linux抓包命令tcpdump的作用是什么
建站服務(wù)器
linux抓包命令tcpdump的作用是什么？這個(gè)問題可能是我們?nèi)粘W(xué)習(xí)或工作經(jīng)常見到的。希望通過這個(gè)問題能讓你收獲頗深。下面是小編給大家?guī)淼膮⒖純?nèi)容，讓我們一起來看看吧！
linux抓包命令tcpdump用于傾倒網(wǎng)絡(luò)傳輸數(shù)據(jù)，可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來提供分析；它支持針對網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息。
簡介
用簡單的話來定義tcpdump，就是：dump the traffic on a network，根據(jù)使用者的定義對網(wǎng)絡(luò)上的數(shù)據(jù)包進(jìn)行截獲的包分析工具。 tcpdump可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來提供分析。它支持針對網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息。
實(shí)用命令實(shí)例
默認(rèn)啟動(dòng)
tcpdump
普通情況下，直接啟動(dòng)tcpdump將監(jiān)視第一個(gè)網(wǎng)絡(luò)接口上所有流過的數(shù)據(jù)包。
監(jiān)視指定網(wǎng)絡(luò)接口的數(shù)據(jù)包
tcpdump -i eth2
如果不指定網(wǎng)卡，默認(rèn)tcpdump只會(huì)監(jiān)視第一個(gè)網(wǎng)絡(luò)接口，一般是eth0，下面的例子都沒有指定網(wǎng)絡(luò)接口。
監(jiān)視指定主機(jī)的數(shù)據(jù)包
打印所有進(jìn)入或離開sundown的數(shù)據(jù)包.
tcpdump host sundown
也可以指定ip,例如截獲所有210.27.48.1 的主機(jī)收到的和發(fā)出的所有的數(shù)據(jù)包
tcpdump host 210.27.48.1
打印helios 與 hot 或者與 ace 之間通信的數(shù)據(jù)包
tcpdump host helios and \\( hot or ace \\)
截獲主機(jī)210.27.48.1 和主機(jī)210.27.48.2 或210.27.48.3的通信
tcpdump host 210.27.48.1 and \\ (210.27.48.2 or 210.27.48.3 \\)
打印ace與任何其他主機(jī)之間通信的IP 數(shù)據(jù)包, 但不包括與helios之間的數(shù)據(jù)包.
tcpdump ip host ace and not helios
如果想要獲取主機(jī)210.27.48.1除了和主機(jī)210.27.48.2之外所有主機(jī)通信的ip包，使用命令：
tcpdump ip host 210.27.48.1 and ! 210.27.48.2
截獲主機(jī)hostname發(fā)送的所有數(shù)據(jù)
tcpdump -i eth0 src host hostname
監(jiān)視所有送到主機(jī)hostname的數(shù)據(jù)包
tcpdump -i eth0 dst host hostname
監(jiān)視指定主機(jī)和端口的數(shù)據(jù)包
如果想要獲取主機(jī)210.27.48.1接收或發(fā)出的telnet包，使用如下命令
tcpdump tcp port 23 and host 210.27.48.1
對本機(jī)的udp 123 端口進(jìn)行監(jiān)視 123 為ntp的服務(wù)端口
tcpdump udp port 123
監(jiān)視指定網(wǎng)絡(luò)的數(shù)據(jù)包
打印本地主機(jī)與Berkeley網(wǎng)絡(luò)上的主機(jī)之間的所有通信數(shù)據(jù)包(nt: ucb-ether, 此處可理解為'Berkeley網(wǎng)絡(luò)'的網(wǎng)絡(luò)地址,此表達(dá)式最原始的含義可表達(dá)為: 打印網(wǎng)絡(luò)地址為ucb-ether的所有數(shù)據(jù)包)
tcpdump net ucb-ether
打印所有通過網(wǎng)關(guān)snup的ftp數(shù)據(jù)包(注意, 表達(dá)式被單引號括起來了, 這可以防止shell對其中的括號進(jìn)行錯(cuò)誤解析)
tcpdump 'gateway snup and (port ftp or ftp-data)'
打印所有源地址或目標(biāo)地址是本地主機(jī)的IP數(shù)據(jù)包
(如果本地網(wǎng)絡(luò)通過網(wǎng)關(guān)連到了另一網(wǎng)絡(luò), 則另一網(wǎng)絡(luò)并不能算作本地網(wǎng)絡(luò).(nt: 此句翻譯曲折,需補(bǔ)充).localnet 實(shí)際使用時(shí)要真正替換成本地網(wǎng)絡(luò)的名字)
tcpdump ip and not net localnet
監(jiān)視指定協(xié)議的數(shù)據(jù)包
打印TCP會(huì)話中的的開始和結(jié)束數(shù)據(jù)包, 并且數(shù)據(jù)包的源或目的不是本地網(wǎng)絡(luò)上的主機(jī).(nt: localnet, 實(shí)際使用時(shí)要真正替換成本地網(wǎng)絡(luò)的名字))
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'
打印所有源或目的端口是80, 網(wǎng)絡(luò)層協(xié)議為IPv4, 并且含有數(shù)據(jù),而不是SYN,FIN以及ACK-only等不含數(shù)據(jù)的數(shù)據(jù)包.(ipv6的版本的表達(dá)式可做練習(xí))
tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
(nt: 可理解為, ip[2:2]表示整個(gè)ip數(shù)據(jù)包的長度, (ip[0]&0xf)<<2)表示ip數(shù)據(jù)包包頭的長度(ip[0]&0xf代表包中的IHL域, 而此域的單位為32bit, 要換算
成字節(jié)數(shù)需要乘以4, 即左移2. (tcp[12]&0xf0)>>4 表示tcp頭的長度, 此域的單位也是32bit, 換算成比特?cái)?shù)為 ((tcp[12]&0xf0) >> 4) << ２,
即 ((tcp[12]&0xf0)>>2). ((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0 表示: 整個(gè)ip數(shù)據(jù)包的長度減去ip頭的長度,再減去
tcp頭的長度不為0, 這就意味著, ip數(shù)據(jù)包中確實(shí)是有數(shù)據(jù).對于ipv6版本只需考慮ipv6頭中的'Payload Length' 與 'tcp頭的長度'的差值, 并且其中表達(dá)方式'ip[]'需換成'ip6[]'.)
打印長度超過576字節(jié), 并且網(wǎng)關(guān)地址是snup的IP數(shù)據(jù)包
tcpdump 'gateway snup and ip[2:2] > 576'
打印所有IP層廣播或多播的數(shù)據(jù)包， 但不是物理以太網(wǎng)層的廣播或多播數(shù)據(jù)報(bào)
tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'
打印除'echo request'或者'echo reply'類型以外的ICMP數(shù)據(jù)包( 比如,需要打印所有非ping 程序產(chǎn)生的數(shù)據(jù)包時(shí)可用到此表達(dá)式 .
(nt: 'echo reuqest' 與 'echo reply' 這兩種類型的ICMP數(shù)據(jù)包通常由ping程序產(chǎn)生))
tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'
tcpdump 與wireshark
Wireshark(以前是ethereal)是Windows下非常簡單易用的抓包工具。但在Linux下很難找到一個(gè)好用的圖形化抓包工具。
還好有Tcpdump。我們可以用Tcpdump + Wireshark 的完美組合實(shí)現(xiàn)：在 Linux 里抓包，然后在Windows 里分析包。
tcpdump tcp -i eth2 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
(1)tcp: ip icmp arp rarp 和 tcp、udp、icmp這些選項(xiàng)等都要放到第一個(gè)參數(shù)的位置，用來過濾數(shù)據(jù)報(bào)的類型
(2)-i eth2 : 只抓經(jīng)過接口eth2的包
(3)-t : 不顯示時(shí)間戳
(4)-s 0 : 抓取數(shù)據(jù)包時(shí)默認(rèn)抓取長度為68字節(jié)。加上-S 0 后可以抓到完整的數(shù)據(jù)包
(5)-c 100 : 只抓取100個(gè)數(shù)據(jù)包
(6)dst port ! 22 : 不抓取目標(biāo)端口是22的數(shù)據(jù)包
(7)src net 192.168.1.0/24 : 數(shù)據(jù)包的源網(wǎng)絡(luò)地址為192.168.1.0/24
(8)-w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析
使用tcpdump抓取HTTP包
tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
0x4745 為"GET"前兩個(gè)字母"GE",0x4854 為"HTTP"前兩個(gè)字母"HT"。
tcpdump 對截獲的數(shù)據(jù)并沒有進(jìn)行徹底解碼，數(shù)據(jù)包內(nèi)的大部分內(nèi)容是使用十六進(jìn)制的形式直接打印輸出的。顯然這不利于分析網(wǎng)絡(luò)故障，通常的解決辦法是先使用帶-w參數(shù)的tcpdump 截獲數(shù)據(jù)并保存到文件中，然后再使用其他程序(如Wireshark)進(jìn)行解碼分析。當(dāng)然也應(yīng)該定義過濾規(guī)則，以避免捕獲的數(shù)據(jù)包填滿整個(gè)硬盤。
輸出信息含義
首先我們注意一下，基本上tcpdump總的的輸出格式為：系統(tǒng)時(shí)間 來源主機(jī).端口 > 目標(biāo)主機(jī).端口 數(shù)據(jù)包參數(shù)
tcpdump 的輸出格式與協(xié)議有關(guān).以下簡要描述了大部分常用的格式及相關(guān)例子.
鏈路層頭
對于FDDI網(wǎng)絡(luò), '-e' 使tcpdump打印出指定數(shù)據(jù)包的'frame control' 域, 源和目的地址, 以及包的長度.(frame control域
控制對包中其他域的解析). 一般的包(比如那些IP datagrams)都是帶有'async'(異步標(biāo)志)的數(shù)據(jù)包，并且有取值0到7的優(yōu)先級;
比如 'async4'就代表此包為異步數(shù)據(jù)包，并且優(yōu)先級別為4. 通常認(rèn)為,這些包們會(huì)內(nèi)含一個(gè) LLC包(邏輯鏈路控制包); 這時(shí),如果此包
不是一個(gè)ISO datagram或所謂的SNAP包，其LLC頭部將會(huì)被打印(nt:應(yīng)該是指此包內(nèi)含的 LLC包的包頭).
對于Token Ring網(wǎng)絡(luò)(令牌環(huán)網(wǎng)絡(luò)), '-e' 使tcpdump打印出指定數(shù)據(jù)包的'frame control'和'access control'域, 以及源和目的地址,
外加包的長度. 與FDDI網(wǎng)絡(luò)類似, 此數(shù)據(jù)包通常內(nèi)含LLC數(shù)據(jù)包. 不管 是否有'-e'選項(xiàng).對于此網(wǎng)絡(luò)上的'source-routed'類型數(shù)據(jù)包(nt:
意譯為:源地址被追蹤的數(shù)據(jù)包,具體含義未知,需補(bǔ)充), 其包的源路由信息總會(huì)被打印.
對于802.11網(wǎng)絡(luò)(WLAN,即wireless local area network), '-e' 使tcpdump打印出指定數(shù)據(jù)包的'frame control域,
包頭中包含的所有地址, 以及包的長度.與FDDI網(wǎng)絡(luò)類似, 此數(shù)據(jù)包通常內(nèi)含LLC數(shù)據(jù)包.
(注意: 以下的描述會(huì)假設(shè)你熟悉SLIP壓縮算法 (nt:SLIP為Serial Line Internet Protocol.), 這個(gè)算法可以在
RFC-1144中找到相關(guān)的蛛絲馬跡.)
對于SLIP網(wǎng)絡(luò)(nt:SLIP links, 可理解為一個(gè)網(wǎng)絡(luò), 即通過串行線路建立的連接, 而一個(gè)簡單的連接也可看成一個(gè)網(wǎng)絡(luò)),
數(shù)據(jù)包的'direction indicator'('方向指示標(biāo)志')("I"表示入, "O"表示出), 類型以及壓縮信息將會(huì)被打印. 包類型會(huì)被首先打印.
類型分為ip, utcp以及ctcp(nt:未知, 需補(bǔ)充). 對于ip包,連接信息將不被打印(nt:SLIP連接上,ip包的連接信息可能無用或沒有定義.
reconfirm).對于TCP數(shù)據(jù)包, 連接標(biāo)識(shí)緊接著類型表示被打印. 如果此包被壓縮, 其被編碼過的頭部將被打印.
此時(shí)對于特殊的壓縮包,會(huì)如下顯示:
*S+n 或者 *SA+n, 其中n代表包的(順序號或(順序號和應(yīng)答號))增加或減少的數(shù)目(nt | rt:S,SA拗口, 需再譯).
對于非特殊的壓縮包,0個(gè)或更多的'改變'將會(huì)被打印.'改變'被打印時(shí)格式如下:
'標(biāo)志'+/-/=n 包數(shù)據(jù)的長度 壓縮的頭部長度.
其中'標(biāo)志'可以取以下值:
U(代表緊急指針), W(指緩沖窗口), A(應(yīng)答), S(序列號), I(包ID),而增量表達(dá)'=n'表示被賦予新的值, +/-表示增加或減少.
比如, 以下顯示了對一個(gè)外發(fā)壓縮TCP數(shù)據(jù)包的打印, 這個(gè)數(shù)據(jù)包隱含一個(gè)連接標(biāo)識(shí)(connection identifier); 應(yīng)答號增加了6,
順序號增加了49, 包ID號增加了6; 包數(shù)據(jù)長度為3字節(jié)(octect), 壓縮頭部為6字節(jié).(nt:如此看來這應(yīng)該不是一個(gè)特殊的壓縮數(shù)據(jù)包).
ARP/RARP 數(shù)據(jù)包
tcpdump對Arp/rarp包的輸出信息中會(huì)包含請求類型及該請求對應(yīng)的參數(shù). 顯示格式簡潔明了. 以下是從主機(jī)rtsg到主機(jī)csam的'rlogin'
(遠(yuǎn)程登錄)過程開始階段的數(shù)據(jù)包樣例:
arp who-has csam tell rtsg
arp reply csam is-at CSAM
第一行表示:rtsg發(fā)送了一個(gè)arp數(shù)據(jù)包(nt:向全網(wǎng)段發(fā)送,arp數(shù)據(jù)包）以詢問csam的以太網(wǎng)地址
Csam（nt:可從下文看出來, 是Csam）以她自己的以太網(wǎng)地址做了回應(yīng)(在這個(gè)例子中, 以太網(wǎng)地址以大寫的名字標(biāo)識(shí), 而internet
地址(即ip地址)以全部的小寫名字標(biāo)識(shí)).
如果使用tcpdump -n, 可以清晰看到以太網(wǎng)以及ip地址而不是名字標(biāo)識(shí):
arp who-has 128.3.254.6 tell 128.3.254.68
arp reply 128.3.254.6 is-at 02:07:01:00:01:c4
如果我們使用tcpdump -e, 則可以清晰的看到第一個(gè)數(shù)據(jù)包是全網(wǎng)廣播的, 而第二個(gè)數(shù)據(jù)包是點(diǎn)對點(diǎn)的:
RTSG Broadcast 0806 64: arp who-has csam tell rtsg
CSAM RTSG 0806 64: arp reply csam is-at CSAM
第一個(gè)數(shù)據(jù)包表明:以arp包的源以太地址是RTSG, 目標(biāo)地址是全以太網(wǎng)段, type域的值為16進(jìn)制0806(表示ETHER_ARP(nt:arp包的類型標(biāo)識(shí))),
包的總長度為64字節(jié).
TCP 數(shù)據(jù)包
(注意:以下將會(huì)假定你對 RFC-793所描述的TCP熟悉. 如果不熟, 以下描述以及tcpdump程序可能對你幫助不大.(nt:警告可忽略,
只需繼續(xù)看, 不熟悉的地方可回頭再看.).
