使用tcpdump找出PP用户
| -a 將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字； |
(2). tcpdump的表達(dá)式介紹
表達(dá)式是一個(gè)正則表達(dá)式，tcpdump利用它作為過濾報(bào)文的條件，如果一個(gè)報(bào)文滿足表達(dá)式的條件，
則這個(gè)報(bào)文將會(huì)被捕獲。如果沒有給出任何條件，則網(wǎng)絡(luò)上所有的信息包將會(huì)被截獲。在表達(dá)式中一般如下幾種類型的關(guān)鍵字。
??? 第一種是關(guān)于類型的關(guān)鍵字，主要包括host，net，port, 例如 host 210.27.48.2，指明210.27.48.2是一臺(tái)主機(jī)，net 202.0.0.0 指明 202.0.0.0是一個(gè)網(wǎng)絡(luò)地址，port 23 指明端口號(hào)是23。如果沒有指定類型，缺省的類型是host.
??? 第二種是確定傳輸方向的關(guān)鍵字，主要包括src , dst ,dst or src, dst and src ,這些關(guān)鍵字指明了傳輸?shù)姆较颉Ｅe例說明，src 10.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的網(wǎng)絡(luò)地址是202.0.0.0 。如果沒有指明方向關(guān)鍵字，則缺省是src or dst關(guān)鍵字。
??? 第三種是協(xié)議的關(guān)鍵字，主要包括fddi,ip,arp,rarp,tcp,udp等類型。Fddi指明是在FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò))上的特定的網(wǎng)絡(luò)協(xié)議，實(shí)際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協(xié)議包當(dāng)作ether的包進(jìn)行處理和分析。其他的幾個(gè)關(guān)鍵字就是指明了監(jiān)聽的包的協(xié)議內(nèi)容。如果沒有指定任何協(xié)議，則tcpdump將會(huì)監(jiān)聽所有協(xié)議的信息包。
??? 除了這三種類型的關(guān)鍵字之外，其他重要的關(guān)鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運(yùn)算，取非運(yùn)算 'not ' '! ', 與運(yùn)算是'and','&&';或運(yùn)算 是'or' ,'││'；這些關(guān)鍵字可以組合起來構(gòu)成強(qiáng)大的組合條件來滿足人們的需要，下面舉幾個(gè)例子來說明。
A想要截獲所有210.27.48.1 的主機(jī)收到的和發(fā)出的所有的數(shù)據(jù)包：
#tcpdump host 210.27.48.1
B想要截獲主機(jī)210.27.48.1 和主機(jī)210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中適用括號(hào)時(shí)，一定要
#tcpdump host 210.27.48.1 and (210.27.48.2 or 210.27.48.3 )
C如果想要獲取主機(jī)210.27.48.1除了和主機(jī)210.27.48.2之外所有主機(jī)通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
D如果想要獲取主機(jī)210.27.48.1接收或發(fā)出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
(3). tcpdump的輸出結(jié)果介紹
| A,數(shù)據(jù)鏈路層頭信息 ??? 分析：21：50：12是顯示的時(shí)間， 847509是ID號(hào)，eth0 <表示從網(wǎng)絡(luò)接口eth0 接受該數(shù)據(jù)包，eth0 >表示從網(wǎng)絡(luò)接口設(shè)備發(fā)送數(shù)據(jù)包, 8:0:20:79:5b:46是主機(jī)H219的MAC地址,它表明是從源地址H219發(fā)來的數(shù)據(jù)包. 0:90:27:58:af:1a是主機(jī)ICE的MAC地址,表示該數(shù)據(jù)包的目的地址是ICE . ip 是表明該數(shù)據(jù)包是IP數(shù)據(jù)包,60 是數(shù)據(jù)包的長(zhǎng)度, h219.33357 > ice.telnet 表明該數(shù)據(jù)包是從主機(jī)H219的33357端口發(fā)往主機(jī)ICE的TELNET(23)端口. ack 22535 表明對(duì)序列號(hào)是222535的包進(jìn)行響應(yīng). win 8760表明發(fā)送窗口的大小是8760. B,ARP包的TCPDUMP輸出信息 使用命令 C,TCP包的輸出信息 D,UDP包的輸出信息 ??? 用TCPDUMP捕獲的UDP包的一般輸出信息是： |
實(shí)例 找出內(nèi)網(wǎng)中使用PP的機(jī)器
| shell > tcpdump -nn -vv -c 20 12:11:44.636774 219.140.183.152.8094 > 218.22.65.6.20364: [udp sum ok] udp 50 (ttl 63, id 28190, len 78) |
可以看到有很多本地8094端口出去的包 ，? 我們?cè)賮砜纯催@包 是從LAN中哪個(gè)機(jī)器發(fā)出來的
shell > grep -o "src=.*port.*8094" /proc/net/ip_conntrack
src=192.168.0.135 dst=61.136.86.146 sport=8094 dport=8094 src=61.136.86.146 dst=219.140.183.152 sport=8094 dport=8094 src=192.168.0.135 dst=221.208.245.66 sport=8094 dport=61644 src=221.208.245.66 dst=219.140.183.152 sport=61644 dport=8094 src=192.168.0.135 dst=222.95.172.238 sport=8094 dport=8094 src=222.95.172.238 dst=219.140.183.152 sport=8094 dport=8094 src=192.168.0.135 dst=61.243.183.147 sport=8094 dport=51023 src=61.243.183.147 dst=219.140.183.152 sport=51023 dport=8094 src=192.168.0.135 dst=60.7.111.61 sport=8094 dport=3040 src=60.7.111.61 dst=219.140.183.152 sport=3040 dport=8094 src=192.168.0.135 dst=218.244.65.69 sport=8094 dport=8094 src=218.244.65.69 dst=219.140.183.152 sport=8094 dport=8094 |
可以看到在內(nèi)網(wǎng)中的135機(jī)器 在訪問PP點(diǎn)點(diǎn)通
統(tǒng)計(jì)一下這個(gè)機(jī)器在/proc/net/ip_conntrack里面一共有多少個(gè)連接跟蹤?
