长江水IT博客园

月度归档： 2024 年 3 月

  • centos端口不通

    检测网络：iptables -S -t nat

     iptables -P  FORWARD  ACCEPT

    开机自启：

    vim   /etc/rc.local 
iptables -P FORWARD   ACCEPT

  • tcpdump抓包工具命令–详解

    tcpdump是工作中必用的一道指令，如果熟悉掌握，将会很快的帮你解决问题！文章写的有点多，但是我认为都很有用！

     

    参数列表

      设置不解析域名提升速度  
    -n 不把ip转化成域名，直接显示 ip，避免执行 DNS lookups 的过程，速度会快很多  
    -nn 不把协议和端口号转化成名字，速度也会快很多。  
    -N 不打印出host 的域名部分.。比如,，如果设置了此选现，tcpdump 将会打印’nic’ 而不是 ‘nic.ddn.mil’.  
         
      过滤指定网卡的数据包  
    -i 指定要过滤的网卡接口，如果要查看所有网卡，可以 -i any  
         
      过滤特定流向的数据包  
    -Q 选择是入方向还是出方向的数据包，可选项有：in, out, inout，也可以使用 –direction=[direction] 这种写法  
         
      常用的一些参数  
    -A 以ASCII码方式显示每一个数据包(不显示链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据  
    -l 基于行的输出，便于你保存查看，或者交给其它工具分析
    tcpdump -nn -A -s1500 -l | egrep -i ‘User-Agent:|Host’
    通过 egrep 可以同时提取用户代理和主机名（或其他头文件）：    		  
    -q 简洁地打印输出。即打印很少的协议相关信息, 从而输出行都比较简短.  
    -c 捕获 count 个包 tcpdump 就退出  
    -s tcpdump 默认只会截取前 96 字节的内容，要想截取所有的报文内容，可以使用 -s number， number 就是你要截取的报文字节数，如果是 0 的话，表示截取报文全部内容。  
    -S 使用绝对序列号，而不是相对序列号  
    -C file-size，tcpdump 在把原始数据包直接保存到文件中之前, 检查此文件大小是否超过file-size. 如果超过了, 将关闭此文件,另创建一个文件继续用于原始数据包的记录. 新创建的文件名与-w 选项指定的文件名一致, 但文件名后多了一个数字.该数字会从1开始随着新创建文件的增多而增加. file-size的单位是百万字节(nt: 这里指1,000,000个字节,并非1,048,576个字节, 后者是以1024字节为1k, 1024k字节为1M计算所得, 即1M=1024 ＊ 1024 ＝ 1,048,576)  
    -F 使用file 文件作为过滤条件表达式的输入, 此时命令行上的输入将被忽略.  
         
      过滤结果输出到文件  
    -w 使用 -w 参数后接一个以 .pcap 后缀命令的文件名，就可以将 tcpdump 抓到的数据保存到文件中。使用 wireshark 打开此文件便可进行分析 tcpdump icmp -w icmp.pcap
    -r 从文件中读取数据，读取后，我们照样可以使用上述的过滤器语法进行过滤分析。 tcpdump icmp -r all.pcap
         
      对输出内容进行控制的参数  
    -D 显示所有可用网络接口的列表  
    -e 每行的打印输出中将包括数据包的数据链路层头部信息  
    -E 揭秘IPSEC数据  
    -L 列出指定网络接口所支持的数据链路层的类型后退出  
    -Z 后接用户名，在抓包时会受到权限的限制。如果以root用户启动tcpdump，tcpdump将会有超级用户权限。  
    -d 打印出易读的包匹配码  
    -dd 以C语言的形式打印出包匹配码.  
    -ddd 以十进制数的形式打印出包匹配码  
         
      控制详细内容的输出  
    -v 产生详细的输出. 比如包的TTL，id标识，数据包长度，以及IP包的一些选项。同时它还会打开一些附加的包完整性检测，比如对IP或ICMP包头部的校验和。  
    -vv 产生比-v更详细的输出. 比如NFS回应包中的附加域将会被打印, SMB数据包也会被完全解码。（摘自网络，目前我还未使用过）  
    -vvv 产生比-vv更详细的输出。比如 telent 时所使用的SB, SE 选项将会被打印, 如果telnet同时使用的是图形界面，其相应的图形选项将会以16进制的方式打印出来（摘自网络，目前我还未使用过）  
         
