0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看技术视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

Linux网络抓包分析工具

jf_uPRfTJDa 来源:入门小站 作者:入门小站 2022-11-11 11:41 次阅读

一、tcpdump

1、作用

tcpdump 指令可列出经过指定网络界面的数据包文件头,可以将网络中传送的数据包的 “头” 完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供 and、or、not 等逻辑语句来帮助你摘取有用信息

由于它需要将网络接口设置为混杂模式,普通用户不能正常执行,但具备 root 权限的用户可以直接执行它来获取网络上的信息

其他抓包工具

wireshark具有图形化和命令行两种版本,可以对 tcpdump 抓的包进行分析,其主要功能就是分析数据包。

ngrep它将抓到的包数据以文本形式直接显示出来,适用于包数据包含文本的[抓包]分析 (如 HTTP、MySQL)

2、命令选项

tcpdump [选项] [协议] [数据流方向] [范围]

-a 将网络地址和广播地址转变成名字

-A 以 ASCII 格式打印出所有分组,并将链路层的头最小化

-b 数据链路层上选择协议,包括 ip/arp/rarp/ipx 都在这一层

-c 指定收取数据包的次数,即在收到指定数量的数据包后退出 tcpdump

-d 将匹配信息包的代码以人们能够理解的汇编格式输出

-dd 将匹配信息包的代码以 c 语言程序段的格式输出

-ddd 将匹配信息包的代码以十进制的形式输出

-D 打印系统中所有可以监控的网络接口

-e 在输出行打印出数据链路层的头部信息

-f 将外部的 Internet 地址以数字的形式打印出来,即不显示主机名

-F 从指定的文件中读取表达式,忽略其他的表达式

-i 指定监听网络接口

-l 使标准输出变为缓冲形式,可以数据导出到文件

-L 列出网络接口已知的数据链路

-n 不把网络地址转换为名字

-N 不输出主机名中的域名部分,例如 www.baidu.com 只输出 www

-nn 不进行端口名称的转换

-P 不将网络接口设置为混杂模式

-q 快速输出,即只输出较少的协议信息

-r 从指定的文件中读取数据,一般是 - w 保存的文件

-w 将捕获到的信息保存到文件中,且不分析和打印在屏幕

-s 从每个组中读取在开始的 snaplen 个字节,而不是默认的 68 个字节

-S 将 tcp 的序列号以绝对值形式输出,而不是相对值

-T 将监听到的包直接解析为指定的类型的报文,常见的类型有 rpc(远程过程调用)和 snmp(简单网络管理协议)

-t 在输出的每一行不打印时间戳

-tt 在每一行中输出非格式化的时间戳

-ttt 输出本行和前面以后之间的时间差

-tttt 在每一行中输出 data 处理的默认格式的时间戳

-u 输出未解码的 NFS 句柄

-v 输出稍微详细的信息,例如在 ip 包中可以包括 ttl 和服务类型的信息

-vv 输出相信的保报文信息

3、tcpdump 表达式

关于数据类型的关键字

包括 host、port、net:

host 192.168.100.1 表示一台主机,net 192.168.100.0 表示一个网络网段,port 80 指明端口号为 80,在这里如果没有指明数据类型,那么默认就是 host

数据传输方向的关键字

包括 src、dst、dst or src、dst and src,这些关键字指明了传输的方向,比如 src 192.168.100.1 说明数据包源地址是 192.168.100.1。dst net 192.168.100.0 指明目的网络地址是 192.168.100.0,默认是监控主机对主机的 src 和 dst,即默认监听本机和目标主机的所有数据
协议关键字

包括 ip、arp、rarp、udp

其他关键字

运算类型:or、and、not、!

辅助功能型:gateway、less、broadcast、greater

4、tcpdump 捕获方式

tcpdump [协议类型] [源或目标] [主机名称或 IP] [or/and/not/! 条件组合] [源或目标] [主机名或 IP] [or/and/not/! 条件组合] [端口] [端口号] …… [or/and/not/! 条件组合] [条件]

>tcpdumpipdst192.168.10.1andsrc192.168.10.10andport80andhost!www.baidu.com

tcpdump

默认监听在第一块网卡,监听所有经过此网卡的数据包

634a1370-60de-11ed-8abf-dac502259ad0.png

>tcpdump-iens33

监听指定网卡 ens33 的所有传输数据包

635e2c70-60de-11ed-8abf-dac502259ad0.png

>tcpdump-iens33host192.168.100.10

捕获主机 192.168.100.10 经过网卡 ens33 的所有数据包(也可以是主机名,但要求可以解析出 IP 地址)

