tcpdump和wireshark抓包分析总结

雨点打透心脏的1/2处 2022-09-16 14:17 185阅读 0赞

1，抓包

tcpdump命令的用法：

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_15_color_FFFFFF_t_70_g_se_x_16][]

命令说明：

tcpdump -i eth1.890 抓和eth1.890(126.0.1.9)交互的报文。

tcpdump -i eth1.890 -w test.cap 抓和eth1.890(126.0.1.9)交互的报文并保存为test.cap文件，供wireshark使用。

tcpdump -i eth1.890 host 126.0.1.7 -w test.cap

抓126.0.1.7和eth1.890(126.0.1.9)交互的报文并保存为test.cap文件

2，数据解析

用wireshark打开刚才抓包保存的test.cap文件。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_20_color_FFFFFF_t_70_g_se_x_16][]

了解udp报文数据结构：

报文头+报文数据，然后分析。

报文数据分析：

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_19_color_FFFFFF_t_70_g_se_x_16][]

udp报文头分析：

#define UDP_LENGTH 1024
    typedef struct
    {
    	u_char head_h,
    	u_char head_l;
    	u_char msg_type;
    	u_char port;
    	u_char ret_code;
    	u_char msg_id_h;
    	u_char msg_id_l;
    }st_udp_head_t;
    
    typedef struct
    {
    	st_udp_head_t head;
    	u_char data[UDP_LENGTH];
    };

数据部分可根据协议来看数据除了udp头以外的其他部分的每个字节所表示的意思。

既是数据中的62 a2 07 04 00 00 00 00表示数据头，其他的是udp报文数据。

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_15_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/0e5bd64a320c49efae52ea2d5d2e8ad0.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/9db65a9ea1634a7dbfa5ce83af2e0df7.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA6ZmM5LiK6Iqx5byA57yT57yT5b2S5Lul_size_19_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/8571070fac5e41168bc038f1fb4d49cd.png