通常tcpdump對tcp數(shù)據(jù)包的顯示格式如下:
src > dst: flags data-seqno ack window urgent options
src 和 dst 是源和目的IP地址以及相應(yīng)的端口. flags 標(biāo)志由S(SYN), F(FIN), P(PUSH, R(RST),
W(ECN CWT(nt | rep:未知, 需補(bǔ)充))或者 E(ECN-Echo(nt | rep:未知, 需補(bǔ)充))組成,
單獨(dú)一個(gè)'.'表示沒有flags標(biāo)識(shí). 數(shù)據(jù)段順序號(Data-seqno)描述了此包中數(shù)據(jù)所對應(yīng)序列號空間中的一個(gè)位置(nt:整個(gè)數(shù)據(jù)被分段,
每段有一個(gè)順序號, 所有的順序號構(gòu)成一個(gè)序列號空間)(可參考以下例子). Ack 描述的是同一個(gè)連接,同一個(gè)方向,下一個(gè)本端應(yīng)該接收的
(對方應(yīng)該發(fā)送的)數(shù)據(jù)片段的順序號. Window是本端可用的數(shù)據(jù)接收緩沖區(qū)的大小(也是對方發(fā)送數(shù)據(jù)時(shí)需根據(jù)這個(gè)大小來組織數(shù)據(jù)).
Urg(urgent) 表示數(shù)據(jù)包中有緊急的數(shù)據(jù). options 描述了tcp的一些選項(xiàng), 這些選項(xiàng)都用尖括號來表示(如 <mss 1024>).
src, dst 和 flags 這三個(gè)域總是會(huì)被顯示. 其他域的顯示與否依賴于tcp協(xié)議頭里的信息.
這是一個(gè)從trsg到csam的一個(gè)rlogin應(yīng)用登錄的開始階段.
rtsg.1023 > csam.login: S 768512:768512(0) win 4096 <mss 1024>
csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096 <mss 1024>
rtsg.1023 > csam.login: . ack 1 win 4096
rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096
csam.login > rtsg.1023: . ack 2 win 4096
rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096
csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077
csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1
csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1
第一行表示有一個(gè)數(shù)據(jù)包從rtsg主機(jī)的tcp端口1023發(fā)送到了csam主機(jī)的tcp端口login上(nt:udp協(xié)議的端口和tcp協(xié)議的端
口是分別的兩個(gè)空間, 雖然取值范圍一致). S表示設(shè)置了SYN標(biāo)志. 包的順序號是768512, 并且沒有包含數(shù)據(jù).(表示格式
為:'first:last(nbytes)', 其含義是'此包中數(shù)據(jù)的順序號從first開始直到last結(jié)束，不包括last. 并且總共包含nbytes的
用戶數(shù)據(jù)'.) 沒有捎帶應(yīng)答(nt:從下文來看，第二行才是有捎帶應(yīng)答的數(shù)據(jù)包), 可用的接受窗口的大小為4096bytes, 并且請求端(rtsg)
的最大可接受的數(shù)據(jù)段大小是1024字節(jié)(nt:這個(gè)信息作為請求發(fā)向應(yīng)答端csam, 以便雙方進(jìn)一步的協(xié)商).
Csam 向rtsg 回復(fù)了基本相同的SYN數(shù)據(jù)包, 其區(qū)別只是多了一個(gè)' piggy-backed ack'(nt:捎帶回的ack應(yīng)答, 針對rtsg的SYN數(shù)據(jù)包).
rtsg 同樣針對csam的SYN數(shù)據(jù)包回復(fù)了一ACK數(shù)據(jù)包作為應(yīng)答. '.'的含義就是此包中沒有標(biāo)志被設(shè)置. 由于此應(yīng)答包中不含有數(shù)據(jù), 所以
包中也沒有數(shù)據(jù)段序列號. 提醒! 此ACK數(shù)據(jù)包的順序號只是一個(gè)小整數(shù)1. 有如下解釋:tcpdump對于一個(gè)tcp連接上的會(huì)話, 只打印會(huì)話兩端的
初始數(shù)據(jù)包的序列號,其后相應(yīng)數(shù)據(jù)包只打印出與初始包序列號的差異.即初始序列號之后的序列號, 可被看作此會(huì)話上當(dāng)前所傳數(shù)據(jù)片段在整個(gè)
要傳輸?shù)臄?shù)據(jù)中的'相對字節(jié)'位置(nt:雙方的第一個(gè)位置都是1, 即'相對字節(jié)'的開始編號). '-Ｓ'將覆蓋這個(gè)功能,
使數(shù)據(jù)包的原始順序號被打印出來.
第六行的含義為:rtsg 向 csam發(fā)送了19字節(jié)的數(shù)據(jù)(字節(jié)的編號為2到20，傳送方向?yàn)閞tsg到csam). 包中設(shè)置了PUSH標(biāo)志. 在第7行,
csam 喊到， 她已經(jīng)從rtsg中收到了21以下的字節(jié), 但不包括21編號的字節(jié). 這些字節(jié)存放在csam的socket的接收緩沖中, 相應(yīng)地,
csam的接收緩沖窗口大小會(huì)減少19字節(jié)(nt:可以從第5行和第7行win屬性值的變化看出來). csam在第7行這個(gè)包中也向rtsg發(fā)送了一個(gè)
字節(jié). 在第8行和第9行, csam 繼續(xù)向rtsg 分別發(fā)送了兩個(gè)只包含一個(gè)字節(jié)的數(shù)據(jù)包, 并且這個(gè)數(shù)據(jù)包帶PUSH標(biāo)志.
如果所抓到的tcp包(nt:即這里的snapshot)太小了，以至tcpdump無法完整得到其頭部數(shù)據(jù), 這時(shí), tcpdump會(huì)盡量解析這個(gè)不完整的頭,
并把剩下不能解析的部分顯示為'[|tcp]'. 如果頭部含有虛假的屬性信息(比如其長度屬性其實(shí)比頭部實(shí)際長度長或短), tcpdump會(huì)為該頭部
顯示'[bad opt]'. 如果頭部的長度告訴我們某些選項(xiàng)(nt | rt:從下文來看， 指tcp包的頭部中針對ip包的一些選項(xiàng), 回頭再翻)會(huì)在此包中,
而真正的IP(數(shù)據(jù)包的長度又不夠容納這些選項(xiàng), tcpdump會(huì)顯示'[bad hdr length]'.
抓取帶有特殊標(biāo)志的的TCP包(如SYN-ACK標(biāo)志, URG-ACK標(biāo)志等).
在TCP的頭部中, 有8比特(bit)用作控制位區(qū)域, 其取值為:
CWR | ECE | URG | ACK | PSH | RST | SYN | FIN
(nt | rt:從表達(dá)方式上可推斷:這8個(gè)位是用或的方式來組合的, 可回頭再翻)
現(xiàn)假設(shè)我們想要監(jiān)控建立一個(gè)TCP連接整個(gè)過程中所產(chǎn)生的數(shù)據(jù)包. 可回憶如下:TCP使用3次握手協(xié)議來建立一個(gè)新的連接; 其與此三次握手
連接順序?qū)?yīng)，并帶有相應(yīng)TCP控制標(biāo)志的數(shù)據(jù)包如下:
1) 連接發(fā)起方(nt:Caller)發(fā)送SYN標(biāo)志的數(shù)據(jù)包
2) 接收方(nt:Recipient)用帶有SYN和ACK標(biāo)志的數(shù)據(jù)包進(jìn)行回應(yīng)
3) 發(fā)起方收到接收方回應(yīng)后再發(fā)送帶有ACK標(biāo)志的數(shù)據(jù)包進(jìn)行回應(yīng)
0 15 31
-----------------------------------------------------------------
| source port | destination port |
-----------------------------------------------------------------
| sequence number |
-----------------------------------------------------------------
| acknowledgment number |
-----------------------------------------------------------------
| HL | rsvd |C|E|U|A|P|R|S|F| window size |
-----------------------------------------------------------------
| TCP checksum | urgent pointer |
-----------------------------------------------------------------
一個(gè)TCP頭部,在不包含選項(xiàng)數(shù)據(jù)的情況下通常占用20個(gè)字節(jié)(nt | rt:options 理解為選項(xiàng)數(shù)據(jù)，需回譯). 第一行包含0到3編號的字節(jié),
第二行包含編號4-7的字節(jié).
如果編號從0開始算, TCP控制標(biāo)志位于13字節(jié)(nt:第四行左半部分).
0 7| 15| 23| 31
----------------|---------------|---------------|----------------
| HL | rsvd |C|E|U|A|P|R|S|F| window size |
----------------|---------------|---------------|----------------
| | 13th octet | | |
讓我們仔細(xì)看看編號13的字節(jié):
| |
|---------------|
|C|E|U|A|P|R|S|F|
|---------------|
|7 5 3 0|
這里有我們感興趣的控制標(biāo)志位. 從右往左這些位被依次編號為0到7, 從而 PSH位在3號, 而URG位在5號.
提醒一下自己, 我們只是要得到包含SYN標(biāo)志的數(shù)據(jù)包. 讓我們看看在一個(gè)包的包頭中, 如果SYN位被設(shè)置, 到底
在13號字節(jié)發(fā)生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 0 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
在控制段的數(shù)據(jù)中, 只有比特1(bit number 1)被置位.
假設(shè)編號為13的字節(jié)是一個(gè)8位的無符號字符型,并且按照網(wǎng)絡(luò)字節(jié)號排序(nt:對于一個(gè)字節(jié)來說，網(wǎng)絡(luò)字節(jié)序等同于主機(jī)字節(jié)序), 其二進(jìn)制值
如下所示:
00000010
并且其10進(jìn)制值為:
0*2^7 + 0*2^6 + 0*2^5 + 0*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2^0 = 2(nt: 1 * 2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達(dá)中的指數(shù)7 6 ... 0挪到了下面來表達(dá))
接近目標(biāo)了, 因?yàn)槲覀円呀?jīng)知道, 如果數(shù)據(jù)包頭部中的SYN被置位, 那么頭部中的第13個(gè)字節(jié)的值為2(nt: 按照網(wǎng)絡(luò)序, 即大頭方式, 最重要的字節(jié)
在前面(在前面,即該字節(jié)實(shí)際內(nèi)存地址比較小, 最重要的字節(jié),指數(shù)學(xué)表示中數(shù)的高位, 如356中的3) ).
表達(dá)為tcpdump能理解的關(guān)系式就是:
tcp[13] 2
從而我們可以把此關(guān)系式當(dāng)作tcpdump的過濾條件, 目標(biāo)就是監(jiān)控只含有SYN標(biāo)志的數(shù)據(jù)包:
tcpdump -i xl0 tcp[13] 2 (nt: xl0 指網(wǎng)絡(luò)接口, 如eth0)
這個(gè)表達(dá)式是說"讓TCP數(shù)據(jù)包的第13個(gè)字節(jié)擁有值2吧", 這也是我們想要的結(jié)果.
現(xiàn)在, 假設(shè)我們需要抓取帶SYN標(biāo)志的數(shù)據(jù)包, 而忽略它是否包含其他標(biāo)志.(nt:只要帶SYN就是我們想要的). 讓我們來看看當(dāng)一個(gè)含有
SYN-ACK的數(shù)據(jù)包(nt:SYN 和 ACK 標(biāo)志都有), 來到時(shí)發(fā)生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 1 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
13號字節(jié)的1號和4號位被置位, 其二進(jìn)制的值為:
00010010
轉(zhuǎn)換成十進(jìn)制就是:
0*2^7 + 0*2^6 + 0*2^5 + 1*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2 = 18(nt: 1 * 2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達(dá)中的指數(shù)7 6 ... 0挪到了下面來表達(dá))
現(xiàn)在, 卻不能只用'tcp[13] 18'作為tcpdump的過濾表達(dá)式, 因?yàn)檫@將導(dǎo)致只選擇含有SYN-ACK標(biāo)志的數(shù)據(jù)包, 其他的都被丟棄.
提醒一下自己, 我們的目標(biāo)是: 只要包的SYN標(biāo)志被設(shè)置就行, 其他的標(biāo)志我們不理會(huì).
為了達(dá)到我們的目標(biāo), 我們需要把13號字節(jié)的二進(jìn)制值與其他的一個(gè)數(shù)做AND操作(nt:邏輯與)來得到SYN比特位的值. 目標(biāo)是:只要SYN 被設(shè)置
就行, 于是我們就把她與上13號字節(jié)的SYN值(nt: 00000010).
00010010 SYN-ACK 00000010 SYN
AND 00000010 (we want SYN) AND 00000010 (we want SYN)
-------- --------
= 00000010 = 00000010
我們可以發(fā)現(xiàn), 不管包的ACK或其他標(biāo)志是否被設(shè)置, 以上的AND操作都會(huì)給我們相同的值, 其10進(jìn)制表達(dá)就是2(2進(jìn)制表達(dá)就是00000010).
從而我們知道, 對于帶有SYN標(biāo)志的數(shù)據(jù)包, 以下的表達(dá)式的結(jié)果總是真(true):
( ( value of octet 13 ) AND ( 2 ) ) ( 2 ) (nt: value of octet 13, 即13號字節(jié)的值)
靈感隨之而來, 我們于是得到了如下的tcpdump 的過濾表達(dá)式
tcpdump -i xl0 'tcp[13] & 2 2'
注意, 單引號或反斜桿(nt: 這里用的是單引號)不能省略, 這可以防止shell對&的解釋或替換.
UDP 數(shù)據(jù)包
UDP 數(shù)據(jù)包的顯示格式，可通過rwho這個(gè)具體應(yīng)用所產(chǎn)生的數(shù)據(jù)包來說明:
actinide.who > broadcast.who: udp 84
其含義為:actinide主機(jī)上的端口who向broadcast主機(jī)上的端口who發(fā)送了一個(gè)udp數(shù)據(jù)包(nt: actinide和broadcast都是指Internet地址).
這個(gè)數(shù)據(jù)包承載的用戶數(shù)據(jù)為84個(gè)字節(jié).
一些UDP服務(wù)可從數(shù)據(jù)包的源或目的端口來識(shí)別，也可從所顯示的更高層協(xié)議信息來識(shí)別. 比如, Domain Name service requests(dns 請求,
在RFC-1034/1035中), 和Sun RPC calls to NFS(對NFS服務(wù)器所發(fā)起的遠(yuǎn)程調(diào)用(nt: 即Sun RPC)，在RFC-1050中有對遠(yuǎn)程調(diào)用的描述).
UDP 名稱服務(wù)請求
(注意:以下的描述假設(shè)你對Domain Service protoco(nt:在RFC-103中有所描述), 否則你會(huì)發(fā)現(xiàn)以下描述就是天書(nt:希臘文天書,
不必理會(huì), 嚇嚇你的, 接著看就行))
名稱服務(wù)請求有如下的格式:
src > dst: id op? flags qtype qclass name (len)
(nt: 從下文來看, 格式應(yīng)該是src > dst: id op flags qtype qclass? name (len))
比如有一個(gè)實(shí)際顯示為:
h3opolo.1538 > helios.domain: 3+ A? ucbvax.berkeley.edu. (37)
主機(jī)h3opolo 向helios 上運(yùn)行的名稱服務(wù)器查詢ucbvax.berkeley.edu 的地址記錄(nt: qtype等于A). 此查詢本身的id號為'3'. 符號
'+'意味著遞歸查詢標(biāo)志被設(shè)置(nt: dns服務(wù)器可向更高層dns服務(wù)器查詢本服務(wù)器不包含的地址記錄). 這個(gè)最終通過IP包發(fā)送的查詢請求
數(shù)據(jù)長度為37字節(jié), 其中不包括UDP和IP協(xié)議的頭數(shù)據(jù). 因?yàn)榇瞬樵儾僮鳛槟J(rèn)值(nt | rt: normal one的理解), op字段被省略.
如果op字段沒被省略, 會(huì)被顯示在'3' 和'+'之間. 同樣, qclass也是默認(rèn)值, C_IN, 從而也沒被顯示, 如果沒被忽略, 她會(huì)被顯示在'A'之后.
異常檢查會(huì)在方括中顯示出附加的域: 如果一個(gè)查詢同時(shí)包含一個(gè)回應(yīng)(nt: 可理解為, 對之前其他一個(gè)請求的回應(yīng)), 并且此回應(yīng)包含權(quán)威或附加記錄段,
ancount, nscout, arcount(nt: 具體字段含義需補(bǔ)充) 將被顯示為'[na]', '[nn]', '[nau]', 其中n代表合適的計(jì)數(shù). 如果包中以下
回應(yīng)位(比如AA位, RA位, rcode位), 或者字節(jié)2或3中任何一個(gè)'必須為0'的位被置位(nt: 設(shè)置為1), '[b2&3]=x' 將被顯示, 其中x表示
頭部字節(jié)2與字節(jié)3進(jìn)行與操作后的值.