636fbde6-60de-11ed-8abf-dac502259ad0.png

63871982-60de-11ed-8abf-dac502259ad0.png

第一列:报文的时间

第二列:网络协议 IP

第三列:发送方的 ip 地址、端口号、域名,上图显示的是本机的域名,可通过 / etc/hosts 查看本机域名

第四列:箭头 >, 表示数据流向

第五列:接收方的 ip 地址、端口号、域名,

第六列:冒号

第七列:数据包内容,报文头的摘要信息,有 ttl、报文类型、标识值、序列、包的大小等信息

>tcpdumphost192.168.130.151and192.168.130.152or192.168.130.153192.168.130.152or192.168.130.153

捕获主机 192.168.56.209 和主机 192.168.56.210 或 192.168.56.211 的所有通信数据包

>tcpdumpiphostnode9andnotwww.baidu.com

捕获主机 node9 与其他主机之间(不包括 www.baidu.com)通信的 ip 数据包

>tcpdumpiphostnode9and!www.baidu.com

捕获 node9 与其他所有主机的通信数据包(不包括 www.baidu.com)

>tcpdump-iens33srcnode10

捕获源主机 node10 发送的所有的经过 ens33 网卡的所有数据包

>tcpdump-iens33dsthostwww.baidu.com

捕获所有发送到主机 www.baidu.com 的数据包

监听主机 192.168.56.1 和 192.168.56.210 之间 ip 协议的 80 端口的且排除 www.baidu.com 通信的所有数据包:

>tcpdumpipdst192.168.56.1andsrc192.168.56.210andport80andhost!baidu.com

也可以写成 tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host not www.baidu.com,即 not 和!都是相同的取反的意思

>tcpdumparp

监控指定主机的通信数据包与 1.9.1 方式相同

>tcpdumptcpport22andhost192.168.56.210

捕获主机 192.168.56.210 接收和发出的 tcp 协议的 ssh 的数据包

tcpdump udp port 53

监听本机 udp 的 53 端口的数据包,udp 是 dns 协议的端口,这也是一个 dns 域名解析的完整过程

5、常用的过滤条件

tcpdump 可以支持逻辑运算符

and: 与运算,所有的条件都需要满足,可用 “and”和 “&&” 表示
or:或运行,只要有一个条件满足就可以,可用 “or” 和“|”表示
not:取反,即取反条件,可以用 “not” 和“!”表示

>tcpdumpicmpandsrc192.168.100.10-iens33-n

过滤 icmp 报文并且源 IP 是 192.168.100.10

关注[入门小站]领资料

多条件格式
在使用多个过滤条件进行组合时,有可能需要用到括号,而括号在 shell 中是特殊符号,又需要使用引号将其包含。用括号的主要作用是逻辑运算符之间存在优先级,!>and > or, 为例条件能够精确所以需要对一些必要的组合括号括起来,而括号的意思相当于加减运算一样,括起来的内容作为一个整体进行逻辑运算。

过滤源地址是 192.168.100.1 并且目的地址是 192.168.20.20 的数据包或者 ARP 协议的包

6399de5a-60de-11ed-8abf-dac502259ad0.png

>tcpdump**src**host192.168.10.10-iens33-n-c5

过滤源 IP 地址是 192.168.10.10 的包

63ac538c-60de-11ed-8abf-dac502259ad0.png

>tcpdump**dst**host192.168.10.10-iens33-n-c5

过滤目的 IP 地址是 192.168.10.10 的包

63c6f5d4-60de-11ed-8abf-dac502259ad0.png

基于端口进行过滤

>tcpdumpport22-iens33-n-c5
>过滤端口号为22即ssh协议的

关注[入门小站]领资料。

63dbf272-60de-11ed-8abf-dac502259ad0.png

>tcpdumpportrange22-433-iens33-n-c8

过滤端口号 22-433 内的数据包

63f6ed3e-60de-11ed-8abf-dac502259ad0.png

二、wireshark

1、什么是 wireshark

Wireshark 是一个网络封包分析软件。网络封包分析软件的功能是捕获网络数据包,并尽可能显示出最为详细的网络封包资料。Wireshark 使用 WinPCAP 作为接口,直接与网卡进行数据报文交换

