每日一博 - tcpdump小技巧

￡神魔★判官ぃ 2022-08-28 10:59 158阅读 0赞

### 文章目录 ###

*  what
 *  网络包接收过程
 *  网络包发送过程
 *  工作原理
 *  基础用法
 *   *  不加任何参数，默认情况下将抓取第一个非 lo 网卡上所有的数据包
     *  抓取 eth0 网卡上的所有数据包
     *  抓包时指定 -n 选项，不解析主机和端口名。
     *  抓取指定主机 192.168.1.100 的所有数据包
     *  抓取指定主机 10.1.1.2 发送的数据包
     *  抓取发送给 10.1.1.2 的所有数据包
     *  抓取 eth0 网卡上发往指定主机的数据包，抓到 10 个包就停止
     *  抓取 eth0 网卡上所有 SSH 请求数据包，SSH 默认端口是 22
     *  抓取 eth0 网卡上 5 个 ping 数据包
     *  抓取 eth0 网卡上所有的 arp 数据包
     *  使用十六进制输出，当你想检查数据包内容是否有问题时，十六进制输出会很有帮助。
     *  只抓取 eth0 网卡上 IPv6 的流量
     *  抓取指定端口范围的流量
     *  抓取指定网段的流量
 *  高级进阶
 *   *  抓取指定客户端访问 ssh 的数据包
     *  抓取从某个网段来，到某个网段去的流量
     *  抓取来自某个主机，发往非 ssh 端口的流量
     *  当构建复杂查询的时候，你可能需要使用引号，单引号告诉 tcpdump 忽略特定的特殊字符，这里的 () 就是特殊符号，如果不用引号的话，就需要使用转义字符
     *  基于包大小进行筛选，如果你正在查看特定的包大小，可以使用这个参数
     *  过滤 TCP 特殊标记的数据包
     *  抓取所有非 ping 类型的 ICMP 包
     *  抓取端口是 80，网络层协议为 IPv4， 并且含有数据，而不是 SYN、FIN 以及 ACK 等不含数据的数据包
     *  抓取 HTTP 报文，0x4754 是 GET 前两字符的值，0x4854 是 HTTP 前两个字符的值
 *  常用选项
 *   *  （一）基础选项
     *  （二）输出选项
 *  过滤表达式
 *  netfilter 过滤的包 tcpdump是否可以抓的到

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70]

--------------------

# what #

tcpdump 网络工具， 通常用于故障诊断、网络分析 ，甩锅必备， 那还等什么

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_10_color_FFFFFF_t_70_g_se_x_16]

--------------------

# 网络包接收过程 #

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16]  
在接收包的过程中，数据包是先经过网络设备层然后才到协议层的。

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16 1]  
假如我们设置了 netfilter 规则，在接收包的过程中，工作在网络设备层的 tcpdump 先开始工作。还没等 netfilter 过滤，tcpdump 就抓到包了！

所以，在接收包的过程中，netfilter 过滤并不会影响 tcpdump 的抓包！

--------------------

# 网络包发送过程 #

![在这里插入图片描述][f5623f18f32340a0b91106e0479780d8.png]

在网络包的发送过程中，和接收过程恰好相反，是协议层先处理、网络设备层后处理。

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_19_color_FFFFFF_t_70_g_se_x_16]

如果 netfilter 设置了过滤规则，那么在协议层就直接过滤掉了。在下层网络设备层工作的 tcpdump 将无法再捕获到该网络包。

--------------------

# 工作原理 #

tcpdump 是 Linux 系统中非常有用的网络工具，运行在用户态，本质上是通过调用 libpcap 库的各种 api 来实现数据包的抓取功能.

用户态 tcpdump 命令是通过 socket 系统调用，在内核源码中用到的 ptype\_all 中挂载了函数钩子上去。无论是在网络包接收过程中，还是在发送过程中，都会在网络设备层遍历 ptype\_all 中的协议，并执行其中的回调。tcpdump 命令就是基于这个底层原理来工作的。

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16 2]

通过上图我们可以发现当数据包到达网卡后，经过数据包过滤器（BPF）筛选后，拷贝至用户态的 tcpdump 程序，以供 tcpdump 工具进行后续的处理工作，输出或保存到 pcap 文件。

数据包过滤器（BPF）主要作用，就是根据用户输入的过滤规则，只将用户关心的数据包拷贝至 tcpdump，这样能够减少不必要的数据包拷贝，降低抓包带来的性能损耗。

![在这里插入图片描述][c8afb5de1b48492f92fd33816057fc90.png]

--------------------

# 基础用法 #

## 不加任何参数，默认情况下将抓取第一个非 lo 网卡上所有的数据包 ##

[root@VM-0-7-centos ~]# tcpdump

## 抓取 eth0 网卡上的所有数据包 ##

[root@VM-0-7-centos ~]# tcpdump -i eth0

## 抓包时指定 -n 选项，不解析主机和端口名。 ##

这个参数很关键，会影响抓包的性能，一般抓包时都需要指定该选项。

[root@VM-0-7-centos ~]# tcpdump -n -i eth0

![在这里插入图片描述][fb23698c6f4c48afa887743d025a565c.png]