UDP 名稱服務(wù)應(yīng)答
對名稱服務(wù)應(yīng)答的數(shù)據(jù)包，tcpdump會(huì)有如下的顯示格式
src > dst: id op rcode flags a/n/au type class data (len)
比如具體顯示如下:
helios.domain > h3opolo.1538: 3 3/3/7 A 128.32.137.3 (273)
helios.domain > h3opolo.1537: 2 NXDomain* 0/1/0 (97)
第一行表示: helios 對h3opolo 所發(fā)送的3號查詢請求回應(yīng)了3條回答記錄(nt | rt: answer records), 3條名稱服務(wù)器記錄,
以及7條附加的記錄. 第一個(gè)回答記錄(nt: 3個(gè)回答記錄中的第一個(gè))類型為A(nt: 表示地址), 其數(shù)據(jù)為internet地址128.32.137.3.
此回應(yīng)UDP數(shù)據(jù)包, 包含273字節(jié)的數(shù)據(jù)(不包含UPD和IP的頭部數(shù)據(jù)). op字段和rcode字段被忽略(nt: op的實(shí)際值為Query, rcode, 即
response code的實(shí)際值為NoError), 同樣被忽略的字段還有class 字段(nt | rt: 其值為C_IN, 這也是A類型記錄默認(rèn)取值)
第二行表示: helios 對h3opolo 所發(fā)送的2號查詢請求做了回應(yīng). 回應(yīng)中, rcode編碼為NXDomain(nt: 表示不存在的域)), 沒有回答記錄,
但包含一個(gè)名稱服務(wù)器記錄, 不包含權(quán)威服務(wù)器記錄(nt | ck: 從上文來看, 此處的authority records 就是上文中對應(yīng)的additional
records). '*'表示權(quán)威服務(wù)器回答標(biāo)志被設(shè)置(nt: 從而additional records就表示的是authority records).
由于沒有回答記錄, type, class, data字段都被忽略.
flag字段還有可能出現(xiàn)其他一些字符, 比如'-'(nt: 表示可遞歸地查詢, 即RA 標(biāo)志沒有被設(shè)置), '|'(nt: 表示被截?cái)嗟南? 即TC 標(biāo)志
被置位). 如果應(yīng)答(nt | ct: 可理解為, 包含名稱服務(wù)應(yīng)答的UDP數(shù)據(jù)包, tcpdump知道這類數(shù)據(jù)包該怎樣解析其數(shù)據(jù))的'question'段一個(gè)條
目(entry)都不包含(nt: 每個(gè)條目的含義, 需補(bǔ)充),'[nq]' 會(huì)被打印出來.
要注意的是:名稱服務(wù)器的請求和應(yīng)答數(shù)據(jù)量比較大, 而默認(rèn)的68字節(jié)的抓取長度(nt: snaplen, 可理解為tcpdump的一個(gè)設(shè)置選項(xiàng))可能不足以抓取
數(shù)據(jù)包的全部內(nèi)容. 如果你真的需要仔細(xì)查看名稱服務(wù)器的負(fù)載, 可以通過tcpdump 的-s 選項(xiàng)來擴(kuò)大snaplen值.
SMB/CIFS 解碼
tcpdump 已可以對SMB/CIFS/NBT相關(guān)應(yīng)用的數(shù)據(jù)包內(nèi)容進(jìn)行解碼(nt: 分別為'Server Message Block Common', 'Internet File System'
'在TCP/IP上實(shí)現(xiàn)的網(wǎng)絡(luò)協(xié)議NETBIOS的簡稱'. 這幾個(gè)服務(wù)通常使用UDP的137/138以及TCP的139端口). 原來的對IPX和NetBEUI SMB數(shù)據(jù)包的
解碼能力依然可以被使用(nt: NetBEUI為NETBIOS的增強(qiáng)版本).
tcpdump默認(rèn)只按照最簡約模式對相應(yīng)數(shù)據(jù)包進(jìn)行解碼, 如果我們想要詳盡的解碼信息可以使用其-v 啟動(dòng)選現(xiàn). 要注意的是, -v 會(huì)產(chǎn)生非常詳細(xì)的信息,
比如對單一的一個(gè)SMB數(shù)據(jù)包, 將產(chǎn)生一屏幕或更多的信息, 所以此選項(xiàng), 確有需要才使用.
關(guān)于SMB數(shù)據(jù)包格式的信息, 以及每個(gè)域的含義可以參看www.cifs.org 或者samba.org 鏡像站點(diǎn)的pub/samba/specs/ 目錄. linux 上的SMB 補(bǔ)丁
(nt | rt: patch)由 Andrew Tridgell (tridge@samba.org)提供.
NFS 請求和回應(yīng)
tcpdump對Sun NFS(網(wǎng)絡(luò)文件系統(tǒng))請求和回應(yīng)的UDP數(shù)據(jù)包有如下格式的打印輸出:
src.xid > dst.nfs: len op args
src.nfs > dst.xid: reply stat len op results
以下是一組具體的輸出數(shù)據(jù)
sushi.6709 > wrl.nfs: 112 readlink fh 21,24/10.73165
wrl.nfs > sushi.6709: reply ok 40 readlink "../var"
sushi.201b > wrl.nfs:
144 lookup fh 9,74/4096.6878 "xcolors"
wrl.nfs > sushi.201b:
reply ok 128 lookup fh 9,74/4134.3150
第一行輸出表明: 主機(jī)sushi向主機(jī)wrl發(fā)送了一個(gè)'交換請求'(nt: transaction), 此請求的id為6709(注意, 主機(jī)名字后是交換
請求id號, 而不是源端口號). 此請求數(shù)據(jù)為112字節(jié), 其中不包括UDP和IP頭部的長度. 操作類型為readlink(nt: 即此操作為讀符號鏈接操作),
操作參數(shù)為fh 21,24/10.73165(nt: 可按實(shí)際運(yùn)行環(huán)境, 解析如下, fd 表示描述的為文件句柄, 21,24 表示此句柄所對應(yīng)設(shè)
備的主/從設(shè)備號對, 10表示此句柄所對應(yīng)的i節(jié)點(diǎn)編號(nt:每個(gè)文件都會(huì)在操作系統(tǒng)中對應(yīng)一個(gè)i節(jié)點(diǎn), 限于unix類系統(tǒng)中),
73165是一個(gè)編號(nt: 可理解為標(biāo)識(shí)此請求的一個(gè)隨機(jī)數(shù), 具體含義需補(bǔ)充)).
第二行中, wrl 做了'ok'的回應(yīng), 并且在results 字段中返回了sushi想要讀的符號連接的真實(shí)目錄(nt: 即sushi要求讀的符號連接其實(shí)是一個(gè)目錄).
第三行表明: sushi 再次請求 wrl 在'fh 9,74/4096.6878'所描述的目錄中查找'xcolors'文件. 需要注意的是, 每行所顯示的數(shù)據(jù)含義依賴于其中op字段的
類型(nt: 不同op 所對應(yīng)args 含義不相同), 其格式遵循NFS 協(xié)議, 追求簡潔明了.
如果tcpdump 的-v選項(xiàng)(詳細(xì)打印選項(xiàng)) 被設(shè)置, 附加的信息將被顯示. 比如:
sushi.1372a > wrl.nfs:
148 read fh 21,11/12.195 8192 bytes @ 24576
wrl.nfs > sushi.1372a:
reply ok 1472 read REG 100664 ids 417/0 sz 29388
(-v 選項(xiàng)一般還會(huì)打印出IP頭部的TTL, ID， length, 以及fragmentation 域, 但在此例中, 都略過了(nt: 可理解為,簡潔起見, 做了刪減))
在第一行, sushi 請求wrl 從文件 21,11/12.195(nt: 格式在上面有描述)中, 自偏移24576字節(jié)處開始, 讀取8192字節(jié)數(shù)據(jù).
Wrl 回應(yīng)讀取成功; 由于第二行只是回應(yīng)請求的開頭片段, 所以只包含1472字節(jié)(其他的數(shù)據(jù)將在接著的reply片段中到來, 但這些數(shù)據(jù)包不會(huì)再有NFS
頭, 甚至UDP頭信息也為空(nt: 源和目的應(yīng)該要有), 這將導(dǎo)致這些片段不能滿足過濾條件, 從而沒有被打印). -v 選項(xiàng)除了顯示文件數(shù)據(jù)信息, 還會(huì)顯示
附加顯示文件屬性信息: file type(文件類型, ''REG'' 表示普通文件), file mode(文件存取模式, 8進(jìn)制表示的), uid 和gid(nt: 文件屬主和
組屬主), file size (文件大小).
如果-v 標(biāo)志被多次重復(fù)給出(nt: 如-vv)， tcpdump會(huì)顯示更加詳細(xì)的信息.
必須要注意的是, NFS 請求包中數(shù)據(jù)比較多, 如果tcpdump 的snaplen(nt: 抓取長度) 取太短將不能顯示其詳細(xì)信息. 可使用
'-s 192'來增加snaplen, 這可用以監(jiān)測NFS應(yīng)用的網(wǎng)絡(luò)負(fù)載(nt: traffic).
NFS 的回應(yīng)包并不嚴(yán)格的緊隨之前相應(yīng)的請求包(nt: RPC operation). 從而, tcpdump 會(huì)跟蹤最近收到的一系列請求包, 再通過其
交換序號(nt: transaction ID)與相應(yīng)請求包相匹配. 這可能產(chǎn)生一個(gè)問題， 如果回應(yīng)包來得太遲, 超出tcpdump 對相應(yīng)請求包的跟蹤范圍,
該回應(yīng)包將不能被分析.
AFS 請求和回應(yīng)
AFS(nt: Andrew 文件系統(tǒng), Transarc , 未知, 需補(bǔ)充)請求和回應(yīng)有如下的答應(yīng)
src.sport > dst.dport: rx packet-type
src.sport > dst.dport: rx packet-type service call call-name args
src.sport > dst.dport: rx packet-type service reply call-name args
elvis.7001 > pike.afsfs:
rx data fs call rename old fid 536876964/1/1 ".newsrc.new"
new fid 536876964/1/1 ".newsrc"
pike.afsfs > elvis.7001: rx data fs reply rename
在第一行, 主機(jī)elvis 向pike 發(fā)送了一個(gè)RX數(shù)據(jù)包.
這是一個(gè)對于文件服務(wù)的請求數(shù)據(jù)包(nt: RX data packet, 發(fā)送數(shù)據(jù)包 , 可理解為發(fā)送包過去, 從而請求對方的服務(wù)), 這也是一個(gè)RPC
調(diào)用的開始(nt: RPC, remote procedure call). 此RPC 請求pike 執(zhí)行rename(nt: 重命名) 操作, 并指定了相關(guān)的參數(shù):
原目錄描述符為536876964/1/1, 原文件名為 '.newsrc.new', 新目錄描述符為536876964/1/1, 新文件名為 '.newsrc'.
主機(jī)pike 對此rename操作的RPC請求作了回應(yīng)(回應(yīng)表示rename操作成功, 因?yàn)榛貞?yīng)的是包含數(shù)據(jù)內(nèi)容的包而不是異常包).
一般來說, 所有的'AFS RPC'請求被顯示時(shí), 會(huì)被冠以一個(gè)名字(nt: 即decode, 解碼), 這個(gè)名字往往就是RPC請求的操作名.
并且, 這些RPC請求的部分參數(shù)在顯示時(shí), 也會(huì)被冠以一個(gè)名字(nt | rt: 即decode, 解碼, 一般來說也是取名也很直接, 比如,
一個(gè)interesting 參數(shù), 顯示的時(shí)候就會(huì)直接是'interesting', 含義拗口, 需再翻).
這種顯示格式的設(shè)計(jì)初衷為'一看就懂', 但對于不熟悉AFS 和 RX 工作原理的人可能不是很
有用(nt: 還是不用管, 書面嚇嚇你的, 往下看就行).
如果 -v(詳細(xì))標(biāo)志被重復(fù)給出(nt: 如-vv), tcpdump 會(huì)打印出確認(rèn)包(nt: 可理解為, 與應(yīng)答包有區(qū)別的包)以及附加頭部信息
(nt: 可理解為, 所有包, 而不僅僅是確認(rèn)包的附加頭部信息), 比如, RX call ID(請求包中'請求調(diào)用'的ID),
call number('請求調(diào)用'的編號), sequence number(nt: 包順序號),
serial number(nt | rt: 可理解為與包中數(shù)據(jù)相關(guān)的另一個(gè)順信號, 具體含義需補(bǔ)充), 請求包的標(biāo)識(shí). (nt: 接下來一段為重復(fù)描述,
所以略去了), 此外確認(rèn)包中的MTU協(xié)商信息也會(huì)被打印出來(nt: 確認(rèn)包為相對于請求包的確認(rèn)包, Maximum Transmission Unit, 最大傳輸單元).
如果 -v 選項(xiàng)被重復(fù)了三次(nt: 如-vvv), 那么AFS應(yīng)用類型數(shù)據(jù)包的'安全索引'('security index')以及'服務(wù)索引'('service id')將會(huì)
被打印.
對于表示異常的數(shù)據(jù)包(nt: abort packet, 可理解為, 此包就是用來通知接受者某種異常已發(fā)生), tcpdump 會(huì)打印出錯(cuò)誤號(error codes).
但對于Ubik beacon packets(nt: Ubik 燈塔指示包, Ubik可理解為特殊的通信協(xié)議, beacon packets, 燈塔數(shù)據(jù)包, 可理解為指明通信中
關(guān)鍵信息的一些數(shù)據(jù)包), 錯(cuò)誤號不會(huì)被打印, 因?yàn)閷τ赨bik 協(xié)議, 異常數(shù)據(jù)包不是表示錯(cuò)誤, 相反卻是表示一種肯定應(yīng)答(nt: 即, yes vote).
AFS 請求數(shù)據(jù)量大, 參數(shù)也多, 所以要求tcpdump的 snaplen 比較大, 一般可通過啟動(dòng)tcpdump時(shí)設(shè)置選項(xiàng)'-s 256' 來增大snaplen, 以
監(jiān)測AFS 應(yīng)用通信負(fù)載.
AFS 回應(yīng)包并不顯示標(biāo)識(shí)RPC 屬于何種遠(yuǎn)程調(diào)用. 從而, tcpdump 會(huì)跟蹤最近一段時(shí)間內(nèi)的請求包, 并通過call number(調(diào)用編號), service ID
(服務(wù)索引) 來匹配收到的回應(yīng)包. 如果回應(yīng)包不是針對最近一段時(shí)間內(nèi)的請求包, tcpdump將無法解析該包.
KIP AppleTalk協(xié)議
(nt | rt: DDP in UDP可理解為, DDP, The AppleTalk Data Delivery Protocol,
相當(dāng)于支持KIP AppleTalk協(xié)議棧的網(wǎng)絡(luò)層協(xié)議, 而DDP 本身又是通過UDP來傳輸?shù)?
即在UDP 上實(shí)現(xiàn)的用于其他網(wǎng)絡(luò)的網(wǎng)絡(luò)層，KIP AppleTalk是蘋果公司開發(fā)的整套網(wǎng)絡(luò)協(xié)議棧).
AppleTalk DDP 數(shù)據(jù)包被封裝在UDP數(shù)據(jù)包中, 其解封裝(nt: 相當(dāng)于解碼)和相應(yīng)信息的轉(zhuǎn)儲(chǔ)也遵循DDP 包規(guī)則.
(nt:encapsulate, 封裝, 相當(dāng)于編碼, de-encapsulate, 解封裝, 相當(dāng)于解碼, dump, 轉(zhuǎn)儲(chǔ), 通常就是指對其信息進(jìn)行打印).
/etc/atalk.names 文件中包含了AppleTalk 網(wǎng)絡(luò)和節(jié)點(diǎn)的數(shù)字標(biāo)識(shí)到名稱的對應(yīng)關(guān)系. 其文件格式通常如下所示:
number name
1.254 ether
16.1 icsd-net
1.254.110 ace
頭兩行表示有兩個(gè)AppleTalk 網(wǎng)絡(luò). 第三行給出了特定網(wǎng)絡(luò)上的主機(jī)(一個(gè)主機(jī)會(huì)用3個(gè)字節(jié)來標(biāo)識(shí),
而一個(gè)網(wǎng)絡(luò)的標(biāo)識(shí)通常只有兩個(gè)字節(jié), 這也是兩者標(biāo)識(shí)的主要區(qū)別)(nt: 1.254.110 可理解為ether網(wǎng)絡(luò)上的ace主機(jī)).