2、安装 wireshark

Linux 中有两个版本的 wireshark,一个是 wireshark,这个版本是无图形化界面,基本命令是”tshark“。

一个是 wireshark-gnome(界面版本),这个版本只能安装在支持 GUI 功能的 Linux 的版本中。

>yum-yinstallwireshark//安装无图形化版本
>yum-yinstallwireshark-gnome//安装图形化版本
640f0f68-60de-11ed-8abf-dac502259ad0.png64235806-60de-11ed-8abf-dac502259ad0.png64373128-60de-11ed-8abf-dac502259ad0.png

:这里的通过 yum 进行安装,需要提前做好 epel 源(即红帽操作系统额外拓展包),装上了 EPEL 之后,就相当于添加了一个第三方源。官方的 rpm repository 提供的 rpm 包也不够丰富,很多时候需要自己编译那太辛苦了,而 EPEL 可以解决官方 yum 源数据包不够丰富的情况。

安装epel源

>yum-yinstallepel-release
6453f984-60de-11ed-8abf-dac502259ad0.png

3、tshark 命令

tshark是wireshark的命令行工具
tshark选项参数
-i:指定捕获的网卡接口,不设置默认第一个非环回口接口
-D:显示所有可用的网络接口列表
-f:指定条件表达式,与 tcpdump 相同
-s:设置每个抓包的大小,默认 65535,多于这个大小的数据将不会不会被截取。
-c:捕获指定数量的数据包后退出
-w:后接文件名,将抓包的结果输出到. pcap 文件中,可以借助其他网络分析工具进行分析,也可以使用重定向>把解码后的输出结果以 txt 的格式输出。
-p:设置网络接口以非混合模式工作,即只关心和本机有关的流量
-r:后接文件路径,用于分析保持好的网络包文件,比如 tcpdump 的输出文件
-n:禁止所有地址名字解析,即禁止域名解析, 默认是允许所有
-N:指定对某一层的地址名字解析,如果- n 和- N 同时存在,则- n 将被忽略,如果两者都不写,则会默认打开所有地址名字解析
 m:代表数据链路层
 n:代表网络层
 t:代表传输层
-V:设置将解码结果的细节输出,否则解码结果仅显示一个 packet 一行的 summary 
-t:设置结果的时间格式
 ad:表示带日期的绝对时间
 a:表示不带日期的绝对时间
 r:表示从第一个包到现在的相对时间
 d:表示两个相邻包之间的增量时间
tshark-f"icmp"-iens33-V-c1

过滤 icmp 报文,并展开详细信息

tshark-f"arp"-iens33

过滤 arp 报文

6468965a-60de-11ed-8abf-dac502259ad0.png647b7234-60de-11ed-8abf-dac502259ad0.png

4、图形化界面

649b3844-60de-11ed-8abf-dac502259ad0.png6560410c-60de-11ed-8abf-dac502259ad0.png

657668e2-60de-11ed-8abf-dac502259ad0.png 658c9018-60de-11ed-8abf-dac502259ad0.png

三、Tcpdump 和 wireshark 合用

Tcpdump 解析报文信息没有 wireshark 详细,所以可以通过 Tcpdump 捕获数据并输出,再通过 wireshark 进行解析,输出文件格式为. pcap 或者其他

65a60980-60de-11ed-8abf-dac502259ad0.png

在虚拟机上通过 wireshark 读取

65b6a7ae-60de-11ed-8abf-dac502259ad0.png

使用 ip.addr == [ip 地址号] 可以过滤掉无关 ip

65d45fe2-60de-11ed-8abf-dac502259ad0.png  图形读取

65ef8fe2-60de-11ed-8abf-dac502259ad0.png

用 wireshark 直接打开查看

总结

tcpdump 和 wireshark 两种单以抓包的功能来看,是相似的,两者的命令行的选项也是有相同,但是 tcpdump 对数据包分析的能力不是很好,同时目前很多 Linux 内置安装了 tcpdump 这个工具,所以我们可以通过 tcpdump 把数据包抓出并存放到我们自定义的文件(.pcap)中,再通过把文件取出用 wireshark 进行分析排障

审核编辑:汤梓红

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • Linux
    +关注

    关注

    87

    文章

    11300

    浏览量

    209397
  • 网络
    +关注

    关注

    14

    文章

    7560

    浏览量

    88752

原文标题:总结

文章出处:【微信号:5G通信,微信公众号:5G通信】欢迎添加关注!文章转载请注明出处。

收藏 人收藏

    评论

    相关推荐

    Wireshark和Tcpdump实例分析

    wireshark是开源软件,可以放心使用。可以运行在Windows和Mac OS上。对应的,linux下的工具是 tcpdump。使用wireshark的人必须了解网络协议,否则
    的头像 发表于 02-01 09:31 3039次阅读

    WIZnet芯片通讯时怎么?

