tcpdump 详解(干货)

妖狐艹你老母 2022-01-14 03:25 212阅读 0赞

[2019独角兽企业重金招聘Python工程师标准>>> ][2019_Python_] ![hot3.png][]

# 常用命令 #

1. tcpdump -i eth0 ; 监听网卡
    2. tcpdump host 210.27.48.1 ; 收到或发出的数据包
    3. tcpdump -i eth0 src host www.baidu.com
    4. tcpdup -i eth0 dst host www.baidu.com
    5. tcpdump -i eth0 net 192.149
    6. tcpdump -i eho0 ether src 9a:e3:a3:d3:d3:d2 抓取MAC地址的包
    -c 1000 指定抓1000个包
    -w /file/test.cap 保存起来，用wireshark分析
    -e 在输出行打印出数据链路层的头部信息。
    -s 限制包的大小长度，默认96个节点，-s 0 不做限制
    -n 不做将IP和端口解析成主机名与服务名,比如3306代表mysql
    -vv 输出详细的报文信息。

# 报文解析 #

一般是用-X
    比如以下命令
    tcpdump -i lo0 port 3306 -s 0 -X -c 4   下面是在MAC下的输出结果：
    09:06:15.104493 IP localhost.mysql > localhost.63988: Flags [.], ack 2240182754, win 12759, length 0
    	0x0000:  4500 0028 5ded 0000 4006 0000 7f00 0001  E..(]...@.......
    	0x0010:  7f00 0001 0cea f9f4 521e 0ca5 8586 79e2  ........R.....y.
    	0x0020:  5010 31d7 fe1c 0000                      P.1.....
    09:06:15.104557 IP localhost.63988 > localhost.mysql: Flags [.], ack 1, win 12756, options [nop,nop,TS val 848191995 ecr 848090015], length 0
    	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
    	0x0010:  7f00 0001 f9f4 0cea 8586 79e2 521e 0ca6  ..........y.R...
    	0x0020:  8010 31d4 fe28 0000 0101 080a 328e 61fb  ..1..(......2.a.
    	0x0030:  328c d39f                                2...
    09:06:16.106248 IP localhost.mysql > localhost.63988: Flags [.], ack 1, win 12759, length 0
    	0x0000:  4500 0028 daa4 0000 4006 0000 7f00 0001  E..(....@.......
    	0x0010:  7f00 0001 0cea f9f4 521e 0ca5 8586 79e2  ........R.....y.
    	0x0020:  5010 31d7 fe1c 0000                      P.1.....
    09:06:16.106305 IP localhost.63988 > localhost.mysql: Flags [.], ack 1, win 12756, options [nop,nop,TS val 848192996 ecr 848090015], length 0
    	0x0000:  4500 0034 0000 4000 4006 0000 7f00 0001  E..4..@.@.......
    	0x0010:  7f00 0001 f9f4 0cea 8586 79e2 521e 0ca6  ..........y.R...
    	0x0020:  8010 31d4 fe28 0000 0101 080a 328e 65e4  ..1..(......2.e.
    	0x0030:  328c d39f

时间戳104493 分析：

4500 0028  这个是IP报文头的第1-4字节，4 代表IP4，5代表首部长是20字节,IP的首度长每加1代表加一行，一行等于4个字节,00代表8位服务类型，28代表总长度，这里是40，减掉首度长度20，那么IP的内容只有20字节正好等于TCP的首度长度。说明TCP不包含数据
    5ded 0000 5ded代表16位标识,唯一值，0000 代表3位标与13偏移，这里不偏移。
    4006 0000 40代表8位TTL，这里是64，06代表协议，6表示TCP，17表UDP 1 ICMP 2IGMP，0000代表首部校验和。
    7f00 0001 代表IP源址，这里是127.0.0.1
    7f00 0001 代表目的IP地址，这里是127.0.0.1
    0cea f9f4 0cea 代表TCP的源端口，这里是3306，f9f4 代表目的端口，这里是63988
    521e 0ca5 这个代表TCP的32位序号
    8586 79e2 这个代表TCP的确认序号
    5010 31d7  5代表TCP首部长度，10的二进制是 00010000,后面6位分别是URG,ACK,PSH,RST,SYN,FIN 这里只有ACK标志，31d7代表16窗口大小，这里是12759。
    fe1c 0000 fe1c代表16检验和，0000代表TCP的紧急指针

转载于:https://my.oschina.net/u/3217171/blog/3026925

[2019_Python_]: https://my.oschina.net/u/2663968/blog/3061697
[hot3.png]: /images/20220113/24cc41e1e4ac44a38941ce8b653b035e.png