標(biāo)識(shí)與其對應(yīng)的名字之間必須要用空白分開. 除了以上內(nèi)容, /etc/atalk.names中還包含空行以及注釋行(以'#'開始的行).
AppleTalk 完整網(wǎng)絡(luò)地址將以如下格式顯示:
net.host.port
以下為一段具體顯示:
144.1.209.2 > icsd-net.112.220
office.2 > icsd-net.112.220
jssmag.149.235 > icsd-net.2
(如果/etc/atalk.names 文件不存在, 或者沒有相應(yīng)AppleTalk 主機(jī)/網(wǎng)絡(luò)的條目, 數(shù)據(jù)包的網(wǎng)絡(luò)地址將以數(shù)字形式顯示).
在第一行中, 網(wǎng)絡(luò)144.1上的節(jié)點(diǎn)209通過2端口,向網(wǎng)絡(luò)icsd-net上監(jiān)聽在220端口的112節(jié)點(diǎn)發(fā)送了一個(gè)NBP應(yīng)用數(shù)據(jù)包
(nt | rt: NBP, name binding protocol, 名稱綁定協(xié)議, 從數(shù)據(jù)來看, NBP服務(wù)器會(huì)在端口2提供此服務(wù).
'DDP port 2' 可理解為'DDP 對應(yīng)傳輸層的端口2', DDP本身沒有端口的概念, 這點(diǎn)未確定, 需補(bǔ)充).
第二行與第一行類似, 只是源的全部地址可用'office'進(jìn)行標(biāo)識(shí).
第三行表示: jssmag網(wǎng)絡(luò)上的149節(jié)點(diǎn)通過235向icsd-net網(wǎng)絡(luò)上的所有節(jié)點(diǎn)的2端口(NBP端口)發(fā)送了數(shù)據(jù)包.(需要注意的是,
在AppleTalk 網(wǎng)絡(luò)中如果地址中沒有節(jié)點(diǎn), 則表示廣播地址, 從而節(jié)點(diǎn)標(biāo)識(shí)和網(wǎng)絡(luò)標(biāo)識(shí)最好在/etc/atalk.names有所區(qū)別.
nt: 否則一個(gè)標(biāo)識(shí)x.port 無法確定x是指一個(gè)網(wǎng)絡(luò)上所有主機(jī)的port口還是指定主機(jī)x的port口).
tcpdump 可解析NBP (名稱綁定協(xié)議) and ATP (AppleTalk傳輸協(xié)議)數(shù)據(jù)包, 對于其他應(yīng)用層的協(xié)議, 只會(huì)打印出相應(yīng)協(xié)議名字(
如果此協(xié)議沒有注冊一個(gè)通用名字, 只會(huì)打印其協(xié)議號)以及數(shù)據(jù)包的大小.
NBP 數(shù)據(jù)包會(huì)按照如下格式顯示:
icsd-net.112.220 > jssmag.2: nbp-lkup 190: "=:LaserWriter@*"
jssmag.209.2 > icsd-net.112.220: nbp-reply 190: "RM1140:LaserWriter@*" 250
techpit.2 > icsd-net.112.220: nbp-reply 190: "techpit:LaserWriter@*" 186
第一行表示: 網(wǎng)絡(luò)icsd-net 中的節(jié)點(diǎn)112 通過220端口向網(wǎng)絡(luò)jssmag 中所有節(jié)點(diǎn)的端口2發(fā)送了對'LaserWriter'的名稱查詢請求(nt:
此處名稱可理解為一個(gè)資源的名稱, 比如打印機(jī)). 此查詢請求的序列號為190.
第二行表示: 網(wǎng)絡(luò)jssmag 中的節(jié)點(diǎn)209 通過2端口向icsd-net.112節(jié)點(diǎn)的端口220進(jìn)行了回應(yīng): 我有'LaserWriter'資源, 其資源名稱
為'RM1140', 并且在端口250上提供改資源的服務(wù). 此回應(yīng)的序列號為190, 對應(yīng)之前查詢的序列號.
第三行也是對第一行請求的回應(yīng): 節(jié)點(diǎn)techpit 通過2端口向icsd-net.112節(jié)點(diǎn)的端口220進(jìn)行了回應(yīng):我有'LaserWriter'資源, 其資源名稱
為'techpit', 并且在端口186上提供改資源的服務(wù). 此回應(yīng)的序列號為190, 對應(yīng)之前查詢的序列號.
ATP 數(shù)據(jù)包的顯示格式如下:
jssmag.209.165 > helios.132: atp-req 12266<0-7> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:0 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:1 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:2 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:6 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp*12266:7 (512) 0xae040000
jssmag.209.165 > helios.132: atp-req 12266<3,5> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
jssmag.209.165 > helios.132: atp-rel 12266<0-7> 0xae030001
jssmag.209.133 > helios.132: atp-req* 12267<0-7> 0xae030002
第一行表示節(jié)點(diǎn) Jssmag.209 向節(jié)點(diǎn)helios 發(fā)送了一個(gè)會(huì)話編號為12266的請求包, 請求helios
回應(yīng)8個(gè)數(shù)據(jù)包(這8個(gè)數(shù)據(jù)包的順序號為0-7(nt: 順序號與會(huì)話編號不同, 后者為一次完整傳輸?shù)木幪?
前者為該傳輸中每個(gè)數(shù)據(jù)包的編號. transaction, 會(huì)話, 通常也被叫做傳輸)). 行尾的16進(jìn)制數(shù)字表示
該請求包中'userdata'域的值(nt: 從下文來看, 這并沒有把所有用戶數(shù)據(jù)都打印出來 ).
Helios 回應(yīng)了8個(gè)512字節(jié)的數(shù)據(jù)包. 跟在會(huì)話編號(nt: 12266)后的數(shù)字表示該數(shù)據(jù)包在該會(huì)話中的順序號.
括號中的數(shù)字表示該數(shù)據(jù)包中數(shù)據(jù)的大小, 這不包括atp 的頭部. 在順序號為7數(shù)據(jù)包(第8行)外帶了一個(gè)'*'號,
表示該數(shù)據(jù)包的EOM 標(biāo)志被設(shè)置了.(nt: EOM, End Of Media, 可理解為, 表示一次會(huì)話的數(shù)據(jù)回應(yīng)完畢).
接下來的第9行表示, Jssmag.209 又向helios 提出了請求: 順序號為3以及5的數(shù)據(jù)包請重新傳送. Helios 收到這個(gè)
請求后重新發(fā)送了這個(gè)兩個(gè)數(shù)據(jù)包, jssmag.209 再次收到這兩個(gè)數(shù)據(jù)包之后, 主動(dòng)結(jié)束(release)了此會(huì)話.
在最后一行, jssmag.209 向helios 發(fā)送了開始下一次會(huì)話的請求包. 請求包中的'*'表示該包的XO 標(biāo)志沒有被設(shè)置.
(nt: XO, exactly once, 可理解為在該會(huì)話中, 數(shù)據(jù)包在接受方只被精確地處理一次, 就算對方重復(fù)傳送了該數(shù)據(jù)包,
接收方也只會(huì)處理一次, 這需要用到特別設(shè)計(jì)的數(shù)據(jù)包接收和處理機(jī)制).
IP 數(shù)據(jù)包破碎
(nt: 指把一個(gè)IP數(shù)據(jù)包分成多個(gè)IP數(shù)據(jù)包)
碎片IP數(shù)據(jù)包(nt: 即一個(gè)大的IP數(shù)據(jù)包破碎后生成的小IP數(shù)據(jù)包)有如下兩種顯示格式.
(frag id:size@offset+)
(frag id:size@offset)
(第一種格式表示, 此碎片之后還有后續(xù)碎片. 第二種格式表示, 此碎片為最后一個(gè)碎片.)
id 表示破碎編號(nt: 從下文來看, 會(huì)為每個(gè)要破碎的大IP包分配一個(gè)破碎編號, 以便區(qū)分每個(gè)小碎片是否由同一數(shù)據(jù)包破碎而來).
size 表示此碎片的大小 , 不包含碎片頭部數(shù)據(jù). offset表示此碎片所含數(shù)據(jù)在原始整個(gè)IP包中的偏移((nt: 從下文來看,
一個(gè)IP數(shù)據(jù)包是作為一個(gè)整體被破碎的, 包括頭和數(shù)據(jù), 而不只是數(shù)據(jù)被分割).
每個(gè)碎片都會(huì)使tcpdump產(chǎn)生相應(yīng)的輸出打印. 第一個(gè)碎片包含了高層協(xié)議的頭數(shù)據(jù)(nt:從下文來看, 被破碎IP數(shù)據(jù)包中相應(yīng)tcp頭以及
IP頭都放在了第一個(gè)碎片中 ), 從而tcpdump會(huì)針對第一個(gè)碎片顯示這些信息, 并接著顯示此碎片本身的信息. 其后的一些碎片并不包含高層協(xié)議頭信息, 從而只會(huì)在顯示源和目的之后顯示碎片本身的信息. 以下有一個(gè)例子: 這是一個(gè)從arizona.edu 到lbl-rtsg.arpa途經(jīng)CSNET網(wǎng)絡(luò)(nt: CSNET connection 可理解為建立在CSNET 網(wǎng)絡(luò)上的連接)的ftp應(yīng)用通信片段:
arizona.ftp-data > rtsg.1170: . 1024:1332(308) ack 1 win 4096 (frag 595a:328@0+)
arizona > rtsg: (frag 595a:204@328)
rtsg.1170 > arizona.ftp-data: . ack 1536 win 2560
有幾點(diǎn)值得注意:
第一, 第二行的打印中, 地址后面沒有端口號.
這是因?yàn)門CP協(xié)議信息都放到了第一個(gè)碎片中, 當(dāng)顯示第二個(gè)碎片時(shí), 我們無法知道此碎片所對應(yīng)TCP包的順序號.
第二, 從第一行的信息中, 可以發(fā)現(xiàn)arizona需要向rtsg發(fā)送308字節(jié)的用戶數(shù)據(jù), 而事實(shí)是, 相應(yīng)IP包經(jīng)破碎后會(huì)總共產(chǎn)生512字節(jié)
數(shù)據(jù)(第一個(gè)碎片包含308字節(jié)的數(shù)據(jù), 第二個(gè)碎片包含204個(gè)字節(jié)的數(shù)據(jù), 這超過了308字節(jié)). 如果你在查找數(shù)據(jù)包的順序號空間中的
一些空洞(nt: hole,空洞, 指數(shù)據(jù)包之間的順序號沒有上下銜接上), 512這個(gè)數(shù)據(jù)就足夠使你迷茫一陣(nt: 其實(shí)只要關(guān)注308就行,
不必關(guān)注破碎后的數(shù)據(jù)總量).
一個(gè)數(shù)據(jù)包(nt | rt: 指IP數(shù)據(jù)包)如果帶有非IP破碎標(biāo)志, 則顯示時(shí)會(huì)在最后顯示'(DF)'.(nt: 意味著此IP包沒有被破碎過).
時(shí)間戳
tcpdump的所有輸出打印行中都會(huì)默認(rèn)包含時(shí)間戳信息.
時(shí)間戳信息的顯示格式如下
hh:mm:ss.frac (nt: 小時(shí):分鐘:秒.(nt: frac未知, 需補(bǔ)充))
此時(shí)間戳的精度與內(nèi)核時(shí)間精度一致, 反映的是內(nèi)核第一次看到對應(yīng)數(shù)據(jù)包的時(shí)間(nt: saw, 即可對該數(shù)據(jù)包進(jìn)行操作).
而數(shù)據(jù)包從物理線路傳遞到內(nèi)核的時(shí)間, 以及內(nèi)核花費(fèi)在此包上的中斷處理時(shí)間都沒有算進(jìn)來.
命令使用
tcpdump采用命令行方式，它的命令格式為：
tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c count ]
[ -C file_size ] [ -F file ]
[ -i ] [ -m module ] [ -M secret ]
[ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]
[ -W filecount ]
[ -E spi@ipaddr algo:secret,... ]
[ -y datalinktype ] [ -Z user ]
[ expression ]
tcpdump的簡單選項(xiàng)介紹
-A 以ASCII碼方式顯示每一個(gè)數(shù)據(jù)包(不會(huì)顯示數(shù)據(jù)包中鏈路層頭部信息). 在抓取包含網(wǎng)頁數(shù)據(jù)的數(shù)據(jù)包時(shí), 可方便查看數(shù)據(jù)(nt: 即Handy capturing web pages).
-c count
tcpdump將在接受到count個(gè)數(shù)據(jù)包后退出.
-C file-size (nt: 此選項(xiàng)用于配合-w file 選項(xiàng)使用)
該選項(xiàng)使得tcpdump 在把原始數(shù)據(jù)包直接保存到文件中之前, 檢查此文件大小是否超過file-size. 如果超過了, 將關(guān)閉此文件,另創(chuàng)一個(gè)文件繼續(xù)用于原始數(shù)據(jù)包的記錄. 新創(chuàng)建的文件名與-w 選項(xiàng)指定的文件名一致, 但文件名后多了一個(gè)數(shù)字.該數(shù)字會(huì)從1開始隨著新創(chuàng)建文件的增多而增加. file-size的單位是百萬字節(jié)(nt: 這里指1,,000個(gè)字節(jié),并非1,,576個(gè)字節(jié), 后者是以1024字節(jié)為1k, 1024k字節(jié)為1M計(jì)算所得, 即1M= ＊ ＝ ,,)
-d 以容易閱讀的形式,在標(biāo)準(zhǔn)輸出上打印出編排過的包匹配碼, 隨后tcpdump停止.(nt | rt: human readable, 容易閱讀的,通常是指以ascii碼來打印一些信息. compiled, 編排過的. packet-matching code, 包匹配碼,含義未知, 需補(bǔ)充)
-dd 以C語言的形式打印出包匹配碼.
-ddd 以十進(jìn)制數(shù)的形式打印出包匹配碼(會(huì)在包匹配碼之前有一個(gè)附加的前綴).
-D 打印系統(tǒng)中所有tcpdump可以在其上進(jìn)行抓包的網(wǎng)絡(luò)接口. 每一個(gè)接口會(huì)打印出數(shù)字編號, 相應(yīng)的接口名字, 以及可能的一個(gè)網(wǎng)絡(luò)接口描述. 其中網(wǎng)絡(luò)接口名字和數(shù)字編號可以用在tcpdump 的-i flag 選項(xiàng)(nt: 把名字或數(shù)字代替flag), 來指定要在其上抓包的網(wǎng)絡(luò)接口.
此選項(xiàng)在不支持接口列表命令的系統(tǒng)上很有用(nt: 比如, Windows 系統(tǒng), 或缺乏 ifconfig -a 的UNIX系統(tǒng)); 接口的數(shù)字編號在windows 或其后的系統(tǒng)中很有用, 因?yàn)檫@些系統(tǒng)上的接口名字比較復(fù)雜, 而不易使用.
如果tcpdump編譯時(shí)所依賴的libpcap庫太老,-D 選項(xiàng)不會(huì)被支持, 因?yàn)槠渲腥狈?pcap_findalldevs()函數(shù).
-e 每行的打印輸出中將包括數(shù)據(jù)包的數(shù)據(jù)鏈路層頭部信息
-E spi@ipaddr algo:secret,...
可通過spi@ipaddr algo:secret 來解密IPsec ESP包(nt | rt:IPsec Encapsulating Security Payload,IPsec 封裝安全負(fù)載, IPsec可理解為, 一整套對ip數(shù)據(jù)包的加密協(xié)議, ESP 為整個(gè)IP 數(shù)據(jù)包或其中上層協(xié)議部分被加密后的數(shù)據(jù),前者的工作模式稱為隧道模式; 后者的工作模式稱為傳輸模式 . 工作原理, 另需補(bǔ)充).
需要注意的是, 在終端啟動(dòng)tcpdump 時(shí), 可以為IPv4 ESP packets 設(shè)置密鑰(secret）.
可用于加密的算法包括des-cbc, 3des-cbc, blowfish-cbc, rc3-cbc, cast128-cbc, 或者沒有(none).默認(rèn)的是des-cbc(nt: des, Data Encryption Standard, 數(shù)據(jù)加密標(biāo)準(zhǔn), 加密算法未知, 另需補(bǔ)充).secret 為用于ESP 的密鑰, 使用ASCII 字符串方式表達(dá). 如果以 0x 開頭, 該密鑰將以16進(jìn)制方式讀入.
