Linux安全网 - Linux操作系统_Linux 命令_Linux教程_Linux黑客

会员投稿 投稿指南 本期推荐:
搜索:
您的位置: Linux安全网 > Linux命令 > 网络通讯 > » 正文

linux tcpdump命令参数及用法详解--linux下抓包网络分析(4)

来源: 未知 分享至:
 
  12:28:09.222607 IP ylin.local.32854 > 192.168.200.150.domain: 5114+ PTR? 150.200.168.192.in-addr.arpa. (46)
 
  12:28:09.487017 IP 192.168.200.150.domain > ylin.local.32853: 63228 1/0/0 (80)
 
  12:28:09.487232 IP 192.168.200.150.domain > ylin.local.32854: 5114 NXDomain* 0/1/0 (140)
 
  12:28:14.488054 IP ylin.local.32854 > 192.168.200.150.domain: 60693+ PTR? 69.240.168.192.in-addr.arpa. (45)
 
  12:28:14.755072 IP 192.168.200.150.domain > ylin.local.32854: 60693 NXDomain 0/1/0 (122)
 
  使用ping www.baidu.com目标是产生DNS请求和答应,53是DNS的端口号。
 
  此外还有很多qualitifer是还没有提及的,下面是其它合法的primitive,在tcpdump中是可以直接使用的。
 
  gateway host
 
匹配使用host作为网关的数据包,即数据报中mac地址(源或目的)为host,但IP报的源和目的地址不是host的数据包。
 
  dst net net
 
  src net net
 
  net net
 
  net net mask netmask
 
  net net/len
 
  匹配IPv4/v6地址为net网络的数据报。
 
  其中net可以为192.168.0.0或192.168这两种形式。如net 192.168 或net 192.168.0.0
 
  net net mask netmask仅对IPv4数据包有效,如net 192.168.0.0 mask 255.255.0.0
 
  net net/len同样只对IPv4数据包有效,如net 192.168.0.0/16
 
  dst portrange port1-port2
 
  src portrange port1-port2
 
  portrange port1-port2
 
  匹配端口在port1-port2范围内的ip/tcp,ip/upd,ip6/tcp和ip6/udp数据包。dst, src分别指明源或目的。没有则表示src or dst
 
  less length 匹配长度少于等于length的报文。
 
  greater length 匹配长度大于等于length的报文。
 
  ip protochain protocol 匹配ip报文中protocol字段值为protocol的报文
 
  ip6 protochain protocol 匹配ipv6报文中protocol字段值为protocol的报文
 
  如tcpdump 'ip protochain 6 匹配ipv4网络中的TCP报文,与tcpdump 'ip && tcp'用法一样,这里的&&连接两个primitive。6是TCP协议在IP报文中的编号。
 
  ether broadcast
 
  匹配以太网广播报文
 
  ether multicast
 
  匹配以太网多播报文
 
  ip broadcast
 
  匹配IPv4的广播报文。也即IP地址中主机号为全0或全1的IPv4报文。
 
  ip multicast
 
  匹配IPv4多播报文,也就是IP地址为多播地址的报文。
 
  ip6 multicast
 
  匹配IPv6多播报文,即IP地址为多播地址的报文。
 
  vlan vlan_id
 
  匹配为vlan报文 ,且vlan号为vlan_id的报文
 
  到些为此,我们一直在介绍primitive是如何使用的,也即expression只有一个primitive。通过学会写好每个 primtive,我们就很容易把多个primitive组成一个expression,方法很简单,通过逻辑运算符连接起来就可以了,逻辑运算符有以下三个:
 
  “&&” 或”and”
 
  “||” 或“or”
 
  “!” 或“not”
 
  并且可通过()进行复杂的连接运算。
 
  如tcpdump ‘ip && tcp’
 
  tcpdump ‘ host 192.168.240.3 &&( tcp port 80 || tcp port 443)’
 
  通过上面的各种primitive,我们可以写出很丰富的条件,如ip, tcp, udp,vlan等等。如IP,可以按址址进行匹,tcp/udp可以按端口匹配。但是,如果我想匹配更细的条件呢?如tcp中只含syn标志,fin标志的报文呢?上面的primitive恐怕无能为力了。不用怕,tcpdump为你提供最后一个功能最强大的primitive,记住是 primitive,而不是expression。你可以用多个这个的primitive组成更复杂的 expression.
 
