使用tcpdump抓包
2015-12-04 16:29:43
8091次
Tcpdump 中的关键字主要有以下几种
1.关于类型的关键字主要包括：host、net、port
2.确定传输方向的关键字主要包括：src、dst、dst or src、 dst and src。
3.第三种是协议的关键字，主要包括ip、arp、rarp、tcp、udp、icmp等类型。
4.其他重要的关键字：gateway, broadcast,less,greater。
5.三种逻辑运算:取非运算是not ，! ；与运算是and，&&;或运算 是or，││。多条件时可以用括号，但是要用转义。
使用：
一.初级篇
1.抓取指定网卡
tcpdump -i eth0
如果不加 -i参数，默认抓取所有网卡的数据包，包括回环网卡lo。
可以用-D 参数查看可以抓取的网卡。
2.抓取指定数量的包
tcpdump -c 10 -i eth0
3.保存抓取到的数据包
tcpdump -w save.file -i eth0
抓取到的数据包可以用wireshark分析,要确认保存的目录权限是777，否则会提示 Permission denied 。
4.读取数包文件内容
tcpdump -r save.file
5.显示ip地址和端口号
tcpdump -n -i eth0 显示ip
tcpdump -nn -i eth0 显示ip+端口
默认情况下抓包结果会显示域名,端口会显示对应的协议，例如8.8.8.8显示为8-8-8-8.rev.net.com.sg，而22端口显示为ssh
6.抓包结果中显示时间戳
tcpdump -tttt -i eth0
7.抓取指定协议的数据包
tcpdump -p udp -i eth0
-p也可以省略，支持协议ip、ip6、arp、rarp、tcp、udp、icmp
8.抓取指定端口的数据包
tcpdump port 80
9.以ASCII值显示抓到的包
tcpdum -A -i eth0
二.中级篇
1.抓取包含8.8.8.8的数据
tcpdump -i eth0 -vnn host 8.8.8.8
2.抓取包含8.8.8.8/24段的数据包
tcpdump -i eth0 -vnn net 8.8.8.8/24
3.抓取源ip是8.8.8.8的数据包
tcpdump -i eth0 -vnn src host 8.8.8.8
4.抓取目的ip是8.8.8.8的数据包
tcpdump -i eth0 -vnn dst host 8.8.8.8
5.抓取源端口是22的数据包
tcpdump -i eth0 -vnn src port 22
6.抓取源ip是8.8.8.8 且包含端口是22的数据包
tcpdump -i eth0 -vnn src host 8.8.8.8 and dst port 22
7.抓取源ip是8.8.8.8 或者包含端口是22的数据包
tcpdump -i eth0 -vnn src host 8.8.8.8 or port 22
8.抓取源ip是8.8.8.8且端口不是22的数据包
tcpdump -i eth0 -vnn src host 8.8.8.8 and not port 22
9.抓取源ip是8.8.8.8且目的端口是22，或源ip是4.4.4.4且目的端口是80的数据包
tcpdump -i eth0 -vnn ( src host 8.8.8.8 and dst port 22 ) or ( src host 4.4.4.4 and dst port 80 )
10.抓取源ip是172.16.1.59且目的端口是22，或源ip是172.16.1.68且目的端口是80的数据包
tcpdump -i eth0 -vnn src host 172.16.1.59 and dst port 22 or src host 172.16.1.68 and dst port 80
11.从/tmp/fill记录中读取tcp协议的数据包
tcpdump –i eth0 -vnn -r /tmp/fil1 tcp
12.从/tmp/fill记录中读取包含172.16.1.58的数据包
tcpdump –i eth0 -vnn -r /tmp/fil1 host 172.16.1.58
13.摘取主机172.16.14.107和主机172.16.14.27或172.16.14.99的通信
tcpdump host 172.16.14.107 and (172.16.14.27 or 172.16.14.99 )
14.获取主机172.16.14.107和排除172.16.14.27之后所有主机的数据包
tcpdump ip host 172.16.14.107 and ! 172.16.14.27
三.高级篇
1.打印所有源或目的端口是80, 网络层协议为IPv4, 并且含有数据,而不是SYN,FIN以及ACK-only等不含数据的数据包。
tcpdump tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)
2.抓取HTTP包
tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
0x4745 为"GET"前两个字母"GE",0x4854 为"HTTP"前两个字母"HT"。
3.抓取HTTP Request Headers
tcpdump -n -S -s 0 -A tcp dst port 80 | grep -B3 -A10 "GET /"