該選項(xiàng)中ESP 的定義遵循RFC2406, 而不是 RFC1827. 并且, 此選項(xiàng)只是用來調(diào)試的, 不推薦以真實(shí)密鑰(secret)來使用該選項(xiàng), 因?yàn)檫@樣不安全: 在命令行中輸入的secret 可以被其他人通過ps 等命令查看到.
除了以上的語法格式(nt: 指spi@ipaddr algo:secret), 還可以在后面添加一個(gè)語法輸入文件名字供tcpdump 使用(nt：即把spi@ipaddr algo:secret,... 中...換成一個(gè)語法文件名). 此文件在接受到第一個(gè)ESP 包時(shí)會(huì)打開此文件, 所以最好此時(shí)把賦予tcpdump 的一些特權(quán)取消(nt: 可理解為, 這樣防范之后, 當(dāng)該文件為惡意編寫時(shí),不至于造成過大損害).
-f 顯示外部的IPv4 地址時(shí)(nt: foreign IPv4 addresses, 可理解為, 非本機(jī)ip地址), 采用數(shù)字方式而不是名字.(此選項(xiàng)是用來對付Sun公司的NIS服務(wù)器的缺陷(nt: NIS, 網(wǎng)絡(luò)信息服務(wù), tcpdump 顯示外部地址的名字時(shí)會(huì)用到她提供的名稱服務(wù)): 此NIS服務(wù)器在查詢非本地地址名字時(shí),常常會(huì)陷入無盡的查詢循環(huán)).
由于對外部(foreign)IPv4地址的測試需要用到本地網(wǎng)絡(luò)接口(nt: tcpdump 抓包時(shí)用到的接口)及其IPv4 地址和網(wǎng)絡(luò)掩碼. 如果此地址或網(wǎng)絡(luò)掩碼不可用, 或者此接口根本就沒有設(shè)置相應(yīng)網(wǎng)絡(luò)地址和網(wǎng)絡(luò)掩碼(nt: linux 下的 網(wǎng)絡(luò)接口就不需要設(shè)置地址和掩碼, 不過此接口可以收到系統(tǒng)中所有接口的數(shù)據(jù)包), 該選項(xiàng)不能正常工作.
-F file
使用file 文件作為過濾條件表達(dá)式的輸入, 此時(shí)命令行上的輸入將被忽略.
-i
指定tcpdump 需要監(jiān)聽的接口. 如果沒有指定, tcpdump 會(huì)從系統(tǒng)接口列表中搜尋編號最小的已配置好的接口(不包括 loopback 接口).一但找到第一個(gè)符合條件的接口, 搜尋馬上結(jié)束.
在采用2.2版本或之后版本內(nèi)核的Linux 操作系統(tǒng)上, 這個(gè)虛擬網(wǎng)絡(luò)接口可被用來接收所有網(wǎng)絡(luò)接口上的數(shù)據(jù)包(nt: 這會(huì)包括目的是該網(wǎng)絡(luò)接口的, 也包括目的不是該網(wǎng)絡(luò)接口的). 需要注意的是如果真實(shí)網(wǎng)絡(luò)接口不能工作在模式(promiscuous)下,則無法在這個(gè)虛擬的網(wǎng)絡(luò)接口上抓取其數(shù)據(jù)包.
如果 -D 標(biāo)志被指定, tcpdump會(huì)打印系統(tǒng)中的接口編號，而該編號就可用于此處的interface 參數(shù).
-l 對標(biāo)準(zhǔn)輸出進(jìn)行行緩沖(nt: 使標(biāo)準(zhǔn)輸出設(shè)備遇到一個(gè)換行符就馬上把這行的內(nèi)容打印出來).在需要同時(shí)觀察抓包打印以及保存抓包記錄的時(shí)候很有用. 比如, 可通過以下命令組合來達(dá)到此目的:
``tcpdump -l | tee dat 或者 ``tcpdump -l > dat & tail -f dat.(nt: 前者使用tee來把tcpdump 的輸出同時(shí)放到文件dat和標(biāo)準(zhǔn)輸出中, 而后者通過重定向操作, 把tcpdump的輸出放到dat 文件中, 同時(shí)通過tail把dat文件中的內(nèi)容放到標(biāo)準(zhǔn)輸出中)
-L 列出指定網(wǎng)絡(luò)接口所支持的數(shù)據(jù)鏈路層的類型后退出.(nt: 指定接口通過-i 來指定)
-m module
通過module 指定的file 裝載SMI MIB 模塊(nt: SMI，Structure of Management Information, 管理信息結(jié)構(gòu)MIB, Management Information Base, 管理信息庫. 可理解為, 這兩者用于SNMP(Simple Network Management Protoco)協(xié)議數(shù)據(jù)包的抓取. 具體SNMP 的工作原理未知, 另需補(bǔ)充).
此選項(xiàng)可多次使用, 從而為tcpdump 裝載不同的MIB 模塊.
-M secret 如果TCP 數(shù)據(jù)包(TCP segments)有TCP-MD5選項(xiàng)(在RFC 2385有相關(guān)描述), 則為其摘要的驗(yàn)證指定一個(gè)公共的密鑰secret.
-n 不對地址(比如, 主機(jī)地址, 端口號)進(jìn)行數(shù)字表示到名字表示的轉(zhuǎn)換.
-N 不打印出host 的域名部分. 比如, 如果設(shè)置了此選現(xiàn), tcpdump 將會(huì)打印 而不是 .
-O 不啟用進(jìn)行包匹配時(shí)所用的優(yōu)化代碼. 當(dāng)懷疑某些bug是由優(yōu)化代碼引起的, 此選項(xiàng)將很有用.
-p 一般情況下, 把網(wǎng)絡(luò)接口設(shè)置為非模式. 但必須注意 , 在特殊情況下此網(wǎng)絡(luò)接口還是會(huì)以模式來工作； 從而, 的設(shè)與不設(shè), 不能當(dāng)做以下選現(xiàn)的代名詞: 或 (nt: 前者表示只匹配以太網(wǎng)地址為host 的包, 后者表示匹配以太網(wǎng)地址為廣播地址的數(shù)據(jù)包).
-q 快速(也許用更好?)打印輸出. 即打印很少的協(xié)議相關(guān)信息, 從而輸出行都比較簡短.
-R 設(shè)定tcpdump 對 ESP/AH 數(shù)據(jù)包的解析按照 RFC1825而不是RFC1829(nt: AH, 認(rèn)證頭, ESP， 安全負(fù)載封裝, 這兩者會(huì)用在IP包的安全傳輸機(jī)制中). 如果此選項(xiàng)被設(shè)置, tcpdump 將不會(huì)打印出域(nt: relay prevention field). 另外,由于ESP/AH規(guī)范中沒有規(guī)定ESP/AH數(shù)據(jù)包必須擁有協(xié)議版本號域,所以tcpdump不能從收到的ESP/AH數(shù)據(jù)包中推導(dǎo)出協(xié)議版本號.
-r file
從文件file 中讀取包數(shù)據(jù). 如果file 字段為 符號, 則tcpdump 會(huì)從標(biāo)準(zhǔn)輸入中讀取包數(shù)據(jù).
-S 打印TCP 數(shù)據(jù)包的順序號時(shí), 使用絕對的順序號, 而不是相對的順序號.(nt: 相對順序號可理解為, 相對第一個(gè)TCP 包順序號的差距,比如, 接受方收到第一個(gè)數(shù)據(jù)包的絕對順序號為232323, 對于后來接收到的第2個(gè),第3個(gè)數(shù)據(jù)包, tcpdump會(huì)打印其序列號為1, 2分別表示與第一個(gè)數(shù)據(jù)包的差距為1 和 . 而如果此時(shí)-S 選項(xiàng)被設(shè)置, 對于后來接收到的第2個(gè), 第3個(gè)數(shù)據(jù)包會(huì)打印出其絕對順序號:, ).
-s snaplen
設(shè)置tcpdump的數(shù)據(jù)包抓取長度為snaplen, 如果不設(shè)置默認(rèn)將會(huì)是68字節(jié)(而支持網(wǎng)絡(luò)接口分接頭(nt: NIT, 上文已有描述,可搜索關(guān)鍵字找到那里)的SunOS系列操作系統(tǒng)中默認(rèn)的也是最小值是96).68字節(jié)對于IP, ICMP(nt: Internet Control Message Protocol,因特網(wǎng)控制報(bào)文協(xié)議), TCP 以及 UDP 協(xié)議的報(bào)文已足夠, 但對于名稱服務(wù)(nt: 可理解為dns, nis等服務(wù)), NFS服務(wù)相關(guān)的數(shù)據(jù)包會(huì)產(chǎn)生包截短. 如果產(chǎn)生包截短這種情況, tcpdump的相應(yīng)打印輸出行中會(huì)出現(xiàn)[|proto]的標(biāo)志（proto 實(shí)際會(huì)顯示為被截短的數(shù)據(jù)包的相關(guān)協(xié)議層次). 需要注意的是, 采用長的抓取長度(nt: snaplen比較大), 會(huì)增加包的處理時(shí)間, 并且會(huì)減少tcpdump 可緩存的數(shù)據(jù)包的數(shù)量， 從而會(huì)導(dǎo)致數(shù)據(jù)包的丟失. 所以, 在能抓取我們想要的包的前提下, 抓取長度越小越好.把snaplen 設(shè)置為0 意味著讓tcpdump自動(dòng)選擇合適的長度來抓取數(shù)據(jù)包.
-T type
強(qiáng)制tcpdump按type指定的協(xié)議所描述的包結(jié)構(gòu)來分析收到的數(shù)據(jù)包. 目前已知的type 可取的協(xié)議為:
aodv (Ad-hoc On-demand Distance Vector protocol, 按需距離向量路由協(xié)議, 在Ad hoc(點(diǎn)對點(diǎn)模式)網(wǎng)絡(luò)中使用),
cnfp (Cisco NetFlow protocol), rpc(Remote Procedure Call), rtp (Real-Time Applications protocol),
rtcp (Real-Time Applications con-trol protocol), snmp (Simple Network Management Protocol),
tftp (Trivial File Transfer Protocol, 碎文件協(xié)議), vat (Visual Audio Tool, 可用于在internet 上進(jìn)行電
視電話會(huì)議的應(yīng)用層協(xié)議), 以及wb (distributed White Board, 可用于網(wǎng)絡(luò)會(huì)議的應(yīng)用層協(xié)議).
-t 在每行輸出中不打印時(shí)間戳
-tt 不對每行輸出的時(shí)間進(jìn)行格式處理(nt: 這種格式一眼可能看不出其含義, 如時(shí)間戳打印成1261798315)
-ttt tcpdump 輸出時(shí), 每兩行打印之間會(huì)延遲一個(gè)段時(shí)間(以毫秒為單位)
-tttt 在每行打印的時(shí)間戳之前添加日期的打印
-u 打印出未加密的NFS 句柄(nt: handle可理解為NFS 中使用的文件句柄, 這將包括文件夾和文件夾中的文件)
-U 使得當(dāng)tcpdump在使用-w 選項(xiàng)時(shí), 其文件寫入與包的保存同步.(nt: 即, 當(dāng)每個(gè)數(shù)據(jù)包被保存時(shí), 它將及時(shí)被寫入文件中,而不是等文件的輸出緩沖已滿時(shí)才真正寫入此文件)
-U 標(biāo)志在老版本的libcap庫(nt: tcpdump 所依賴的報(bào)文捕獲庫)上不起作用, 因?yàn)槠渲腥狈cap_cump_flush()函數(shù).
-v 當(dāng)分析和打印的時(shí)候, 產(chǎn)生詳細(xì)的輸出. 比如, 包的生存時(shí)間, 標(biāo)識(shí), 總長度以及IP包的一些選項(xiàng). 這也會(huì)打開一些附加的包完整性檢測, 比如對IP或ICMP包頭部的校驗(yàn)和.
-vv 產(chǎn)生比-v更詳細(xì)的輸出. 比如, NFS回應(yīng)包中的附加域?qū)?huì)被打印, SMB數(shù)據(jù)包也會(huì)被完全解碼.
-vvv 產(chǎn)生比-vv更詳細(xì)的輸出. 比如, telent 時(shí)所使用的SB, SE 選項(xiàng)將會(huì)被打印, 如果telnet同時(shí)使用的是圖形界面,
其相應(yīng)的圖形選項(xiàng)將會(huì)以16進(jìn)制的方式打印出來(nt: telnet 的SB,SE選項(xiàng)含義未知, 另需補(bǔ)充).
-w 把包數(shù)據(jù)直接寫入文件而不進(jìn)行分析和打印輸出. 這些包數(shù)據(jù)可在隨后通過-r 選項(xiàng)來重新讀入并進(jìn)行分析和打印.
-W filecount
此選項(xiàng)與-C 選項(xiàng)配合使用, 這將限制可打開的文件數(shù)目, 并且當(dāng)文件數(shù)據(jù)超過這里設(shè)置的限制時(shí), 依次循環(huán)替代之前的文件, 這相當(dāng)于一個(gè)擁有filecount 個(gè)文件的文件緩沖池. 同時(shí), 該選項(xiàng)會(huì)使得每個(gè)文件名的開頭會(huì)出現(xiàn)足夠多并用來占位的0, 這可以方便這些文件被正確的排序.
-x 當(dāng)分析和打印時(shí), tcpdump 會(huì)打印每個(gè)包的頭部數(shù)據(jù), 同時(shí)會(huì)以16進(jìn)制打印出每個(gè)包的數(shù)據(jù)(但不包括連接層的頭部).總共打印的數(shù)據(jù)大小不會(huì)超過整個(gè)數(shù)據(jù)包的大小與snaplen 中的最小值. 必須要注意的是, 如果高層協(xié)議數(shù)據(jù)沒有snaplen 這么長,并且數(shù)據(jù)鏈路層(比如, Ethernet層)有填充數(shù)據(jù), 則這些填充數(shù)據(jù)也會(huì)被打印.(nt: so link layers that pad, 未能銜接理解和翻譯, 需補(bǔ)充 )
-xx tcpdump 會(huì)打印每個(gè)包的頭部數(shù)據(jù), 同時(shí)會(huì)以16進(jìn)制打印出每個(gè)包的數(shù)據(jù), 其中包括數(shù)據(jù)鏈路層的頭部.
-X 當(dāng)分析和打印時(shí), tcpdump 會(huì)打印每個(gè)包的頭部數(shù)據(jù), 同時(shí)會(huì)以16進(jìn)制和ASCII碼形式打印出每個(gè)包的數(shù)據(jù)(但不包括連接層的頭部).這對于分析一些新協(xié)議的數(shù)據(jù)包很方便.
-XX 當(dāng)分析和打印時(shí), tcpdump 會(huì)打印每個(gè)包的頭部數(shù)據(jù), 同時(shí)會(huì)以16進(jìn)制和ASCII碼形式打印出每個(gè)包的數(shù)據(jù), 其中包括數(shù)據(jù)鏈路層的頭部.這對于分析一些新協(xié)議的數(shù)據(jù)包很方便.
-y datalinktype
設(shè)置tcpdump 只捕獲數(shù)據(jù)鏈路層協(xié)議類型是datalinktype的數(shù)據(jù)包
-Z user
使tcpdump 放棄自己的超級權(quán)限(如果以root用戶啟動(dòng)tcpdump, tcpdump將會(huì)有超級用戶權(quán)限), 并把當(dāng)前tcpdump的用戶ID設(shè)置為user, 組ID設(shè)置為user首要所屬組的ID(nt: tcpdump 此處可理解為tcpdump 運(yùn)行之后對應(yīng)的進(jìn)程)
此選項(xiàng)也可在編譯的時(shí)候被設(shè)置為默認(rèn)打開.(nt: 此時(shí)user 的取值未知, 需補(bǔ)充)
tcpdump條件表達(dá)式
該表達(dá)式用于決定哪些數(shù)據(jù)包將被打印. 如果不給定條件表達(dá)式, 網(wǎng)絡(luò)上所有被捕獲的包都會(huì)被打印,否則, 只有滿足條件表達(dá)式的數(shù)據(jù)包被打印.(nt: all packets, 可理解為, 所有被指定接口捕獲的數(shù)據(jù)包).
