth。  
 

六、其他輔助

(1) 想查看TCP或者UDP端口使用情況，使用 netstat -anp  
 如果有些進程看不見，如只顯示”-”，可以嘗試  
 
 #sudo netstat -anp  
 如果想看某個端口的信息，使用lsof命令，如：  
 #sudo lsof -i :631  
 
netstat -tln 命令是用來查看linux的端口使用情況  
 
# netstat -tln  
 
/etc/init.d/vsftp start 是用來啟動ftp端口~！  
 
netstat  查看已經(jīng)連接的服務端口（ESTABLISHED）  
 
netstat -a   查看所有的服務端口（LISTEN，ESTABLISHED）  
 
sudo netstat -ap   查看所有 的服務端口并顯示對應的服務程序名  
 
當我們使用　netstat -apn　查看網(wǎng)絡連接的時候，會發(fā)現(xiàn)很多類似下面的內(nèi)容：  
file:///C:/Documents%20and%20Settings/Administrator/Local%20Settings/Application%20Data/youdao/ynote/p_w_picpaths/83EDB0DBC37645DCA0BA3BB7060BCAF6/clipboard.png  
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name  
 
tcp 0 52 218.104.81.152：7710 211.100.39.250：29488 ESTABLISHED 6111/1  
 
顯示這臺服務器開放了7710端口，那么 這個端口屬于哪個程序呢？我們可以使用　lsof -i ：7710　命令來查詢：

file:///C:/Documents%20and%20Settings/Administrator/Local%20Settings/Application%20Data/youdao/ynote/p_w_picpaths/26F6C96985F54339956B7351DD65FD97/clipboard.png  
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME  
sshd 1990 root 3u IPv4 4836 TCP *：7710 （LISTEN）  
這樣，我們就知道了7710端口是屬于sshd程序的。  
 
(2) 運行tcpdump命令出現(xiàn)錯誤信息排除  
tcpdump: no suitable device found  
tcpdump: no devices found /dev/bpf4: A file or directory in the path name does not exist.  
解決方案 2種原因：  
1.權(quán)限不夠，一般不經(jīng)過處理，只用root用戶能使用tcpdump  
2.缺省只能同時使用4個tcpdump，如用完，則報此類錯。需要停掉多余的tcpdump  

看完上述內(nèi)容是否對您有幫助呢？如果還想對相關知識有進一步的了解或閱讀更多相關文章，請關注億速云行業(yè)資訊頻道，感謝您對億速云的支持。