使用tcpdump和wireshark剖析tcp流

使用tcpdump和wireshark剖析tcp流

H3C交换机SSH配置完全攻略

使用tcpdump和wireshark剖析tcp流

使用tcpdump和wireshark剖析tcp流

Tcpdump抓包

tcpdump -w packets.pcap -n -i eth0 tcp port 60 and dst host 10.22.47.66
  • -i: 指定网络接口
  • -n: 不做域名剖析,使用ip
  • -w: 抓包存储为可供wireshark剖析的pcap花样
  • tcp port 60 and dst host 10.22.47.66: 条件表达式

Tcpdump条件式

条件表达式语法可以参考: man pcap-filter,下面是一些常见的例子:

只抓udp的包:

tcpdump -i eth0 'udp'

只想查看源机械和目的机械的包:

tcpdump -i eth0 'dst 8.8.8.8'

只想查看目的机械端口是53或80的包:

tcpdump -i eth0 'dst port 53 or dst port 80'

抓到那些通过eth0网卡的,且泉源是roclinux.cn服务器或者目的是roclinux.cn服务器的网络包:

tcpdump -i eth0 'host roclinux.cn'

抓通过eth0网卡的,且roclinux.cn和baidu.com之间通讯的网络包,或者,roclinux.cn和qiyi.com之间通讯的网络包:

tcpdump -i eth0 'host roclinux.cn and (baidu.com or qiyi.com)'

获取使用ftp端口和ftp数据端口的网络包:

tcpdump 'port ftp or ftp-data'

获取roclinux.cn和baidu.com之间确立TCP三次握手中第一个网络包,即带有SYN符号位的网络包,另外,目的主机不能是 qiyi.com:

tcpdump 'tcp[tcpflags] & tcp-syn != 0 and not dst host qiyi.com'

打印IP包长跨越576字节的网络包:

为什么每个人都在谈论 WebAssembly

tcpdump 'ip[2:2] > 576'

proto [ expr : size],只要掌握了这个语法花样,就能看懂上面的三个稀奇古怪的表达式了。

proto就是protocol的缩写,示意这里要指定的是某种协议的名称,好比ip、tcp、ether。实在proto这个位置,总共可以指定的协议类型有15个之多,包罗:

  • ether – 链路层协议
  • fddi – 链路层协议
  • tr – 链路层协议
  • wlan – 链路层协议
  • ppp – 链路层协议
  • slip – 链路层协议
  • link – 链路层协议
  • ip
  • arp
  • rarp
  • tcp
  • udp
  • icmp
  • ip6
  • radio

expr用来指定数据报偏移量,示意从某个协议的数据报的第若干位最先提取内容,默认的起始位置是0;而size示意从偏移量的位置最先提取若干个字节,可以设置为1、2、4。 若是只设置了expr,而没有设置size,则默认提取1个字节。好比ip[2:2],就示意提取出第3、4个字节;而ip[0]则示意提取ip协议头的第一个字节。

在我们提取了特定内容之后,我们就需要设置我们的过滤条件了,我们可用的“对照操作符”包罗:>,<,>=,<=,=,!=,总共有6个。

ip[0] & 0xf != 5

IP协议的第0-4位,示意IP版本号,可以是IPv4(值为0100)或者IPv6(0110);第5-8位示意首部长度,单元是“4字节”,若是首部长度为默认的20字节的话,此值应为5。

安装mac版Wireshark

Wireshark支持多种OS,包罗windows, Mac和Linux,我在这里是使用的Mac版本。

$ brew search wireshark==> Formulaewireshark==> Caskswireshark  wireshark-chmodbpf$ brew cask install wireshark

Wireshark剖析指定的tcp流

在过滤条件中填写tcp.flags.syn==1,或者tcp.flags.fin==1, 找到tcp毗邻的首包或者尾包,这样的tcp流会相对对照完整;

 

使用tcpdump和wireshark剖析tcp流

 

在找到的包上点右键,选择Follow=>TCP Stream, 找到这条完整的tcp流:

使用tcpdump和wireshark剖析tcp流

 

 

想出网关?你需要懂得这些

分享到 :
相关推荐

发表评论

登录... 后才能评论