表達(dá)式由一個(gè)或多個(gè)'表達(dá)元'組成(nt: primitive, 表達(dá)元, 可理解為組成表達(dá)式的基本元素). 一個(gè)表達(dá)元通常由一個(gè)或多個(gè)修飾符(qualifiers)后跟一個(gè)名字或數(shù)字表示的id組成(nt: 即, 'qualifiers id').有三種不同類型的修飾符:type, dir以及 proto.
type 修飾符指定id 所代表的對象類型, id可以是名字也可以是數(shù)字. 可選的對象類型有: host, net, port 以及portrange(nt: host 表明id表示主機(jī), net 表明id是網(wǎng)絡(luò), port 表明id是端而portrange 表明id 是一個(gè)端口范圍). 如, 'host foo', 'net 128.3', 'port 20', 'portrange 6000-6008'(nt: 分別表示主機(jī) foo,網(wǎng)絡(luò) 128.3, 端口 20, 端口范圍 6000-6008). 如果不指定type 修飾符, id默認(rèn)的修飾符為host.
dir 修飾符描述id 所對應(yīng)的傳輸方向, 即發(fā)往id 還是從id 接收（nt: 而id 到底指什么需要看其前面的type 修飾符）.可取的方向?yàn)? src, dst, src 或 dst, src并且dst.(nt:分別表示, id是傳輸源, id是傳輸目的, id是傳輸源或者傳輸目的, id是傳輸源并且是傳輸目的). 例如, 'src foo','dst net 128.3', 'src or dst port ftp-data'.(nt: 分別表示符合條件的數(shù)據(jù)包中, 源主機(jī)是foo, 目的網(wǎng)絡(luò)是128.3, 源或目的端口為 ftp-data).如果不指定dir修飾符, id 默認(rèn)的修飾符為src 或 dst.對于鏈路層的協(xié)議,比如SLIP(nt: Serial Line InternetProtocol, 串聯(lián)線路網(wǎng)際網(wǎng)絡(luò)協(xié)議), 以及l(fā)inux下指定'any' 設(shè)備, 并指定'cooked'(nt | rt: cooked 含義未知, 需補(bǔ)充) 抓取類型, 或其他設(shè)備類型,可以用'inbound' 和 'outbount' 修飾符來指定想要的傳輸方向.
proto 修飾符描述id 所屬的協(xié)議. 可選的協(xié)議有: ether, fddi, tr, wlan, ip, ip6, arp, rarp, decnet, tcp以及 upd.(nt | rt: ether, fddi, tr, 具體含義未知, 需補(bǔ)充. 可理解為物理以太網(wǎng)傳輸協(xié)議, 光纖分布數(shù)據(jù)網(wǎng)傳輸協(xié)議,以及用于路由跟蹤的協(xié)議. wlan, 無線局域網(wǎng)協(xié)議; ip,ip6 即通常的TCP/IP協(xié)議棧中所使用的ipv4以及ipv6網(wǎng)絡(luò)層協(xié)議;arp, rarp 即地址解析協(xié)議,反向地址解析協(xié)議; decnet, Digital Equipment Corporation開發(fā)的, 最早用于PDP-11 機(jī)器互聯(lián)的網(wǎng)絡(luò)協(xié)議; tcp and udp, 即通常TCP/IP協(xié)議棧中的兩個(gè)傳輸層協(xié)議).
例如, `ether src foo', `arp net 128.3', `tcp port 21', `udp portrange 7000-7009'分別表示 '從以太網(wǎng)地址foo 來的數(shù)據(jù)包','發(fā)往或來自128.3網(wǎng)絡(luò)的arp協(xié)議數(shù)據(jù)包', '發(fā)送或接收端口為21的tcp協(xié)議數(shù)據(jù)包', '發(fā)送或接收端口范圍為7000-7009的udp協(xié)議數(shù)據(jù)包'.
如果不指定proto 修飾符, 則默認(rèn)為與相應(yīng)type匹配的修飾符. 例如, 'src foo' 含義是 '(ip or arp or rarp) src foo' (nt: 即, 來自主機(jī)foo的ip/arp/rarp協(xié)議數(shù)據(jù)包, 默認(rèn)type為host),`net bar' 含義是`(ip or arp or rarp) net bar'(nt: 即, 來自或發(fā)往bar網(wǎng)絡(luò)的ip/arp/rarp協(xié)議數(shù)據(jù)包),`port 53' 含義是 `(tcp or udp) port 53'(nt: 即, 發(fā)送或接收端口為53的tcp/udp協(xié)議數(shù)據(jù)包).(nt: 由于tcpdump 直接通過數(shù)據(jù)鏈路層的 BSD 數(shù)據(jù)包過濾器或 DLPI(datalink provider interface, 數(shù)據(jù)鏈層提供者接口)來直接獲得網(wǎng)絡(luò)數(shù)據(jù)包, 其可抓取的數(shù)據(jù)包可涵蓋上層的各種協(xié)議, 包括arp, rarp, icmp(因特網(wǎng)控制報(bào)文協(xié)議),ip, ip6, tcp, udp, sctp(流控制傳輸協(xié)議).
對于修飾符后跟id 的格式,可理解為, type id 是對包最基本的過濾條件: 即對包相關(guān)的主機(jī), 網(wǎng)絡(luò), 端口的限制;dir 表示對包的傳送方向的限制; proto表示對包相關(guān)的協(xié)議限制)
'fddi'(nt: Fiber Distributed Data Interface) 實(shí)際上與'ether' 含義一樣: tcpdump 會(huì)把他們當(dāng)作一種''指定網(wǎng)絡(luò)接口上的數(shù)據(jù)鏈路層協(xié)議''. 如同ehter網(wǎng)(以太網(wǎng)), FDDI 的頭部通常也會(huì)有源, 目的, 以及包類型, 從而可以像ether網(wǎng)數(shù)據(jù)包一樣對這些域進(jìn)行過濾. 此外, FDDI 頭部還有其他的域, 但不能被放到表達(dá)式中用來過濾
同樣, 'tr' 和 'wlan' 也和 'ether' 含義一致, 上一段對fddi 的描述同樣適用于tr(Token Ring) 和wlan(802.11 wireless LAN)的頭部. 對于802.11 協(xié)議數(shù)據(jù)包的頭部, 目的域稱為DA, 源域稱為 SA;而其中的 BSSID, RA, TA 域(nt | rt: 具體含義需補(bǔ)充)不會(huì)被檢測(nt: 不能被用于包過慮表達(dá)式中).
除以上所描述的表達(dá)元('primitive')， 還有其他形式的表達(dá)元, 并且與上述表達(dá)元格式不同. 比如: gateway, broadcast, less, greater以及算術(shù)表達(dá)式(nt: 其中每一個(gè)都算一種新的表達(dá)元). 下面將會(huì)對這些表達(dá)元進(jìn)行說明.
表達(dá)元之間還可以通過關(guān)鍵字and, or 以及 not 進(jìn)行連接, 從而可組成比較復(fù)雜的條件表達(dá)式. 比如,`host foo and not port ftp and not port ftp-data'(nt: 其過濾條件可理解為, 數(shù)據(jù)包的主機(jī)為foo,并且端口不是ftp(端口21) 和ftp-data(端口20, 常用端口和名字的對應(yīng)可在linux 系統(tǒng)中的/etc/service 文件中找到)).
為了表示方便, 同樣的修飾符可以被省略, 如'tcp dst port ftp or ftp-data or domain' 與以下的表達(dá)式含義相同'tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain'.(nt: 其過濾條件可理解為,包的協(xié)議為tcp, 目的端口為ftp 或 ftp-data 或 domain(端口53) ).
借助括號以及相應(yīng)操作符,可把表達(dá)元組合在一起使用(由于括號是shell的特殊字符, 所以在shell腳本或終端中使用時(shí)必須對括號進(jìn)行轉(zhuǎn)義, 即'(' 與')'需要分別表達(dá)成'\\(' 與 '\\)').
有效的操作符有:
否定操作 (`!' 或 `not') 與操作(`&&' 或 `and') 或操作(`||' 或 `or')
否定操作符的優(yōu)先級別最高. 與操作和或操作優(yōu)先級別相同, 并且二者的結(jié)合順序是從左到右. 要注意的是, 表達(dá)'與操作'時(shí),
需要顯式寫出'and'操作符, 而不只是把前后表達(dá)元并列放置(nt: 二者中間的'and' 操作符不可省略).
如果一個(gè)標(biāo)識(shí)符前沒有關(guān)鍵字, 則表達(dá)式的解析過程中最近用過的關(guān)鍵字(往往也是從左往右距離標(biāo)識(shí)符最近的關(guān)鍵字)將被使用.比如,
not host vs and ace
是以下表達(dá)的精簡:
not host vs and host ace
而不是not (host vs or ace).(nt: 前兩者表示, 所需數(shù)據(jù)包不是來自或發(fā)往host vs, 而是來自或發(fā)往ace.而后者表示數(shù)據(jù)包只要不是來自或發(fā)往vs或ac都符合要求)
整個(gè)條件表達(dá)式可以被當(dāng)作一個(gè)單獨(dú)的字符串參數(shù)也可以被當(dāng)作空格分割的多個(gè)參數(shù)傳入tcpdump, 后者更方便些. 通常, 如果表達(dá)式中包含元字符(nt: 如正則表達(dá)式中的'*', '.'以及shell中的'('等字符)， 最好還是使用單獨(dú)字符串的方式傳入. 這時(shí),整個(gè)表達(dá)式需要被單引號括起來. 多參數(shù)的傳入方式中, 所有參數(shù)最終還是被空格串聯(lián)在一起, 作為一個(gè)字符串被解析.
附錄:tcpdump的表達(dá)元
(nt: True 在以下的描述中含義為: 相應(yīng)條件表達(dá)式中只含有以下所列的一個(gè)特定表達(dá)元, 此時(shí)表達(dá)式為真, 即條件得到滿足)
dst host host
如果IPv4/v6 數(shù)據(jù)包的目的域是host, 則與此對應(yīng)的條件表達(dá)式為真.host 可以是一個(gè)ip地址, 也可以是一個(gè)主機(jī)名.
src host host
如果IPv4/v6 數(shù)據(jù)包的源域是host, 則與此對應(yīng)的條件表達(dá)式為真.
host 可以是一個(gè)ip地址, 也可以是一個(gè)主機(jī)名.
host host
如果IPv4/v6數(shù)據(jù)包的源或目的地址是 host, 則與此對應(yīng)的條件表達(dá)式為真.以上的幾個(gè)host 表達(dá)式之前可以添加以下關(guān)鍵字:ip, arp, rarp, 以及 ip6.比如:
ip host host
也可以表達(dá)為:
ether proto \\ip and host host(nt: 這種表達(dá)方式在下面有說明, 其中ip之前需要有\(zhòng)\來轉(zhuǎn)義,因?yàn)閕p 對tcpdump 來說已經(jīng)是一個(gè)關(guān)鍵字了.)
如果host 是一個(gè)擁有多個(gè)IP 的主機(jī), 那么任何一個(gè)地址都會(huì)用于包的匹配(nt: 即發(fā)向host 的數(shù)據(jù)包的目的地址可以是這幾個(gè)IP中的任何一個(gè), 從host 接收的數(shù)據(jù)包的源地址也可以是這幾個(gè)IP中的任何一個(gè)).
ether dst ehost
如果數(shù)據(jù)包(nt: 指tcpdump 可抓取的數(shù)據(jù)包, 包括ip 數(shù)據(jù)包, tcp數(shù)據(jù)包)的以太網(wǎng)目標(biāo)地址是ehost,則與此對應(yīng)的條件表達(dá)式為真. Ehost 可以是/etc/ethers 文件中的名字或一個(gè)數(shù)字地址(nt: 可通過 man ethers 看到對/etc/ethers 文件的描述, 樣例中用的是數(shù)字地址)
ether src ehost
如果數(shù)據(jù)包的以太網(wǎng)源地址是ehost, 則與此對應(yīng)的條件表達(dá)式為真.
ether host ehost
如果數(shù)據(jù)包的以太網(wǎng)源地址或目標(biāo)地址是ehost, 則與此對應(yīng)的條件表達(dá)式為真.
gateway host
如果數(shù)據(jù)包的網(wǎng)關(guān)地址是host, 則與此對應(yīng)的條件表達(dá)式為真. 需要注意的是, 這里的網(wǎng)關(guān)地址是指以太網(wǎng)地址, 而不是IP 地址(nt | rt: I.e., 例如, 可理解為'注意'.the Ethernet source or destination address, 以太網(wǎng)源和目標(biāo)地址, 可理解為, 指代上句中的'網(wǎng)關(guān)地址' ).host 必須是名字而不是數(shù)字, 并且必須在機(jī)器的'主機(jī)名-ip地址'以及'主機(jī)名-以太地址'兩大映射關(guān)系中 有其條目(前一映射關(guān)系可通過/etc/hosts文件, DNS 或 NIS得到, 而后一映射關(guān)系可通過/etc/ethers 文件得到. nt: /etc/ethers并不一定存在 , 可通過man ethers 看到其數(shù)據(jù)格式, 如何創(chuàng)建該文件, 未知,需補(bǔ)充).也就是說host 的含義是 ether host ehost 而不是 host host, 并且ehost必須是名字而不是數(shù)字.
目前, 該選項(xiàng)在支持IPv6地址格式的配置環(huán)境中不起作用(nt: configuration, 配置環(huán)境, 可理解為,通信雙方的網(wǎng)絡(luò)配置).
dst net net
如果數(shù)據(jù)包的目標(biāo)地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號字段為 net, 則與此對應(yīng)的條件表達(dá)式為真.
net 可以是從網(wǎng)絡(luò)數(shù)據(jù)庫文件/etc/networks 中的名字, 也可以是一個(gè)數(shù)字形式的網(wǎng)絡(luò)編號.
一個(gè)數(shù)字IPv4 網(wǎng)絡(luò)編號將以點(diǎn)分四元組(比如, 192.168.1.0), 或點(diǎn)分三元組(比如, 192.168.1 ), 或點(diǎn)分二元組(比如, 172.16), 或單一單元組(比如, 10)來表達(dá);
對應(yīng)于這四種情況的網(wǎng)絡(luò)掩碼分別是:四元組:255.255.255.255(這也意味著對net 的匹配如同對主機(jī)地址(host)的匹配:地址的四個(gè)部分都用到了),三元組:255.255.255.0, 二元組: 255.255.0.0, 一元組:255.0.0.0.