grep? "src=192.168.0.135" /proc/net/ip_conntrack|wc -l
380
| tcpdump -i eth1 src host 192.168.0.135 -vv 12:28:46.387185 192.168.0.135.8094 > 222.170.67.114.8094: udp 1058 (ttl 64, id 47289, len 1086) 12:28:46.387595 192.168.0.135.8094 > 222.170.67.114.8094: udp 1058 (ttl 64, id 47290, len 1086) 12:28:46.387756 192.168.0.135.8094 > 218.244.65.69.8094: udp 1058 (ttl 64, id 47291, len 1086) 12:28:46.387895 192.168.0.135.8094 > 221.227.47.28.8094: udp 1058 (ttl 64, id 47292, len 1086) 12:28:46.388038 192.168.0.135.8094 > 218.244.65.69.8094: udp 1058 (ttl 64, id 47293, len 1086) |
根據(jù)上面的包來進(jìn)行匹配
| shell > iptables -A FORWARD -s 192.168.0.135 -p udp --sport 8094 -j DROP ?pkts bytes target???? prot opt in???? out???? source?????????????? destination |
立即可以看到600多個(gè)包被DROP了
另外我們限制他的TCP 連接也最多只能15個(gè)
iptables -A FORWARD -s 192.168.0.135 -p tcp? -m connlimit --connlimit-above 15 -j DROP
附：
PP軟件的封鎖
阻止對(duì)220.175.8.100 的http訪問, 即TCP/80port -不能搜索；阻止來源于LAN 的所有IP 對(duì)UDP/9090~9099 端囗的所有訪問（不能共享其它PP用戶的文件）；阻止來源于LAN 的所有IP 對(duì)udp/8094 端囗的所有訪問；阻止來源于LAN 的所有IP對(duì)TCP/5354 端囗的所有訪問-不能登錄PP。
結(jié)合time和string來管制BT
BT可透過過濾BT種子進(jìn)行阻絕，由于BT種子文件名稱都為有”.torrent”的字符串，所以我們可以利用這個(gè)功能加以過濾。相關(guān)的設(shè)定為：啟動(dòng)網(wǎng)頁字符串管制，新增輸入要過濾的關(guān)鍵詞”.torrent”即可。時(shí)間管制設(shè)定全部或到某一時(shí)間開始到某一時(shí)間失效。可以使用在非工作時(shí)間失效, 結(jié)合下面的日期, 可以控制在工作天上班時(shí)間禁止訪問帶某些關(guān)鍵詞的網(wǎng)頁,如果要禁止所有時(shí)段,
網(wǎng)絡(luò)上流量最大的20個(gè)端口
?
排名 端口號(hào) 服務(wù)名稱
1 4662 Emule、edonkey
2 16881 BitSpirit
3 80 http
4 8094
5 5354 pp點(diǎn)點(diǎn)通、poco
6 7000 傳奇、天驕
7 3077 迅雷
8 2001 聯(lián)眾
9 443 https
10 8000 QQ、中國(guó)游戲中心、上海熱線游戲頻道
11 1007 聯(lián)眾
12 17381
13 22594
14 27005 CS
15 7002 CS1.5
16 27015 CS
17 27016 CS
18 16584
19 10399
20 17130
?
?
上一篇：/proc/net/ip_conntrack
下一篇：MySql 基礎(chǔ)
相關(guān)熱門文章- 女性需要這樣去口 @交(組圖)...
- 女性需要這樣去口 @交(組圖)...
- 女性需要這樣去口 @交(組圖)...
- 女性需要這樣去口 @交(組圖)...
- 女性需要這樣去口 @交(組圖)...
- linux 常見服務(wù)端口
- 什么是shell
- linux socket的bug??
- linux的線程是否受到了保護(hù)？...
- 一個(gè)適用于windows和linux的抓...
- 制作jffs2文件系統(tǒng)
- make命令詳解
- nagios 進(jìn)程突然增多一個(gè)...
- 第七章 進(jìn)程調(diào)度
- ubuntu安裝tftp服務(wù)器
總結(jié)
以上是生活随笔為你收集整理的使用tcpdump找出PP用户的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 手写笔迹还原算法（InkCanvas）
- 下一篇： CA证书合法性验证