  最后一个primitive形式为 expr relop expr
 
  若把这个形式记为A,那么你可这样写tcpdump 'A1 && A2 && ip src 192.168.200.1',等等。
 
  下面我们就来分析A这个形式,看看这是如何强大,如果你觉得很乱的话,建议你先用用上面的知识来实际操作几次,要不然就会很乱的,因为expression太复杂了。
 
  形式:expr relop expr
 
  relop表示关系操作符,可以为>, < ,>=,<=, =, !=之一,
 
  expr是一个算术表达式,由整数组成和二元运算符(+,-,*,/,&,|, <<, >>),长度操作,报文数据访问子。同时所有的整数都是无符号的,即0x80000000 和 0xffffffff > 0。为了访问报文中的数据,可使用如下方式:
 
  proto [ expr : size ]
 
  proto表示该问的报文,expr的结果表示该报文的偏移,size为可选的,表示从expr偏移量起的szie个字节,整个表达式为proto报文 中,expr起的szie字节的内容(无符号整数)
 
  下面是expr relop expr这种形式primitive的例子:
 
  'ether[0] & 1 !=0' ether报文中第0个bit为1,即以太网广播或组播的primtive。
 
  通过这种方式,我们可以对报文的任何一个字节进行匹配了,因此它的功能是十分强大的。
 
  ‘ip[0] = 4’ ip报文中的第一个字节为version,即匹配IPv4的报文,
 
  如果我们想匹配一个syn报文,可以使用:'tcp[13] = 2',因为tcp的标志位为TCP报文的第13个字节,而syn在这个字节的低1位,故匹配只有syn标志的报文,上述条件是可满要求的,并且比较严格。
 
  如果想匹配ping命令的请求报文,可以使用'icmp[0]=8',因为icmp报文的第0字符表示类型,当类型值为8时表示为回显示请求。
 
  对于TCP和ICMP中常用的字节,如TCP中的标志位,ICMP中的类型,这个些偏移量有时会忘记。不过tcpdump为你提供更方便的用法,你不用记位这些数字,用字符就可以代替了.
 
  对于ICMP报文,类型字节可以icmptype来表示它的偏称量,上面的primitive可改为'icmp[icmptype] =8',如果8也记不住怎么办?tcpdump还为该字节的值也提供了字符表示,如'icmp[icmptype] = icmp-echo'。
 
  下面是tcpdump提供的字符偏移量:
 
  icmptype:表示icmp报文中类弄字节的偏移量
 
  icmpcode:表示icmp报文中编码字节的偏移量
 
tcpflags:表示TCP报文中标志位字节的偏移量
 
  此外,还提供了很多值来对应上面的偏移字节:
 
  ICMP中类型字节的值可以是:
 
  icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redi﹔ect, icmp-echo, icmp-routeradvert, icmp-routersolicit,
 
  icmp-timxceed, icmp-paramprob, icmp-tstamp, icmp-tstam﹑reply, icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.
 
  TCP中标志位字节的值可以是:
 
  tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg.
 
  通过上面的字符表示,我们可以写出下面的primitive
 
  'tcp[tcpflags] = tcp-syn' 匹配只有syn标志设置为1的 tcp报文
 
  'tcp[tcpflags] & (tcp-syn |tcp-ack |tcp-fin) !=0' 匹配含有syn,或ack或fin标志位的TCP报文
 
  对于IP报文,没有提供字符支持,如果想匹配更细的条件,直接使用数字指字偏移量就可以了,不过要对IP报文有更深入的了解才可以。
 
  学会写primitive后,expression就是小菜一碟了,由一个或多个primitive组成,并且逻辑连接符组成即可:
 
  tcpdump ‘host 192.168.240.91 && icmp[icmptype] = icmp-echo’
 
  tcpdump ‘host 192.168.1.100 && vrrp’
 
  tcpdump 'ether src 00:00:00:00:00:02 && ether[0] & 1 !=0'
 
  让你随心所欲地使用tcpdump,将不用再从复杂的输出中去挑报文了!
 
  如此,我们可以写出更复杂的表达式来匹配报文,如IP或TCP中的报文id,IP是中的分段标志,ICMP中类型和代码等。
 

Tags: tcpdump命令 tcpdump详解 li tcpdump
分享至:
最新图文资讯
1 2 3 4 5 6
验证码:点击我更换图片 理智评论文明上网,拒绝恶意谩骂 用户名:
推荐内容
关于我们 - 联系我们 - 广告服务 - 友情链接 - 网站地图 - 版权声明 - 发展历史