對于IPv6 的地址格式, 網(wǎng)絡(luò)編號必須全部寫出來(8個(gè)部分必須全部寫出來); 相應(yīng)網(wǎng)絡(luò)掩碼為:
ff:ff:ff:ff:ff:ff:ff:ff, 所以IPv6 的網(wǎng)絡(luò)匹配是真正的'host'方式的匹配(nt | rt | rc:地址的8個(gè)部分都會(huì)用到,是否不屬于網(wǎng)絡(luò)的字節(jié)填寫0, 需接下來補(bǔ)充), 但同時(shí)需要一個(gè)網(wǎng)絡(luò)掩碼長度參數(shù)來具體指定前面多少字節(jié)為網(wǎng)絡(luò)掩碼(nt: 可通過下面的net net/len 來指定)
src net net
如果數(shù)據(jù)包的源地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號字段為 net, 則與此對應(yīng)的條件表達(dá)式為真.
net net
如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號字段為 net, 則與此對應(yīng)的條件表達(dá)式為真.
net net mask netmask
如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)掩碼與netmask 匹配, 則與此對應(yīng)的條件表達(dá)式為真.此選項(xiàng)之前還可以配合src和dst來匹配源網(wǎng)絡(luò)地址或目標(biāo)網(wǎng)絡(luò)地址(nt: 比如 src net net mask 255.255.255.0).該選項(xiàng)對于ipv6 網(wǎng)絡(luò)地址無效.
net net/len
如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)編號字段的比特?cái)?shù)與len相同, 則與此對應(yīng)的條件表達(dá)式為真.此選項(xiàng)之前還可以配合src和dst來匹配源網(wǎng)絡(luò)地址或目標(biāo)網(wǎng)絡(luò)地址(nt | rt | tt: src net net/24, 表示需要匹配源地址的網(wǎng)絡(luò)編號有24位的數(shù)據(jù)包).
dst port port
如果數(shù)據(jù)包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口為port, 則與此對應(yīng)的條件表達(dá)式為真.port 可以是一個(gè)數(shù)字也可以是一個(gè)名字(相應(yīng)名字可以在/etc/services 中找到該名字, 也可以通過man tcp 和man udp來得到相關(guān)描述信息 ). 如果使用名字, 則該名字對應(yīng)的端口號和相應(yīng)使用的協(xié)議都會(huì)被檢查. 如果只是使用一個(gè)數(shù)字端口號,則只有相應(yīng)端口號被檢查(比如, dst port 513 將會(huì)使tcpdump抓取tcp協(xié)議的login 服務(wù)和udp協(xié)議的who 服務(wù)數(shù)據(jù)包, 而port domain 將會(huì)使tcpdump 抓取tcp協(xié)議的domain 服務(wù)數(shù)據(jù)包, 以及udp 協(xié)議的domain 數(shù)據(jù)包)(nt | rt: ambiguous name is used 不可理解, 需補(bǔ)充).
src port port
如果數(shù)據(jù)包的源端口為port, 則與此對應(yīng)的條件表達(dá)式為真.
port port
如果數(shù)據(jù)包的源或目的端口為port, 則與此對應(yīng)的條件表達(dá)式為真.
dst portrange port1-port2
如果數(shù)據(jù)包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口屬于port1到port2這個(gè)端口范圍(包括port1, port2), 則與此對應(yīng)的條件表達(dá)式為真. tcpdump 對port1 和port2 解析與對port 的解析一致(nt:在dst port port 選項(xiàng)的描述中有說明).
src portrange port1-port2
如果數(shù)據(jù)包的源端口屬于port1到port2這個(gè)端口范圍(包括 port1, port2), 則與此對應(yīng)的條件表達(dá)式為真.
portrange port1-port2
如果數(shù)據(jù)包的源端口或目的端口屬于port1到port2這個(gè)端口范圍(包括 port1, port2), 則與此對應(yīng)的條件表達(dá)式為真.
以上關(guān)于port 的選項(xiàng)都可以在其前面添加關(guān)鍵字:tcp 或者udp, 比如:
tcp src port port
這將使tcpdump 只抓取源端口是port 的tcp數(shù)據(jù)包.
less length
如果數(shù)據(jù)包的長度比length 小或等于length, 則與此對應(yīng)的條件表達(dá)式為真. 這與'len <= length' 的含義一致.
greater length
如果數(shù)據(jù)包的長度比length 大或等于length, 則與此對應(yīng)的條件表達(dá)式為真. 這與'len >= length' 的含義一致.
ip proto protocol
如果數(shù)據(jù)包為ipv4數(shù)據(jù)包并且其協(xié)議類型為protocol, 則與此對應(yīng)的條件表達(dá)式為真.
Protocol 可以是一個(gè)數(shù)字也可以是名字, 比如:icmp6, igmp, igrp(nt: Interior Gateway Routing Protocol,內(nèi)部網(wǎng)關(guān)路由協(xié)議), pim(Protocol Independent Multicast, 獨(dú)立組播協(xié)議, 應(yīng)用于組播路由器),ah, esp(nt: ah, 認(rèn)證頭, esp 安全負(fù)載封裝, 這兩者會(huì)用在IP包的安全傳輸機(jī)制中 ), vrrp(Virtual Router Redundancy Protocol, 虛擬路由器冗余協(xié)議), udp, or tcp. 由于tcp , udp 以及icmp是tcpdump 的關(guān)鍵字,所以在這些協(xié)議名字之前必須要用\\來進(jìn)行轉(zhuǎn)義(如果在C-shell 中需要用\\\\來進(jìn)行轉(zhuǎn)義). 注意此表達(dá)元不會(huì)把數(shù)據(jù)包中協(xié)議頭鏈中所有協(xié)議頭內(nèi)容全部打印出來(nt: 實(shí)際上只會(huì)打印指定協(xié)議的一些頭部信息, 比如可以用tcpdump -i eth0 'ip proto \\tcp and host 192.168.3.144', 則只打印主機(jī)192.168.3.144 發(fā)出或接收的數(shù)據(jù)包中tcp 協(xié)議頭所包含的信息)
ip6 proto protocol
如果數(shù)據(jù)包為ipv6數(shù)據(jù)包并且其協(xié)議類型為protocol, 則與此對應(yīng)的條件表達(dá)式為真.
注意此表達(dá)元不會(huì)把數(shù)據(jù)包中協(xié)議頭鏈中所有協(xié)議頭內(nèi)容全部打印出來
ip6 protochain protocol
如果數(shù)據(jù)包為ipv6數(shù)據(jù)包并且其協(xié)議鏈中包含類型為protocol協(xié)議頭, 則與此對應(yīng)的條件表達(dá)式為真. 比如,
ip6 protochain 6
將匹配其協(xié)議頭鏈中擁有TCP 協(xié)議頭的IPv6數(shù)據(jù)包.此數(shù)據(jù)包的IPv6頭和TCP頭之間可能還會(huì)包含驗(yàn)證頭, 路由頭, 或者逐跳尋徑選項(xiàng)頭.
由此所觸發(fā)的相應(yīng)BPF(Berkeley Packets Filter, 可理解為, 在數(shù)據(jù)鏈路層提供數(shù)據(jù)包過濾的一種機(jī)制)代碼比較繁瑣,
并且BPF優(yōu)化代碼也未能照顧到此部分, 從而此選項(xiàng)所觸發(fā)的包匹配可能會(huì)比較慢.
ip protochain protocol
與ip6 protochain protocol 含義相同, 但這用在IPv4數(shù)據(jù)包.
ether broadcast
如果數(shù)據(jù)包是以太網(wǎng)廣播數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. ether 關(guān)鍵字是可選的.
ip broadcast
如果數(shù)據(jù)包是IPv4廣播數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 這將使tcpdump 檢查廣播地址是否符合全0和全1的一些約定,并查找網(wǎng)絡(luò)接口的網(wǎng)絡(luò)掩碼(網(wǎng)絡(luò)接口為當(dāng)時(shí)在其上抓包的網(wǎng)絡(luò)接口).
如果抓包所在網(wǎng)絡(luò)接口的網(wǎng)絡(luò)掩碼不合法, 或者此接口根本就沒有設(shè)置相應(yīng)網(wǎng)絡(luò)地址和網(wǎng)絡(luò)， 亦或是在linux下的'any'網(wǎng)絡(luò)接口上抓包(此'any'接口可以收到系統(tǒng)中不止一個(gè)接口的數(shù)據(jù)包(nt: 實(shí)際上, 可理解為系統(tǒng)中所有可用的接口)),網(wǎng)絡(luò)掩碼的檢查不能正常進(jìn)行.
ether multicast
如果數(shù)據(jù)包是一個(gè)以太網(wǎng)多點(diǎn)廣播數(shù)據(jù)包(nt: 多點(diǎn)廣播, 可理解為把消息同時(shí)傳遞給一組目的地址, 而不是網(wǎng)絡(luò)中所有地址,后者為可稱為廣播(broadcast)), 則與此對應(yīng)的條件表達(dá)式為真. 關(guān)鍵字ether 可以省略. 此選項(xiàng)的含義與以下條件表達(dá)式含義一致:`ether[0] & 1 != 0'(nt: 可理解為, 以太網(wǎng)數(shù)據(jù)包中第0個(gè)字節(jié)的最低位是1, 這意味這是一個(gè)多點(diǎn)廣播數(shù)據(jù)包).
ip multicast
如果數(shù)據(jù)包是ipv4多點(diǎn)廣播數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真.
ip6 multicast
如果數(shù)據(jù)包是ipv6多點(diǎn)廣播數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真.
ether proto protocol
如果數(shù)據(jù)包屬于以下以太協(xié)議類型, 則與此對應(yīng)的條件表達(dá)式為真.
協(xié)議(protocol)字段, 可以是數(shù)字或以下所列出了名字: ip, ip6, arp, rarp, atalk(AppleTalk網(wǎng)絡(luò)協(xié)議),
aarp(nt: AppleTalk Address Resolution Protocol, AppleTalk網(wǎng)絡(luò)的地址解析協(xié)議),
decnet(nt: 一個(gè)由DEC公司所提供的網(wǎng)絡(luò)協(xié)議棧), sca(nt: 未知, 需補(bǔ)充),
lat(Local Area Transport, 區(qū)域傳輸協(xié)議, 由DEC公司開發(fā)的以太網(wǎng)主機(jī)互聯(lián)協(xié)議),
mopdl, moprc, iso(nt: 未知, 需補(bǔ)充), stp(Spanning tree protocol, 生成樹協(xié)議, 可用于防止網(wǎng)絡(luò)中產(chǎn)生鏈接循環(huán)),
ipx（nt: Internetwork Packet Exchange, Novell 網(wǎng)絡(luò)中使用的網(wǎng)絡(luò)層協(xié)議）, 或者
netbeui(nt: NetBIOS Extended User Interface，可理解為, 網(wǎng)絡(luò)基本輸入輸出系統(tǒng)接口擴(kuò)展).
protocol字段可以是一個(gè)數(shù)字或以下協(xié)議名之一:ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat,
mopdl, moprc, iso, stp, ipx, 或者netbeui.
必須要注意的是標(biāo)識(shí)符也是關(guān)鍵字, 從而必須通過'\\'來進(jìn)行轉(zhuǎn)義.
(SNAP：子網(wǎng)接入?yún)f(xié)議 （SubNetwork Access Protocol）)
在光纖分布式數(shù)據(jù)網(wǎng)絡(luò)接口(其表達(dá)元形式可以是'fddi protocol arp'), 令牌環(huán)網(wǎng)(其表達(dá)元形式可以是'tr protocol arp'),
以及IEEE 802.11 無線局域網(wǎng)(其表達(dá)元形式可以是'wlan protocol arp')中, protocol
標(biāo)識(shí)符來自802.2 邏輯鏈路控制層頭,
在FDDI, Token Ring 或 802.1頭中會(huì)包含此邏輯鏈路控制層頭.
當(dāng)以這些網(wǎng)絡(luò)上的相應(yīng)的協(xié)議標(biāo)識(shí)為過濾條件時(shí), tcpdump只是檢查LLC頭部中以0x000000為組成單元標(biāo)識(shí)符(OUI, 0x000000
標(biāo)識(shí)一個(gè)內(nèi)部以太網(wǎng))的一段'SNAP格式結(jié)構(gòu)'中的protocol ID 域, 而不會(huì)管包中是否有一段OUI為0x000000的'SNAP格式
結(jié)構(gòu)'(nt: SNAP, SubNetwork Access Protocol,子網(wǎng)接入?yún)f(xié)議 ). 以下例外:
iso tcpdump 會(huì)檢查LLC頭部中的DSAP域(Destination service Access Point, 目標(biāo)服務(wù)接入點(diǎn))和
SSAP域(源服務(wù)接入點(diǎn)).(nt: iso 協(xié)議未知, 需補(bǔ)充)
stp 以及 netbeui
tcpdump 將會(huì)檢查LLC 頭部中的目標(biāo)服務(wù)接入點(diǎn)(Destination service Access Point);
atalk
tcpdump 將會(huì)檢查LLC 頭部中以0x080007 為OUI標(biāo)識(shí)的'SNAP格式結(jié)構(gòu)', 并會(huì)檢查AppleTalk etype域.
(nt: AppleTalk etype 是否位于SNAP格式結(jié)構(gòu)中, 未知, 需補(bǔ)充).
此外, 在以太網(wǎng)中, 對于ether proto protocol 選項(xiàng), tcpdump 會(huì)為 protocol 所指定的協(xié)議檢查
以太網(wǎng)類型域(the Ethernet type field), 但以下這些協(xié)議除外:
iso, stp, and netbeui
tcpdump 將會(huì)檢查802.3 物理幀以及LLC 頭(這兩種檢查與FDDI, TR, 802.11網(wǎng)絡(luò)中的相應(yīng)檢查一致);
(nt: 802.3, 理解為IEEE 802.3, 其為一系列IEEE 標(biāo)準(zhǔn)的集合. 此集合定義了有線以太網(wǎng)絡(luò)中的物理層以及數(shù)據(jù)
鏈路層的媒體接入控制子層. stp 在上文已有描述)
atalk
tcpdump 將會(huì)檢查以太網(wǎng)物理幀中的AppleTalk etype 域 , 同時(shí)也會(huì)檢查數(shù)據(jù)包中LLC頭部中的'SNAP格式結(jié)構(gòu)'
(這兩種檢查與FDDI, TR, 802.11網(wǎng)絡(luò)中的相應(yīng)檢查一致)
aarp tcpdump 將會(huì)檢查AppleTalk ARP etype 域, 此域或存在于以太網(wǎng)物理幀中, 或存在于LLC(由802.2 所定義)的
'SNAP格式結(jié)構(gòu)'中, 當(dāng)為后者時(shí), 該'SNAP格式結(jié)構(gòu)'的OUI標(biāo)識(shí)為0x000000;
(nt: 802.2, 可理解為, IEEE802.2, 其中定義了邏輯鏈路控制層(LLC), 該層對應(yīng)于OSI 網(wǎng)絡(luò)模型中數(shù)據(jù)鏈路層的上層部分.
LLC 層為使用數(shù)據(jù)鏈路層的用戶提供了一個(gè)統(tǒng)一的接口(通常用戶是網(wǎng)絡(luò)層). LLC層以下是媒體接入控制層(nt: MAC層,
對應(yīng)于數(shù)據(jù)鏈路層的下層部分).該層的實(shí)現(xiàn)以及工作方式會(huì)根據(jù)不同物理傳輸媒介的不同而有所區(qū)別(比如, 以太網(wǎng), 令牌環(huán)網(wǎng),
光纖分布數(shù)據(jù)接口(nt: 實(shí)際可理解為一種光纖網(wǎng)絡(luò)), 無線局域網(wǎng)(802.11), 等等.)
ipx tcpdump 將會(huì)檢查物理以太幀中的IPX etype域, LLC頭中的IPX DSAP域，無LLC頭并對IPX進(jìn)行了封裝的802.3幀,
以及LLC 頭部'SNAP格式結(jié)構(gòu)'中的IPX etype 域(nt | rt: SNAP frame, 可理解為, LLC 頭中的'SNAP格式結(jié)構(gòu)'.
該含義屬初步理解階段, 需補(bǔ)充).
decnet src host
如果數(shù)據(jù)包中DECNET源地址為host, 則與此對應(yīng)的條件表達(dá)式為真.
(nt:decnet, 由Digital Equipment Corporation 開發(fā), 最早用于PDP-11 機(jī)器互聯(lián)的網(wǎng)絡(luò)協(xié)議)
decnet dst host
如果數(shù)據(jù)包中DECNET目的地址為host, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: decnet 在上文已有說明)
decnet host host
如果數(shù)據(jù)包中DECNET目的地址或DECNET源地址為host, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: decnet 在上文已有說明)
ifname interface
如果數(shù)據(jù)包已被標(biāo)記為從指定的網(wǎng)絡(luò)接口中接收的, 則與此對應(yīng)的條件表達(dá)式為真.
(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))
on interface
與 ifname interface 含義一致.
rnr num
如果數(shù)據(jù)包已被標(biāo)記為匹配PF的規(guī)則, 則與此對應(yīng)的條件表達(dá)式為真.
(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))
rulenum num
與 rulenum num 含義一致.
reason code
如果數(shù)據(jù)包已被標(biāo)記為包含PF的匹配結(jié)果代碼, 則與此對應(yīng)的條件表達(dá)式為真.有效的結(jié)果代碼有: match, bad-offset,
fragment, short, normalize, 以及memory.
(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))
rset name
如果數(shù)據(jù)包已被標(biāo)記為匹配指定的規(guī)則集, 則與此對應(yīng)的條件表達(dá)式為真.
(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))
ruleset name
與 rset name 含義一致.
srnr num
如果數(shù)據(jù)包已被標(biāo)記為匹配指定的規(guī)則集中的特定規(guī)則(nt: specified PF rule number, 特定規(guī)則編號, 即特定規(guī)則),
則與此對應(yīng)的條件表達(dá)式為真.(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為
OpenBSD中的防火墻程序))
subrulenum num
與 srnr 含義一致.
action act
如果包被記錄時(shí)PF會(huì)執(zhí)行act指定的動(dòng)作, 則與此對應(yīng)的條件表達(dá)式為真. 有效的動(dòng)作有: pass, block.
