tcpdump

http://blog.csdn.net/s_k_yliu/article/details/6665673/  

抓包和分析

tcpdump 和 tcptrace      tcmdump 和 tcptrace 提供了一種更細緻的分析方法，先用 tcpdump 按要求捕獲資料包把結果輸出到某一檔案，然後再用 tcptrace 分析其檔案格式。這個工具組合可以提供一些難以用其他工具發現的資訊：   

監聽ip

檢視IP資料 #tcpdump -i ppp0 host 183.16.149.252(抓取外網) #tcpdump host 192.168.0.110(抓取內網IP) #tcpdump -i eth0 port  2010或22埠等(抓取內網埠) #tcpdump -i eth0 net 192.168.0.0(抓取內網段) #tcpdump -i eth0 -p arp(抓取ARP協議，病毒) 如：10.1.1.11這個IP有問題 09:16:38.031323 arp who-has 10.1.167.2 tell 10.1.1.11 09:16:38.031323 arp who-has 10.1.167.3 tell 10.1.1.11 09:16:38.031323 arp who-has 10.1.167.4 tell 10.1.1.11 09:16:38.031323 arp who-has 10.1.167.5 tell 10.1.1.11   #iptraf(檢視流量工具) #iftop(實時檢視流量)  

tcpdump 與wireshark

Wireshark(以前是ethereal)是Windows下非常簡單易用的抓包工具。但在Linux下很難找到一個好用的圖形化抓包工具。 還好有Tcpdump。我們可以用Tcpdump + Wireshark 的完美組合實現：在 Linux 裡抓包，然後在Windows 裡分析包。 tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap (1)tcp: ip icmp arp rarp 和 tcp、udp、icmp這些選項等都要放到第一個引數的位置，用來過濾資料報的型別 (2)-i eth1 : 只抓經過介面eth1的包 (3)-t : 不顯示時間戳 (4)-s 0 : 抓取資料包時預設抓取長度為68位元組。加上-S 0 後可以抓到完整的資料包 (5)-c 100 : 只抓取100個數據包 (6)dst port ! 22 : 不抓取目標埠是22的資料包 (7)src net 192.168.1.0/24 : 資料包的源網路地址為192.168.1.0/24 (8)-w ./target.cap : 儲存成cap檔案，方便用ethereal(即wireshark)分析  

使用tcpdump抓取HTTP包

tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 0x4745 為"GET"前兩個字母"GE",0x4854 為"HTTP"前兩個字母"HT"。   https://www.jianshu.com/p/c46f8fc1dd1d tcpdump -i eth0 -A -s 0 'src host 113.65.28.93 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'   1.監聽eth0網絡卡HTTP 80埠的request和response tcpdump -i eth0 -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' 2.監聽eth0網絡卡HTTP 80埠的request(不包括response)，指定來源域名"example.com"，也可以指定IP"192.168.1.107" tcpdump -i eth0 -A -s 0 'src example.com and tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' 3.監聽本機發送至本機的HTTP 80埠的request和response tcpdump -i lo -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' 4.監聽eth0網絡卡HTTP 80埠的request和response，結果另存為cap檔案 tcpdump -i eth0 -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' -w ./dump.cap 注1：如果報錯"tcpdump: Bluetooth link-layer type filtering not implemented"，是因為預設網絡卡不是ech0，需要用-i引數指定作者：lewzylu連結：https://www.jianshu.com/p/c46f8fc1dd1d來源：簡書著作權歸作者所有。商業轉載請聯絡作者獲得授權，非商業轉載請註明出處。