发帖
扫码访问
 注册
 登录
首页 ›运维› 网络学院 › 查看内容

使用tcpdump和wireshark分析tcp流

2020-2-19 15:35 |来自: 互联网 1451 0

摘要: 使用tcpdump和wireshark分析tcp流Tcpdump抓包tcpdump -w packets.pcap -n -i eth0 tcp port 60 and dst host 10.22.47.66-i: 指定网络接口-n: 不做域名解析，使用ip-w: 抓包存储为可供wireshark解析的pcap格式tcp port 60 and dst host 10.22.47.66: 条件表达式Tcpdump条件式条件表达式语法可以参考: m ...
关键词： 协议 tcpdump 链路 字节 tcp roclinux 网络 39 eth0 或者


使用tcpdump和wireshark分析tcp流

Tcpdump抓包

tcpdump -w packets.pcap -n -i eth0 tcp port 60 and dst host 10.22.47.66
  • -i: 指定网络接口
  • -n: 不做域名解析，使用ip
  • -w: 抓包存储为可供wireshark解析的pcap格式
  • tcp port 60 and dst host 10.22.47.66: 条件表达式

Tcpdump条件式

条件表达式语法可以参考: man pcap-filter，下面是一些常见的例子：

只抓udp的包:

tcpdump -i eth0 'udp'

只想查看源机器和目的机器的包:

tcpdump -i eth0 'dst 8.8.8.8'

只想查看目标机器端口是53或80的包:

tcpdump -i eth0 'dst port 53 or dst port 80'

抓到那些通过eth0网卡的，且来源是roclinux.cn服务器或者目标是roclinux.cn服务器的网络包:

tcpdump -i eth0 'host roclinux.cn'

抓通过eth0网卡的，且roclinux.cn和baidu.com之间通讯的网络包，或者，roclinux.cn和qiyi.com之间通讯的网络包:

tcpdump -i eth0 'host roclinux.cn and (baidu.com or qiyi.com)'

获取使用ftp端口和ftp数据端口的网络包:

tcpdump 'port ftp or ftp-data'

获取roclinux.cn和baidu.com之间建立TCP三次握手中第一个网络包，即带有SYN标记位的网络包，另外，目的主机不能是 qiyi.com:

tcpdump 'tcp[tcpflags] & tcp-syn != 0 and not dst host qiyi.com'

打印IP包长超过576字节的网络包:

tcpdump 'ip[2:2] > 576'

proto [ expr : size]，只要掌握了这个语法格式，就能看懂上面的三个稀奇古怪的表达式了。

proto就是protocol的缩写，表示这里要指定的是某种协议的名称，比如ip、tcp、ether。其实proto这个位置，总共可以指定的协议类型有15个之多，包括：

  • ether – 链路层协议
  • fddi – 链路层协议
  • tr – 链路层协议
  • wlan – 链路层协议
  • ppp – 链路层协议
  • slip – 链路层协议
  • link – 链路层协议
  • ip
  • arp
  • rarp
  • tcp
  • udp
  • icmp
  • ip6
  • radio

expr用来指定数据报偏移量，表示从某个协议的数据报的第多少位开始提取内容，默认的起始位置是0；而size表示从偏移量的位置开始提取多少个字节，可以设置为1、2、4。 如果只设置了expr，而没有设置size，则默认提取1个字节。比如ip[2:2]，就表示提取出第3、4个字节；而ip[0]则表示提取ip协议头的第一个字节。

在我们提取了特定内容之后，我们就需要设置我们的过滤条件了，我们可用的“比较操作符”包括：>，<，>=，<=，=，!=，总共有6个。

ip[0] & 0xf != 5

IP协议的第0-4位，表示IP版本号，可以是IPv4（值为0100）或者IPv6（0110）；第5-8位表示首部长度，单位是“4字节”，如果首部长度为默认的20字节的话，此值应为5。

安装Mac版Wireshark

Wireshark支持多种OS，包括Windows, Mac和Linux，我在这里是使用的Mac版本。

$ brew search wireshark==> Formulaewireshark==> Caskswireshark  wireshark-chmodbpf$ brew cask install wireshark

Wireshark分析指定的tcp流

在过滤条件中填写tcp.flags.syn==1，或者tcp.flags.fin==1, 找到tcp连接的首包或者尾包，这样的tcp流会相对比较完整；


在找到的包上点右键，选择Follow=>TCP Stream, 找到这条完整的tcp流：

本文出处： https://www.toutiao.com/a6777390403843785230/
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系 [邮箱地址] 删除

路过
雷人
握手
鲜花
鸡蛋
收藏 分享 邀请
上一篇：一款Web界面的服务器网络监控工具：PHP Server Monitor下一篇：「实例」常见的网络8大故障，怎么办？

最新评论

相关分类

返回顶部