(此選項(xiàng)只適用于被OpenBSD中pf程序做過標(biāo)記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))
ip, ip6, arp, rarp, atalk, aarp, decnet, iso, stp, ipx, netbeui
與以下表達(dá)元含義一致:
ether proto p
p是以上協(xié)議中的一個(gè).
lat, moprc, mopdl
與以下表達(dá)元含義一致:
ether proto p
p是以上協(xié)議中的一個(gè). 必須要注意的是tcpdump目前還不能分析這些協(xié)議.
vlan [vlan_id]
如果數(shù)據(jù)包為IEEE802.1Q VLAN 數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: IEEE802.1Q VLAN, 即IEEE802.1Q 虛擬網(wǎng)絡(luò)協(xié)議, 此協(xié)議用于不同網(wǎng)絡(luò)的之間的互聯(lián)).
如果[vlan_id] 被指定, 則只有數(shù)據(jù)包含有指定的虛擬網(wǎng)絡(luò)id(vlan_id), 則與此對應(yīng)的條件表達(dá)式為真.
要注意的是, 對于VLAN數(shù)據(jù)包, 在表達(dá)式中遇到的第一個(gè)vlan關(guān)鍵字會(huì)改變表達(dá)式中接下來關(guān)鍵字所對應(yīng)數(shù)據(jù)包中數(shù)據(jù)的
開始位置(即解碼偏移). 在VLAN網(wǎng)絡(luò)體系中過濾數(shù)據(jù)包時(shí), vlan [vlan_id]表達(dá)式可以被多次使用. 關(guān)鍵字vlan每出現(xiàn)一次都會(huì)增加
4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移).
例如:
vlan 100 && vlan 200
表示: 過濾封裝在VLAN100中的VLAN200網(wǎng)絡(luò)上的數(shù)據(jù)包
再例如:
vlan && vlan 300 && ip
表示: 過濾封裝在VLAN300 網(wǎng)絡(luò)中的IPv4數(shù)據(jù)包, 而VLAN300網(wǎng)絡(luò)又被更外層的VLAN封裝
mpls [label_num]
如果數(shù)據(jù)包為MPLS數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: MPLS, Multi-Protocol Label Switch, 多協(xié)議標(biāo)簽交換, 一種在開放的通信網(wǎng)上利用標(biāo)簽引導(dǎo)數(shù)據(jù)傳輸?shù)募夹g(shù)).
如果[label_num] 被指定, 則只有數(shù)據(jù)包含有指定的標(biāo)簽id(label_num), 則與此對應(yīng)的條件表達(dá)式為真.
要注意的是, 對于內(nèi)含MPLS信息的IP數(shù)據(jù)包(即MPLS數(shù)據(jù)包), 在表達(dá)式中遇到的第一個(gè)MPLS關(guān)鍵字會(huì)改變表達(dá)式中接下來關(guān)鍵字所對應(yīng)數(shù)據(jù)包中數(shù)據(jù)的
開始位置(即解碼偏移). 在MPLS網(wǎng)絡(luò)體系中過濾數(shù)據(jù)包時(shí), mpls [label_num]表達(dá)式可以被多次使用. 關(guān)鍵字mpls每出現(xiàn)一次都會(huì)增加
4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移).
例如:
mpls 100000 && mpls 1024
表示: 過濾外層標(biāo)簽為100000 而層標(biāo)簽為1024的數(shù)據(jù)包
再如:
mpls && mpls 1024 && host 192.9.200.1
表示: 過濾發(fā)往或來自192.9.200.1的數(shù)據(jù)包, 該數(shù)據(jù)包的內(nèi)層標(biāo)簽為1024, 且擁有一個(gè)外層標(biāo)簽.
pppoed
如果數(shù)據(jù)包為PPP-over-Ethernet的服務(wù)器探尋數(shù)據(jù)包(nt: Discovery packet,
其ethernet type 為0x8863),則與此對應(yīng)的條件表達(dá)式為真.
(nt: PPP-over-Ethernet, 點(diǎn)對點(diǎn)以太網(wǎng)承載協(xié)議, 其點(diǎn)對點(diǎn)的連接建立分為Discovery階段(地址發(fā)現(xiàn)) 和
PPPoE 會(huì)話建立階段 , discovery 數(shù)據(jù)包就是第一階段發(fā)出來的包. ethernet type
是以太幀里的一個(gè)字段，用來指明應(yīng)用于幀數(shù)據(jù)字段的協(xié)議)
pppoes
如果數(shù)據(jù)包為PPP-over-Ethernet會(huì)話數(shù)據(jù)包(nt: ethernet type 為0x8864, PPP-over-Ethernet在上文已有說明, 可搜索
關(guān)鍵字'PPP-over-Ethernet'找到其描述), 則與此對應(yīng)的條件表達(dá)式為真.
要注意的是, 對于PPP-over-Ethernet會(huì)話數(shù)據(jù)包, 在表達(dá)式中遇到的第一個(gè)pppoes關(guān)鍵字會(huì)改變表達(dá)式中接下來關(guān)鍵字所對應(yīng)數(shù)據(jù)包中數(shù)據(jù)的
開始位置(即解碼偏移).
例如:
pppoes && ip
表示: 過濾嵌入在PPPoE數(shù)據(jù)包中的ipv4數(shù)據(jù)包
tcp, udp, icmp
與以下表達(dá)元含義一致:
ip proto p or ip6 proto p
其中p 是以上協(xié)議之一(含義分別為: 如果數(shù)據(jù)包為ipv4或ipv6數(shù)據(jù)包并且其協(xié)議類型為 tcp,udp, 或icmp則與此對
應(yīng)的條件表達(dá)式為真)
iso proto protocol
如果數(shù)據(jù)包的協(xié)議類型為iso-osi協(xié)議棧中protocol協(xié)議, 則與此對應(yīng)的條件表達(dá)式為真.(nt: [初解]iso-osi 網(wǎng)絡(luò)模型中每
層的具體協(xié)議與tcp/ip相應(yīng)層采用的協(xié)議不同. iso-osi各層中的具體協(xié)議另需補(bǔ)充 )
protocol 可以是一個(gè)數(shù)字編號, 或以下名字中之一:
clnp, esis, or isis.
(nt: clnp, Connectionless Network Protocol, 這是OSI網(wǎng)絡(luò)模型中網(wǎng)絡(luò)層協(xié)議 , esis, isis 未知, 需補(bǔ)充)
clnp, esis, isis
是以下表達(dá)的縮寫
iso proto p
其中p 是以上協(xié)議之一
l1, l2, iih, lsp, snp, csnp, psnp
為IS-IS PDU 類型 的縮寫.
(nt: IS-IS PDU, Intermediate system to intermediate system Protocol Data Unit, 中間系統(tǒng)到
中間系統(tǒng)的協(xié)議數(shù)據(jù)單元. OSI(Open Systems Interconnection)網(wǎng)絡(luò)由終端系統(tǒng), 中間系統(tǒng)構(gòu)成.
終端系統(tǒng)指路由器, 而終端系統(tǒng)指用戶設(shè)備. 路由器形成的本地組稱之為'區(qū)域'（Area）和多個(gè)區(qū)域組成一個(gè)'域'（Domain）.
IS-IS 提供域內(nèi)或區(qū)域內(nèi)的路由. l1, l2, iih, lsp, snp, csnp, psnp 表示PDU的類型, 具體含義另需補(bǔ)充)
vpi n
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 ,
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 并且其虛擬路徑標(biāo)識(shí)為n, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: ATM, Asychronous Transfer Mode, 實(shí)際上可理解為由ITU-T(國際電信聯(lián)盟電信標(biāo)準(zhǔn)化部門)提出的一個(gè)與
TCP/IP中IP層功能等同的一系列協(xié)議, 具體協(xié)議層次另需補(bǔ)充)
vci n
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 ,
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 并且其虛擬通道標(biāo)識(shí)為n, 則與此對應(yīng)的條件表達(dá)式為真.
(nt: ATM, 在上文已有描述)
lane
如果數(shù)據(jù)包為ATM LANE 數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 要注意的是, 如果是模擬以太網(wǎng)的LANE數(shù)據(jù)包或者
LANE邏輯單元控制包, 表達(dá)式中第一個(gè)lane關(guān)鍵字會(huì)改變表達(dá)式中隨后條件的測試. 如果沒有
指定lane關(guān)鍵字, 條件測試將按照數(shù)據(jù)包中內(nèi)含LLC(邏輯鏈路層)的ATM包來進(jìn)行.
llc
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 ,
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 并且內(nèi)含LLC則與此對應(yīng)的條件表達(dá)式為真
oamf4s
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是Segment OAM F4 信元(VPI=0 并且 VCI=3), 則與此對應(yīng)的條件表達(dá)式為真.
(nt: OAM, Operation Administration and Maintenance, 操作管理和維護(hù),可理解為:ATM網(wǎng)絡(luò)中用于網(wǎng)絡(luò)
管理所產(chǎn)生的ATM信元的分類方式.
ATM網(wǎng)絡(luò)中傳輸單位為信元, 要傳輸?shù)臄?shù)據(jù)終究會(huì)被分割成固定長度(53字節(jié))的信元,
(初理解: 一條物理線路可被復(fù)用, 形成虛擬路徑(virtual path). 而一條虛擬路徑再次被復(fù)用, 形成虛擬信道(virtual channel)).
通信雙方的編址方式為:虛擬路徑編號(VPI)/虛擬信道編號(VCI)).
OAM F4 flow 信元又可分為segment 類和end-to-end 類, 其區(qū)別未知, 需補(bǔ)充.)
oamf4e
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是 end-to-end OAM F4 信元(VPI=0 并且 VCI=4), 則與此對應(yīng)的條件表達(dá)式為真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)
oamf4
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是 end-to-end 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應(yīng)的條件表達(dá)式為真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)
oam
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是 end-to-end 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應(yīng)的條件表達(dá)式為真.
(nt: 此選項(xiàng)與oamf4重復(fù), 需確認(rèn))
metac
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'元信令線路'(nt: VPI=0 并且 VCI=1, '元信令線路', meta signaling circuit, 具體含義未知, 需補(bǔ)充),
則與此對應(yīng)的條件表達(dá)式為真.
bcc
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'廣播信令線路'(nt: VPI=0 并且 VCI=2, '廣播信令線路', broadcast signaling circuit, 具體含義未知, 需補(bǔ)充),
則與此對應(yīng)的條件表達(dá)式為真.
sc
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'信令線路'(nt: VPI=0 并且 VCI=5, '信令線路', signaling circuit, 具體含義未知, 需補(bǔ)充),
則與此對應(yīng)的條件表達(dá)式為真.
ilmic
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'ILMI線路'(nt: VPI=0 并且 VCI=16, 'ILMI', Interim Local Management Interface , 可理解為
基于SNMP(簡易網(wǎng)絡(luò)管理協(xié)議)的用于網(wǎng)絡(luò)管理的接口)
則與此對應(yīng)的條件表達(dá)式為真.
connectmsg
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'信令線路'并且是Q.2931協(xié)議中規(guī)定的以下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應(yīng)的條件表達(dá)式為真.
(nt: Q.2931 為ITU(國際電信聯(lián)盟)制定的信令協(xié)議. 其中規(guī)定了在寬帶綜合業(yè)務(wù)數(shù)字網(wǎng)絡(luò)的用戶接口層建立, 維護(hù), 取消
網(wǎng)絡(luò)連接的相關(guān)步驟.)
metaconnect
如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應(yīng)的條件表達(dá)式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包
并且是來自'元信令線路'并且是Q.2931協(xié)議中規(guī)定的以下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應(yīng)的條件表達(dá)式為真.
expr relop expr
如果relop 兩側(cè)的操作數(shù)(expr)滿足relop 指定的關(guān)系, 則與此對應(yīng)的條件表達(dá)式為真.
relop 可以是以下關(guān)系操作符之一: >, <, <=, =, !=.
expr 是一個(gè)算術(shù)表達(dá)式. 此表達(dá)式中可使用整型常量(表示方式與標(biāo)準(zhǔn)C中一致), 二進(jìn)制操作符(+, -, *, /, &, |,
<<, >>), 長度操作符, 以及對特定數(shù)據(jù)包中數(shù)據(jù)的引用操作符. 要注意的是, 所有的比較操作都默認(rèn)操作數(shù)是無符號的,
例如, 0x80000000 和 0xffffffff 都是大于0的(nt: 對于有符號的比較, 按照補(bǔ)碼規(guī)則, 0xffffffff
會(huì)小于0). 如果要引用數(shù)據(jù)包中的數(shù)據(jù), 可采用以下表達(dá)方式:
proto [expr : size]
proto 的取值可以是以下取值之一:ether, fddi, tr, wlan, ppp, slip, link, ip, arp, rarp,
tcp, udp, icmp, ip6 或者 radio. 這指明了該引用操作所對應(yīng)的協(xié)議層.(ether, fddi, wlan,
tr, ppp, slip and link 對應(yīng)于數(shù)據(jù)鏈路層, radio 對應(yīng)于802.11(wlan,無線局域網(wǎng))某些數(shù)據(jù)包中的附帶的
"radio"頭(nt: 其中描述了波特率, 數(shù)據(jù)加密等信息)).
要注意的是, tcp, udp 等上層協(xié)議目前只能應(yīng)用于網(wǎng)絡(luò)層采用為IPv4或IPv6協(xié)議的網(wǎng)絡(luò)(此限制會(huì)在tcpdump未來版本中
進(jìn)行修改). 對于指定協(xié)議的所需數(shù)據(jù), 其在包數(shù)據(jù)中的偏移字節(jié)由expr 來指定.
以上表達(dá)中size 是可選的, 用來指明我們關(guān)注那部分?jǐn)?shù)據(jù)段的長度(nt:通常這段數(shù)據(jù)
是數(shù)據(jù)包的一個(gè)域)， 其長度可以是1, 2, 或4個(gè)字節(jié). 如果不給定size, 默認(rèn)是1個(gè)字節(jié). 長度操作符的關(guān)鍵字為len,
這代碼整個(gè)數(shù)據(jù)包的長度.
例如, 'ether[0] & 1 != 0' 將會(huì)使tcpdump 抓取所有多點(diǎn)廣播數(shù)據(jù)包.(nt: ether[0]字節(jié)的最低位為1表示
數(shù)據(jù)包目的地址是多點(diǎn)廣播地址). 'ip[0] & 0xf != 5' 對應(yīng)抓取所有帶有選項(xiàng)的
IPv4數(shù)據(jù)包. 'ip[6:2] & 0x1fff = 0'對應(yīng)抓取沒被破碎的IPv4數(shù)據(jù)包或者
其片段編號為0的已破碎的IPv4數(shù)據(jù)包. 這種數(shù)據(jù)檢查方式也適用于tcp和udp數(shù)據(jù)的引用,
即, tcp[0]對應(yīng)于TCP 頭中第一個(gè)字節(jié), 而不是對應(yīng)任何一個(gè)中間的字節(jié).
一些偏移以及域的取值除了可以用數(shù)字也可用名字來表達(dá). 以下為可用的一些域(協(xié)議頭中的域)的名字: icmptype (指ICMP 協(xié)議頭
中type域), icmpcode (指ICMP 協(xié)議頭code 域), 以及tcpflags(指TCP協(xié)議頭的flags 域)
以下為ICMP 協(xié)議頭中type 域的可用取值:
icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redirect, icmp-echo, icmp-routeradvert,
icmp-routersolicit, icmp-timx-ceed, icmp-paramprob, icmp-tstamp, icmp-tstampreply,
icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.
以下為TCP 協(xié)議頭中flags 域的可用取值:tcp-fin, tcp-syn, tcp-rst, tcp-push,
tcp-ack, tcp-urg.
感謝各位的閱讀！看完上述內(nèi)容，你們對linux抓包命令tcpdump的作用是什么大概了解了嗎？希望文章內(nèi)容對大家有所幫助。如果想了解更多相關(guān)文章內(nèi)容，歡迎關(guān)注億速云行業(yè)資訊頻道。
總結(jié)
以上是生活随笔為你收集整理的linux抓包命令tcpdump的作用是什么的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 抖音怎么设置不让他看
- 下一篇： apache serve指的r是什么意思