## 抓取指定主机 192.168.1.100 的所有数据包 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 host 192.168.1.100

## 抓取指定主机 10.1.1.2 发送的数据包 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 src host 10.1.1.2

## 抓取发送给 10.1.1.2 的所有数据包 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 dst host 10.1.1.2

## 抓取 eth0 网卡上发往指定主机的数据包，抓到 10 个包就停止 ##

这个参数也比较常用

[root@VM-0-7-centos ~]# tcpdump -ni eth0 -c 10 dst host 192.168.1.200

## 抓取 eth0 网卡上所有 SSH 请求数据包，SSH 默认端口是 22 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 dst port 22

## 抓取 eth0 网卡上 5 个 ping 数据包 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 -c 5 icmp

![在这里插入图片描述][0534acb8d2fb43bfbec8aa575d3c648e.png]

## 抓取 eth0 网卡上所有的 arp 数据包 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 arp

## 使用十六进制输出，当你想检查数据包内容是否有问题时，十六进制输出会很有帮助。 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 -c 1 arp -X
    listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
    12:13:31.602995 ARP, Request who-has 172.17.92.133 tell 172.17.95.253, length 28
        0x0000:  0001 0800 0604 0001 eeff ffff ffff ac11  ................
        0x0010:  5ffd 0000 0000 0000 ac11 5c85            _.........\.

## 只抓取 eth0 网卡上 IPv6 的流量 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 ip6

![在这里插入图片描述][9f87f21b8959449393f641bbde39c5aa.png]

## 抓取指定端口范围的流量 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 portrange 80-9000

## 抓取指定网段的流量 ##

[root@VM-0-7-centos ~]# tcpdump -ni eth0 net 192.168.1.0/24

![在这里插入图片描述][f284efb46a62484cab52ded397ef9ac0.png]

# 高级进阶 #

tcpdump 强大的功能和灵活的策略，主要体现在过滤器（BPF）强大的表达式组合能力。

![在这里插入图片描述][7d6df5cdd1264be59519a51fb8b0a429.png]

## 抓取指定客户端访问 ssh 的数据包 ##

$ tcpdump -ni eth0 src 192.168.1.100 and dst port 22

## 抓取从某个网段来，到某个网段去的流量 ##

$ tcpdump -ni eth0 src net 192.168.1.0/16 and dst net 10.0.0.0/8 or 172.16.0.0/16

## 抓取来自某个主机，发往非 ssh 端口的流量 ##

$ tcpdump -ni eth0 src 10.0.2.4 and not dst port 22

## 当构建复杂查询的时候，你可能需要使用引号，单引号告诉 tcpdump 忽略特定的特殊字符，这里的 () 就是特殊符号，如果不用引号的话，就需要使用转义字符 ##

$ tcpdump -ni eth0 'src 10.0.2.4 and (dst port 3389 or 22)'

![在这里插入图片描述][aceb908b12c44734926df191434a619a.png]

## 基于包大小进行筛选，如果你正在查看特定的包大小，可以使用这个参数 ##

小于等于 64 字节：

$ tcpdump -ni less 64

大于等于 64 字节：

$ tcpdump -ni eth0 greater 64

等于 64 字节：

$ tcpdump -ni eth0 length == 64

## 过滤 TCP 特殊标记的数据包 ##

抓取某主机发送的 RST 数据包：

$ tcpdump -ni eth0 src host 192.168.1.100 and 'tcp[tcpflags] & (tcp-rst) != 0'

抓取某主机发送的 SYN 数据包：

$ tcpdump -ni eth0 src host 192.168.1.100 and 'tcp[tcpflags] & (tcp-syn) != 0'

抓取某主机发送的 FIN 数据包：

$ tcpdump -ni eth0 src host 192.168.1.100 and 'tcp[tcpflags] & (tcp-fin) != 0'

抓取 TCP 连接中的 SYN 或 FIN 包

$ tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'

![在这里插入图片描述][88a2ddcd8fec4d349c5d623c2af2ac01.png]

## 抓取所有非 ping 类型的 ICMP 包 ##

$ tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

## 抓取端口是 80，网络层协议为 IPv4， 并且含有数据，而不是 SYN、FIN 以及 ACK 等不含数据的数据包 ##

$ tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

解释一下这个复杂的表达式，具体含义就是，整个 IP 数据包长度减去 IP 头长度，再减去 TCP 头的长度，结果不为 0，就表示数据包有 data，如果还不是很理解，需要自行补一下 tcp/ip 协议

## 抓取 HTTP 报文，0x4754 是 GET 前两字符的值，0x4854 是 HTTP 前两个字符的值 ##

$ tcpdump  -ni eth0 'tcp[20:2]=0x4745 or tcp[20:2]=0x4854'

![在这里插入图片描述][090edf23ade148fa80f11f18ea2207b0.png]

