搜索

[26313] 2020-11-21_使用tcpdump查看原始数据包

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-11-21_使用tcpdump查看原始数据包 使 用 t c p d u m p 查 看 原 始 数 据 包 L i n u x 学 习   2 0 2 0 - 1 1 - 2 1 来 自 ： 简 书 ， 作 者 ： 追 梦 人 在 路 上 不 断 追 寻 来 自 ： 简 书 ， 作 者 ： 追 梦 人 在 路 上 不 断 追 寻 链 接 ： 链 接 ： h t t p s : / / w w w . j i a n s h u . c o m / p / e 8 0 2 2 7 d 2 f 3 d 1 尽 管 S n o r t 之 类 的 工 具 在 筛 选 通 过 我 们 的 网 络 而 来 的 所 有 内 容 方 面 做 得 非 常 出 色 ， 但 有 时 必 须 要 查 看 原 始 数 据 。 为 此 ， 我 们 最 好 的 工 具 是 “   t c p d u m p ” 。 使 用 t c p d u m p 的 最 基 本 方 法 是 简 单 地 发 出 以 下 命 令 ： 您 可 以 使 用 - v 选 项 获 得 更 多 详 细 信 息 ， 而 - v v 可 以 获 取 更 多 信 息 。 有 用 的 选 项 有 用 的 选 项 假 设 您 已 登 录 到 要 管 理 的 远 程 计 算 机 。 如 果 您 不 带 任 何 选 项 运 行 “   t c p d u m p ” ， 则 输 出 将 被 来 自 您 的 S S H 连 接 的 数 据 包 淹 没 。 为 避 免 这 种 情 况 ， 只 需 从 输 出 中 消 除 端 口 2 2 ： 您 可 以 使 用 许 多 不 同 的 端 口 来 执 行 此 操 作 ： t c p d u m p t c p d u m p   n o t   p o r t   2 2
如 果 要 进 行 相 反 的 操 作 ， 即 仅 监 视 某 个 端 口 （ 这 对 于 调 试 网 络 应 用 程 序 非 常 有 用 ） ， 则 可 以 执 行 以 下 操 作 ： 您 还 可 以 从 网 络 上 的 特 定 主 机 获 取 数 据 ： 如 果 您 的 计 算 机 具 有 多 个 网 络 接 口 ， 则 还 可 以 指 定 要 收 听 的 网 络 接 口 ： 您 还 可 以 指 定 协 议 ： 您 可 以 在 /   e t c   /   p r o t o c o l s 中 找 到 协 议 列 表 。 保 存 输 出 以 备 后 用 保 存 输 出 以 备 后 用 在 某 些 情 况 下 ， 您 可 能 希 望 将 输 出 重 定 向 到 文 件 ， 以 便 以 后 可 以 详 细 研 究 它 或 使 用 其 他 程 序 来 解 析 输 出 。 在 以 下 示 例 中 ， 您 仍 然 可 以 在 将 输 出 保 存 到 文 件 时 观 看 输 出 ： 在 上 面 的 示 例 中 ， 我 们 可 以 使 用 日 期 和 时 间 来 标 识 每 个 转 储 。 在 处 理 一 天 中 特 定 时 间 出 现 的 问 题 时 ， 这 可 能 会 派 上 用 场 。 t c p d u m p 还 可 以 选 择 将 其 输 出 转 储 为 二 进 制 格 式 ， 以 便 以 后 读 取 。 要 创 建 一 个 二 进 制 文 件 ： 稍 后 ， 您 可 以 让 t c p d u m p 使 用 以 下 命 令 读 取 文 件 您 也 可 以 使 用 e t h e r e a l 程 序 打 开 原 始 转 储 并 解 释 它 。 t c p d u m p 为 我 们 提 供 了 有 关 往 返 于 网 络 的 所 有 数 据 包 的 信 息 。 将 将 E t h e r e a l 与 与 t c p d u m p 一 起 使 用 一 起 使 用 E t h e r e a l E t h e r e a l 是 一 种 也 可 以 用 来 捕 获 网 络 数 据 包 的 工 具 。 安 装 后 ， 您 可 以 打 开 您 制 作 的 原 始 转 储 文 件 。 t c p d u m p   n o t   p o r t   1 4 3   a n d   n o t   p o r t   2 5   a n d   n o t   p o r t   2 2 t c p d u m p   p o r t   1 4 3 t c p d u m p   h o s t   h a l 9 0 0 0 t c p d u m p   - i   e t h 1 t c p d u m p   u d p t c p d u m p   - l   |   t e e   t c p d u m p _ ` d a t e   + % Y % m % e - % k . % M ` t c p d u m p   - w   t c p d u m p _ r a w _ ` d a t e   + % Y % m % e - % k . % M ` t c p d u m p   - r   t c p d u m p _ r a w _ Y Y Y M M D D - H . M
