乐趣区

关于c:Linux学习tcpdump表达式及命令参数详解例子

1:tcpdump 抓取各种类型的包。
tcp 规定只有一套,然而它有两种用处。一个是用于显示抓取到的包、另一个是用于抓包。
当然有些 options 只能用于抓取包,有些 options 只能用于显示包。同时、tcpdump 命令提供表达式,此项性能能够过滤掉咱们抓到大包,只去显示或存储
咱们想要的包。废话不多说,上面开始介绍 tcp。(这其中我也有许多参数弄不明确、心愿懂的人可能再评论区下方加以评论)。

首先、是总体看 tcp 这个命令都有哪些 opitons。

    
    tcpdump [-AbdDefhHIJKlLnNOpqStuUvxX#] [-B buffer_size]
                             [-c count]
                             [-C file_size] [-G rotate_seconds] [-F file]
                             [-i interface] [-j tstamp_type] [-m module] [-M secret]
                             [--number] [-Q in|out|inout]
                             [-r file] [-V file] [-s snaplen] [-T type] [-w file]
                             [-W filecount]
                             [-E spi@ipaddr algo:secret,...]
                             [-y datalinktype] [-z postrotate-command] [-Z user]
                             [--time-stamp-precision=tstamp_precision]
                             [--immediate-mode] [--version]
                             [expression]
从上述能够看的进去、tcp 有许多选项,我会将我不懂的中央标记进去、心愿各位大神可能加以探讨。我这里可能不是依照上述书写的程序定义。-i:指定咱们要抓取的接口。-D:列出咱们能够应用该命令抓取包的网络接口。如下图所示


-c:代表抓取指数目标包就进行抓取,如下图所示。

从图中咱们能够看到,当咱们抓到 5 个包之后就进行抓取了。-Q:指定过滤输出或者输入的包,如下图所示,咱们只抓输出的包。如下图所示,咱们应用 ping 命令 ping 本地地址,所以咱们只能抓到 in 的包,却抓不到 output 的包。

-w:此选项是将抓到的包输出到指定的文件中,而不去限度到终端上。-r:此选项是用于显示抓取都的包,然而具体显示细节还须要其余的参数进行管制。

如下图所示,是咱们应用此命令抓取和显示的包。


-s:指定咱们每个抓取包保留数据的大小,默认状况下是 64bit。如下图所示,名下看到两次抓到的包存储到文件中文件的大小不一样。


-Z:此命令用于指定包的所有者和所属组,如下图所示,默认的状况下、包的所有者和所属组都是 tcpdump,然而咱们指定后,包的所有者和所属组就是咱们指定的。


-F:此选项用于从指定文件中读取过滤表达式,然而应用此选项后、命令行中的表岛是将不会起作用。对于表白是这部分之后会进行解说。-v、-vv、-vvv:此选项用于具体显示音讯,带有 v 的根数越多,显示的月具体。


如图所示,带 v 参数显示的更加具体。-t、-tt、-ttt、-tttt:此选项用于包显示或者不显示工夫和显示工夫格局的设定 <-t:不显示工夫。-tt:显示工夫戳。-ttt:显示和上一次抓包的工夫距离。-tttt:以年月日时分秒进行显示 >:如下图所示。

 --immediate-mode:此选项有点相似于咱们 c 规范 IO 函数的缓冲,指定这个选项便没有这个缓冲,间接将包送达。-B:指定缓冲的大小,也就是咱们可能抓取多大缓冲的包。-C:指定咱们存储抓取到的包文件的大小
 上述这两个选项我切实有些分不清,缓冲的大小和指定文件的大小有什么区别呢。我不晓得怎么用的选项:--time-stamp-precision=tstamp_precision
    -E spi@ipaddr algo:secret,...
 -G rotate_seconds:此选项能够了解为轮询、他须要配合其余选项应用。如 -C、当咱们将文件抓满的时候,咱们就会还是会持续抓、并且笼罩掉之前抓到的内容。-W filecount。

接下来咱们介绍一下表达式。


表达式的作用是过滤掉咱们抓到的包,咱们能够再抓取的时候进行过滤,同时咱们也能够再显示的时候进行过滤。过滤包就是抓到咱们想要的包:咱们能够过滤指定包的协定、包的类型、包的传输源和目标和包中一些关键字进行过滤。同时咱们也能够指定包中的内容进行过滤。因为协定很多,咱们抓到的包品种也有很多,因而、咱们这里只用 icmp 作为例子进行介绍,同时 man 手册中的内容有许多我也不是很懂,我只是从过滤包的大体方向进行介绍。如果想要理解更过内容、或者抓包的例子我这里没有介绍,能够参考 man 手册、而后搜寻对应的关键字就能够。个别的状况下很容易搜寻到对应的内容。type:这里介绍过滤包的 host、net、port、portrange 字段,[host 是主机(例如 192.168.3.1),net 是应用的网络(例如 192.168.3.0 mask 是 255.255.255)]port 是发送或者承受的端口、portrange 是发送或者承受的端口范畴。如下图所示、阐明 net 和 host

dir:此字段阐明传输的源于目标一些信息,这部分和 type 字段联结应用,能够抓指定源 ip 或目标 ip 的端口。当然、man 手册还有许多用法,我这里就不一一介绍了。proto:此字段指定咱们过滤应用的协定,如 udp、tcp。最初咱们介绍一下如果过滤指定类型的包,或者依据包中某些字段的值进行过滤。如下图所示、是 man 手册上一个简略例子。


咱们这里给出一个抓指定 icmp 类型的包。


同时 man 手册中还有许多这样的定义,咱们再下图中给出一些。抓取播送


抓取包的长度大于或者小于某一个数。

退出移动版