    借助于“可以的交换机”,这种交换机多数是二手产品,而且是10M的网络,比如TP-LINK TL-HP5MU。把芯片和计算机的网线分别
    发表于 03-13 11:32

    加密后分析的问题?

    请问一下,我的zigbee设备全部都开启了加密, 使用软件的时候,数据都是加密的,我应该怎么解密分析这些数据呢,谢谢了
    发表于 06-01 14:22

    如何使用WireShark进行网络

      如何使用WireShark进行网络:准备工作、wireshark 主界面介绍、封包列表介绍
    发表于 04-02 07:05

    空口方式和wireshank分析工具使用介绍

    主要介绍下最近使用中感觉很万能的空口方式和wireshank分析工具使用;目的:抓取各种设备网络通信过程中数据
    发表于 01-18 09:11

    请问BLE-Dongle是否支持协议分析?请问怎么进行协议分析

    如题,请问贵司的BLE-Dongle是否支持协议分析?请问怎么进行协议分析
    发表于 09-07 07:12

    Linux基础之用 TCPDUMP

    简介网络数据截获分析工具。支持针对网络层、协议、主机、网络或端口的过滤。并提供and、or、n
    的头像 发表于 03-15 13:40 3839次阅读

    如何吧tcpdump网络工具移植到嵌入式linux系统

    本文档的主要内容详细介绍的是如何吧tcpdump网络工具移植到嵌入式linux系统详细资料合集免费下载。
    发表于 01-18 08:00 6次下载
    如何吧tcpdump<b class='flag-5'>网络</b><b class='flag-5'>抓</b>包<b class='flag-5'>工具</b>移植到嵌入式<b class='flag-5'>linux</b>系统

    Wireshark网络分析工具使用教程免费下载

    Wireshark是网络分析工具网络分析
    发表于 09-09 08:00 4次下载
    Wireshark<b class='flag-5'>网络</b><b class='flag-5'>包</b><b class='flag-5'>分析</b><b class='flag-5'>工具</b>使用教程免费下载

    Wireshark数据网络协议的分析

    Wireshark 是目前最受欢迎的工具。它可以运行在 Windows、Linux 及 MAC OS X 操作系统中,并提供了友好的图形界面。同时,Wireshark 提供功能强大的数据
    发表于 10-12 08:00 1次下载
    Wireshark数据<b class='flag-5'>抓</b><b class='flag-5'>包</b><b class='flag-5'>网络</b>协议的<b class='flag-5'>分析</b>

    网络分析工具tcpdump安装介绍

    概述 用简单的话来定义tcpdump,就是:dump the traffic on a network,根据使用者的定义对网络上的数据进行截获的分析
    的头像 发表于 08-18 10:05 8674次阅读
    <b class='flag-5'>网络</b>行<b class='flag-5'>抓</b><b class='flag-5'>包</b><b class='flag-5'>分析</b><b class='flag-5'>工具</b>tcpdump安装介绍

    Wireshark从入门到精通之网络协议分析必备

    Wireshark从入门到精通之网络协议分析必备
    发表于 01-18 13:53 9次下载

    安卓端免代理

    想必你们都遇到过一些APP在运行过程中, 不允许有网络代理的存在, 如果有网络代理, 就无法访问服务器. 这样也就无法让用户进行分析了.
    的头像 发表于 03-03 14:00 4567次阅读
    安卓端免代理<b class='flag-5'>抓</b><b class='flag-5'>包</b>

    如何抓取app数据 网络原理及实现

    要实现对App的网络数据,需要监控App与服务器交互之间的网络节点,监控其中任意一个网络节点(网卡),获取所有经过网卡中的数据,对这些数
    发表于 08-11 09:30 3234次阅读
    如何抓取app数据<b class='flag-5'>包</b> <b class='flag-5'>网络</b><b class='flag-5'>抓</b><b class='flag-5'>包</b>原理及实现

    如何利用eNSP进行实验?

    使用Wireshark工具进行ping,并分析报文
    的头像 发表于 09-12 09:32 4253次阅读
    如何利用eNSP进行<b class='flag-5'>抓</b><b class='flag-5'>包</b>实验?