      控制时间的显示  
    -t 在每行的输出中不输出时间  
    -tt 在每行的输出中会输出时间戳  
    -ttt 输出每两行打印的时间间隔(以毫秒为单位)  
    -tttt 在每行打印的时间戳之前添加日期的打印（此种选项，输出的时间最直观）  
         
      显示数据包的头部  
    -x 以16进制的形式打印每个包的头部数据（但不包括数据链路层的头部）  
    -xx 以16进制的形式打印每个包的头部数据（包括数据链路层的头部）  
    -X 以16进制和 ASCII码形式打印出每个包的数据(但不包括连接层的头部)，这在分析一些新协议的数据包很方便。  
    -XX 以16进制和 ASCII码形式打印出每个包的数据(包括连接层的头部)，这在分析一些新协议的数据包很方便。  

    过滤规则组合

    有编程基础的同学，对于下面三个逻辑运算符应该不陌生了吧

    • and：所有的条件都需要满足，也可以表示为 &&
    • or：只要有一个条件满足就可以，也可以表示为 ||
    • not：取反，也可以使用 !

    举个例子，我想需要抓一个来自10.5.2.3，发往任意主机的3389端口的包

    $ tcpdump src 10.5.2.3 and dst port 3389

    当你在使用多个过滤器进行组合时，有可能需要用到括号，而括号在 shell 中是特殊符号，因为你需要使用引号将其包含。例子如下：

    $ tcpdump 'src 10.0.2.4 and (dst port 3389 or 22)'

    而在单个过滤器里，常常会判断一条件是否成立，这时候，就要使用下面两个符号

    • =：判断二者相等
    • ==：判断二者相等
    • !=：判断二者不相等

    当你使用这两个符号时，tcpdump 还提供了一些关键字的接口来方便我们进行判断，比如

    • if：表示网卡接口名、
    • proc：表示进程名
    • pid：表示进程 id
    • svc：表示 service class
    • dir：表示方向，in 和 out
    • eproc：表示 effective process name
    • epid：表示 effective process ID

    内容输出结构

    21
:
26
:
49.013621 IP 172.20
.20
.1
.15605 > 172.20
.20
.2
.5920
: Flags [
P
.
]
, seq 49
:
97
, ack 106048
, win 4723
, length 48

    从上面的输出来看，可以总结出：

    1. 第一列：时分秒毫秒 21:26:49.013621
    2. 第二列：网络协议 IP
    3. 第三列：发送方的ip地址+端口号，其中172.20.20.1是 ip，而15605 是端口号
    4. 第四列：箭头 >， 表示数据流向
    5. 第五列：接收方的ip地址+端口号，其中 172.20.20.2 是 ip，而5920 是端口号
    6. 第六列：冒号
    7. 第七列：数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length，其中 [P.] 表示 PUSH 标志位为 1，更多标识符见下面

    理解 Flag 标识符

    截取数据只是第一步，第二步就是理解这些数据，下面就解释一下 tcpdump 命令输出各部分的意义。

    21:27:06.995846 IP (tos 0x0, ttl 64, id 45646, offset 0, flags [DF], proto TCP (
6
), length 64
)
    192.168.1.106.56166 > 124.192.132.54.80: Flags [S], cksum 0xa730 (correct), seq 992042666, win 65535, options [mss 1460,nop,wscale 4,nop,nop,TS val 663433143 ecr 0,sackOK,eol], length 0

21:27:07.030487 IP (tos 0x0, ttl 51, id 0, offset 0, flags [DF], proto TCP (
6
), length 44
)
    124.192.132.54.80 > 192.168.1.106.56166: Flags [S.], cksum 0xedc0 (correct), seq 2147006684, ack 992042667, win 14600, options [mss 1440
], length 0

21:27:07.030527 IP (tos 0x0, ttl 64, id 59119, offset 0, flags [DF], proto TCP (
6
), length 40
)
    192.168.1.106.56166 > 124.192.132.54.80: Flags [.], cksum 0x3e72 (correct), ack 2147006685, win 65535, length 0

     

    最基本也是最重要的信息就是数据报的源地址/端口和目的地址/端口，上面的例子第一条数据报中，源地址 ip 是 192.168.1.106，源端口是 56166，目的地址是 124.192.132.54，目的端口是 80。 > 符号代表数据的方向。