查 看 正 在 发 生 的 事 情 变 得 相 当 容 易 。 您 可 以 看 到 源 I P 和 目 标 I P 以 及 它 是 什 么 类 型 的 数 据 包 。 这 很 容 易 ， 然 后 即 可 对 您 可 能 遇 到 的 网 络 问 题 进 行 故 障 排 除 并 分 析 可 疑 行 为 。 只 是 为 了 增 加 一 则 轶 事 ， 当 我 编 写 本 课 并 解 释 自 己 的 转 储 时 ， 我 在 个 人 工 作 站 上 看 到 了 一 些 奇 怪 的 活 动 。 我 几 乎 每 隔 固 定 时 间 就 查 询 世 界 上 不 同 I P 的 机 器 上 的 端 口 3 2 7 7 2 。 我 为 端 口 3 2 7 7 2 运 行 了 一 个 特 定 的 转 储 ， 如 下 所 示 ： 读 取 原 始 输 出 读 取 原 始 输 出 如 您 所 见 ， 即 使 从 t c p d u m p 读 取 所 谓 的 “ 人 类 可 读 ” 输 出 也 可 能 有 点 神 秘 。 看 下 面 的 示 例 ， 我 只 是 从 转 储 中 选 出 一 个 随 机 数 据 包 ： 我 们 所 拥 有 的 是 对 h t t p s : / / w w w . l i n u x . o r g / 的 W e b 服 务 器 请 求 。 时 间 戳 记 过 后 ， 您 会 在 主 机 名 （ 即 端 口 8 0 ） 的 末 尾 注 意 到 . w w w 。 这 将 被 发 送 到 发 出 请 求 的 主 机 t e s t . l i n u x . o r g 的 端 口 3 4 3 6 5 。 “   P ” 代 表 T C P “   o u s h ” 功 能 。 这 意 味 着 应 该 立 即 发 送 数 据 。 在 2 8 4 5 ： 3 7 3 9 （ 8 9 4 ） 之 后 的 数 字 中 ， 2 8 4 5 标 记 第 一 个 数 据 包 的 八 位 位 组 的 编 号 。 数 字 3 7 3 9 是 数 据 包 发 送 的 最 后 一 个 字 节 的 数 字 加 1 。 数 字 8 9 4 是 发 送 的 数 据 包 的 长 度 。 表 示 “   a c k   1 6 2 4 ” 的 部 分 是 “   a c k n o w l e d g e ” 的 T C P 术 语 - 表 示 该 数 据 包 已 被 接 受 ， 下 一 个 预 期 的 数 据 包 编 号 为 1 6 2 4 。 之 后 ， 我 们 看 到 “   w i n   9 6 4 8 ” 发 送 主 机 正 在 等 待 窗 口 大 小 为 9 6 4 8 个 八 位 位 组 的 数 据 包 。 这 之 后 是 时 间 戳 。 现 在 ， 如 果 您 认 为 难 以 解 释 ， 则 使 用 - x 选 项 ， 它 将 在 十 六 进 制 输 出 中 包 含 数 据 包 内 容 。 我 们 可 以 从 输 出 中 得 知 这 是 一 个 H T T P 请 求 。 至 于 其 余 的 ， 它 不 是 人 类 可 读 的 ， 但 是 我 们 很 容 易 知 道 这 是 一 个 合 法 的 数 据 包 。 使 用 这 种 格 式 的 另 一 个 好 处 是 ， 即 使 我 们 无 法 完 全 解 释 此 数 据 包 的 状 况 ， 也 可 以 将 其 发 送 给 可 能 的 人 。 最 终 ， 这 是 未 经 任 何 过 滤 通 过 网 络 传 输 的 原 始 数 据 。 推 荐 推 荐 ↓ ↓ ↓ 运 维 运 维 t c p d u m p   p o r t   3 2 7 7 2   - w   d u m p _ 3 2 7 7 2 1 7 : 2 6 : 2 2 . 9 2 4 4 9 3   I P   w w w . l i n u x . o r g . w w w   >   t e s t . l i n u x . o r g . 3 4 3 6 5 :   P   2 8 4 5 : 3 7 3 9 ( 8 9 4 )   a c k   1 6 2 4   w i n   9 6 4 8   < n o p , n o p , t i m e s t a m p   3 2 6 5 0 1 4 5 9   2 4 3 7 4 2 7 2 > 1 8 : 1 2 : 4 5 . 1 4 9 9 7 7   I P   w w w . l i n u x . o r g . w w w   >   t e s t . l i n u x . o r g . 3 4 5 3 6 :   .   1 : 1 4 4 9 ( 1 4 4 8 )   a c k   4 8 7   w i n   6 4 3 2   < n o p , n o p , t i m e s t a m p   3 2 9 2 8 4 2 1 5   2 7 1 5 6 2 4 4 >                 0 x 0 0 0 0 :     4 5 0 0   0 5 d c   6 a 8 1   4 0 0 0   4 0 0 6   4 9 3 b   c 0 a 8   0 0 0 6     E . . . j . @ . @ . I ; . . . .                 0 x 0 0 1 0 :     c 0 a 8   0 0 0 9   0 0 5 0   8 6 e 8   8 f a 4   1 d 4 7   1 c 3 3   e 3 a f     . . . . . P . . . . . G . 3 . .                 0 x 0 0 2 0 :     8 0 1 0   1 9 2 0   b 4 d 9   0 0 0 0   0 1 0 1   0 8 0 a   1 3 a 0   7 a 7 7     . . . . . . . . . . . . . . z w                 0 x 0 0 3 0 :     0 1 9 e   5 f 1 4   4 8 5 4   5 4 5 0   2 f 3 1   2 e 3 1   2 0 3 2   3 0 3 0     . . _ . H T T P / 1 . 1 . 2 0 0                 0 x 0 0 4 0 :     2 0 4 f   4 b 0 d   0 a 4 4   6 1 7 4   6 5 3 a   2 0 5 4   6 8 7 5   2 c 2 0     . O K . . D a t e : . T h u , .                 0 x 0 0 5 0 :     3 1 3 5
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理