# 常用选项 #

## （一）基础选项 ##

-i：指定接口
    -D：列出可用于抓包的接口
    -s：指定数据包抓取的长度
    -c：指定要抓取的数据包的数量
    -w：将抓包数据保存在文件中
    -r：从文件中读取数据
    -C：指定文件大小，与 -w 配合使用
    -F：从文件中读取抓包的表达式
    -n：不解析主机和端口号，这个参数很重要，一般都需要加上
    -P：指定要抓取的包是流入还是流出的包，可以指定的值 in、out、inout

![在这里插入图片描述][5288114d5aae454eb08baf1c3200e43f.png]

## （二）输出选项 ##

-e：输出信息中包含数据链路层头部信息
    -t：显示时间戳，tttt 显示更详细的时间
    -X：显示十六进制格式
    -v：显示详细的报文信息，尝试 -vvv，v 越多显示越详细

--------------------

# 过滤表达式 #

tcpdump 强大的功能和灵活的策略，主要体现在过滤器（BPF）强大的表达式组合能力。

（一）操作对象

表达式中可以操作的对象有如下几种：

*  type，表示对象的类型，比如：host、net、port、portrange，如果不指定 type 的话，默认是 host
 *  dir：表示传输的方向，可取的方式为：src、dst。
 *  proto：表示协议，可选的协议有：ether、ip、ip6、arp、icmp、tcp、udp。

（二）条件组合

表达对象之间还可以通过关键字 and、or、not 进行连接，组成功能更强大的表达式。

*  or：表示或操作
 *  and：表示与操作
 *  not：表示非操作

![在这里插入图片描述][b68cf81460264222a864bc302bc8c0f8.png]

--------------------

# netfilter 过滤的包 tcpdump是否可以抓的到 #

关于这个问题，得分接收和发送过程分别来看。

在网络包接收的过程中，由于 tcpdump 近水楼台，所以完全可以捕获到命中 netfilter 过滤规则的包。

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_18_color_FFFFFF_t_70_g_se_x_16]

但是在发送的过程中，恰恰相反。网络包先经过协议层，这时候被 netfilter 过滤掉的话，底层工作的 tcpdump 还没等看见就啥也没了。  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_19_color_FFFFFF_t_70_g_se_x_16 1]

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_12_color_FFFFFF_t_70_g_se_x_16]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3lhbmdzaGFuZ3dlaQ_size_16_color_FFFFFF_t_70]: /images/20220828/0136efa235a34768bcfd347c2eba119a.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_10_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/a456bf36365848d8a5a849bdc86f04d2.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/40a7ae9f714d4be9aaf7a3aa9f315b50.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/772df9633f7a4eabb3c914d3e2da923d.png
[f5623f18f32340a0b91106e0479780d8.png]: /images/20220828/0be604d03fd04049b7db58e859dab8a5.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_19_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/9b24de4c9c334ac696e830349e08decd.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220828/2b974d9abea24b73995d60afc04bb479.png
[c8afb5de1b48492f92fd33816057fc90.png]: /images/20220828/54e6b6d9dabd44e28b5f3f230f1d6ab3.png
[fb23698c6f4c48afa887743d025a565c.png]: /images/20220828/3112040d65a84409989dbc24a07cd900.png
[0534acb8d2fb43bfbec8aa575d3c648e.png]: /images/20220828/077cf668cac447b888b2245a36521a2f.png
[9f87f21b8959449393f641bbde39c5aa.png]: /images/20220828/7b49fa6174be49b3a592d945a413bdc6.png
[f284efb46a62484cab52ded397ef9ac0.png]: /images/20220828/fcac87a3101a4c41be6f052072750775.png
[7d6df5cdd1264be59519a51fb8b0a429.png]: https://img-blog.csdnimg.cn/7d6df5cdd1264be59519a51fb8b0a429.png
[aceb908b12c44734926df191434a619a.png]: https://img-blog.csdnimg.cn/aceb908b12c44734926df191434a619a.png
[88a2ddcd8fec4d349c5d623c2af2ac01.png]: https://img-blog.csdnimg.cn/88a2ddcd8fec4d349c5d623c2af2ac01.png
[090edf23ade148fa80f11f18ea2207b0.png]: https://img-blog.csdnimg.cn/090edf23ade148fa80f11f18ea2207b0.png
[5288114d5aae454eb08baf1c3200e43f.png]: https://img-blog.csdnimg.cn/5288114d5aae454eb08baf1c3200e43f.png
[b68cf81460264222a864bc302bc8c0f8.png]: https://img-blog.csdnimg.cn/b68cf81460264222a864bc302bc8c0f8.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_18_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/90ca7d57a0bc457d81b9d24ba7fa3144.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5bCP5bCP5bel5Yyg,size_18,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_19_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/f89f74911f79431b95bead4cb7c20591.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5bCP5bCP5bel5Yyg,size_19,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bCP5bCP5bel5Yyg_size_12_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/5fe6a5bf124c4483928dfbbabcdbc31c.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5bCP5bCP5bel5Yyg,size_12,color_FFFFFF,t_70,g_se,x_16