    此外，上面的三条数据还是 tcp 协议的三次握手过程，第一条就是 SYN 报文，这个可以通过 Flags [S] 看出。下面是常见的 TCP 报文的 Flags:

    • [S] : SYN（开始连接）
    • [.] : 没有 Flag
    • [P] : PSH（推送数据）
    • [F] : FIN （结束连接）
    • [R] : RST（重置连接）

    而第二条数据的 [S.] 表示 SYN-ACK，就是 SYN 报文的应答报文。

     

    先看看 tcpdump 的具体参数及意义：

    -i ：指定 tcpdump 监听的网络接口

    -s ：指定要监听数据包的长度

    -c ：指定要监听的数据包数量，达到指定数量后自动停止抓包

    -w ：指定将监听到的数据包写入文件中保存

    -A ：指定将每个监听到的数据包以 ACSII 可见字符打印

    -n ：指定将每个监听到数据包中的域名转换成 IP 地址后显示

    -nn ：指定将每个监听到的数据包中的域名转换成 IP 、端口从应用名称转换成端口号后显示

    -e ：指定将监听到的数据包链路层的信息打印出来，包括源 mac 和目的 mac ，以及网络层的协议

    -p ：将网卡设置为非混杂模式，不能与 host 或 broadcast 一起使用

    -r ：指定从某个文件中读取数据包

    -S ：指定打印每个监听到的数据包的 TCP 绝对序列号而非相对序列号

    OK ，参数介绍先到这里，下面看几个具体例子

    先来看一个比较基本的用法：

    #tcpdump -i eth0
@eth0为参数值，表示需要抓包的网口，这是个必需参数哦。

    tcpdump 支持很多的关键字，下面先看几个例子：

    #tcpdump -i eth0 host 192.168.0.250 
@在网口eth0上抓取主机地址为192.168.0.250的所有数据包。
    #tcpdump -i eth0 net 192.168.0.0/24 
@在网口eth0上抓取网络地址为192.168.0.0/24的所有数据包
    #tcpdump -i eth0 port 80 
@在网口eth0上抓取端口为80的所有数据包(注意，这里不区分是源端口还是目的端口)
当然，我们也可以指定源端口或目的端口
    #tcpdump -i eth0 src port 80 and dst port 6100
@在网口eth0上抓取源端口为80且目的端口为6100的数据包，这里用到了and逻辑运算符，后面再介绍
    #tcpdump -i eth0 icmp 
@在网口eth0上抓取所有icmp协议的数据包
以上几个例子，可以大致体现出tcpdump的基本用法。

    实际上， tcpdump 主要包括三种类型的关键字，第一种是关于类型的关键字，主要包括 host ， net ， port ，如上面的例（ 1 ）（ 2 ）（ 3 ），第二种 是确定传输方向的关键字，主要包括 src ， dst ， src or dst ， src and dst ，这些关键字指明了传输的方向，如上面的例（ 4 ）。第三种是协议关键字，包括 fddi ， ip ， arp ， rarp ， tcp ， udp ， imcp 等，如上面的例（ 5 ）。

    除了这三种类型的关键字外，还有其他重要的关键字，如： gateway ， broadcast ， less ， greater ，还有三种逻辑运算，取非运算是 ‘not’ 、 ‘!’ ，与运算符是 ‘and’ 、 ‘&&’ 、

    或运算符是 ‘or’ 、 ‘||’ ，这些关键字可以组合起来构成强大的组合条件来满足我们的需求。

    #tcpdump -i eth0 -s 1400 -nn host 192.168.0.250 and ! 192.168.0.74 and icmp -e
@抓取网口eth0上192.168.0.250与除192.168.0.74外的其他主机之间的icmp报文
    #tcpdump -i eth0 -s 1400 -nn tcp and \(host 192.168.0.250 and ! 192.168.0.74\)
@抓取网口eth0上192.168.0.250与除192.168.0.74外的所有tcp数据包，
这里用到了括号，注意，在tcpdump中使用括号时必须用转义
    #tcpdump -i eth0 ether src or dst 00:21:85:6C:D9:A3
@抓取网口eth0上源mac地址或目的mac地址为00:21:85:6C:D9:A3的所有数据包，
注意，这里的mac地址格式必须以':'分隔。