搜索

[21769] 2021-03-13_学习一个Linux命令：tcpdump命令

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-03-13_学习一个Linux命令：tcpdump命令 学 习 一 个   L i n u x   命 令 ： t c p d u m p   命 令 L e m o n S e c   2 0 2 1 - 0 3 - 1 3 转 自 ： 恋 猫 大 鲤 鱼 h t t p s : / / d a b l e l v . b l o g . c s d n . n e t / a r t i c l e / d e t a i l s / 7 1 5 8 7 9 4 1 . 命 令 简 介 命 令 简 介 t c p d u m p   是 一 款 类   U n i x / L i n u x   环 境 下 的 抓 包 工 具 ， 允 许 用 户 截 获 和 显 示 发 送 或 收 到 的 网 络 数 据 包 。 t c p d u m p   是 一 个 在   B S D 许 可 证 下 发 布 的 自 由 软 件 。 2 . 命 令 格 式 命 令 格 式 3 . 选 项 说 明 选 项 说 明 t c p d u m p   [   - A b d D e f h l L n N O p q R S t u U v x X   ]   [   - B   b u f f e r _ s i z e   ]   [   - c   c o u n t   ]                 [   - C   f i l e _ s i z e   ]   [   - F   f i l e   ]   [   - G   r o t a t e _ s e c o n d s   ]                 [   - i   i n t e r f a c e   ]   [   - m   m o d u l e   ]   [   - M   s e c r e t   ]                 [   - r   f i l e   ]   [   - s   s n a p l e n   ]   [   - T   t y p e   ]   [   - w   f i l e   ]                 [   - W   f i l e c o u n t   ]                 [   - E   s p i @ i p a d d r   a l g o : s e c r e t , . . .     ]                 [   - y   d a t a l i n k t y p e   ]   [   - z   p o s t r o t a t e - c o m m a n d   ]   [   - Z   u s e r   ]                 [   e x p r e s s i o n   ] - A   以   A S C I I   码 方 式 显 示 每 一 个 数 据 包 ( 不 会 显 示 数 据 包 中 链 路 层 头 部 信 息 ) 。 在 抓 取 包 含 网 页 数 据 的 数 据 包 时 ， 可 方 便 查 看 数 据 - b   用   A S D O T   符 号 而 不 是   A S P L A I N   符 号 在   B G P   数 据 包 中 打 印   A S   号 - B ,   - - b u f f e r - s i z e = B U F F E R _ S I Z E   设 置 操 作 系 统 捕 捉 缓 冲 大 小 ， 单 位   K B - c   [ 数 据 包 数 目 ]   收 到 指 定 的 数 据 包 数 目 后 ， 就 停 止 进 行 捕 获 操 作 - C   F I L E _ S I Z E   与   - w   F I L E   选 项 配 合 使 用 。 该 选 项 使 得   t c p d u m p   在 把 原 始 数 据 包 直 接 保 存 到 文 件 中 之 前 ， 检 查 此 文 件 大 小 是 否 超 过   f i l e - s i z e 。 如 果 超 过 了 ， 将 关 闭 此 文 件 ， 另 创 一 个 文 件 继 续 保 存 原 始 数 据 包 。 新 创 建 的 文 件 名 与   - w   选 项 指 定 的 文 件 名 一 致 ,   但 文 件 名 后 多 了 一 个 数 字 ， 该 数 字 会 从 1 开 始 随 着 新 创 建 文 件 的 增 多 而 增 加 。 f i l e - s i z e 的 单 位 是 百 万 字 节 ( n t :   这 里 指 1 , 0 0 0 , 0 0 0 个 字 节 , 并 非 1 , 0 4 8 , 5 7 6 个 字 节 ,   后 者 是 以 1 0 2 4 字 节 为 1 k ,   1 0 2 4 k 字 节 为 1 M 计 算 所 得 ,   即 1 M = 1 0 2 4 * 1 0 2 4   ＝ 1 , 0 4 8 , 5 7 6 ) - d   把 编 译 过 的 数 据 包 编 码 转 换 成 可 阅 读 的 格 式 ， 并 倾 倒 到 标 准 输 出 - d d
  把 编 译 过 的 数 据 包 编 码 转 换 成 C 语 言 的 格 式 ， 并 倾 倒 到 标 准 输 出 - d d d   把 编 译 过 的 数 据 包 编 码 转 换 成 十 进 制 数 字 的 格 式 ， 并 倾 倒 到 标 准 输 出 - D ,   - - l i s t - i n t e r f a c e s   打 印 系 统 中 所 有   t c p d u m p   可 以 在 其 上 进 行 抓 包 的 网 络 接 口 。 每 一 个 接 口 会 打 印 出 数 字 编 号 ,   相 应 的 接 口 名 字 ,   以 及 一 个 可 能 的 网 络 接 口 描 述 。 其 中 网 络 接 口 名 字 和 数 字 编 号 可 以 用 在 t c p d u m p 的 - i   [ f l a g ] 选 项 ( n t : 把 名 字 或 数 字 代 替 f l a g ) ,   来 指 定 要 在 其 上 抓 包 的 网 络 接 口 。 此 选 项 在 不 支 持 接 口 列 表 命 令 的 系 统 上 很 有 用 ( n t :   比 如 ,   W i n d o w s   系 统 ,   或 缺 乏   i f c o n f i g   - a   的 U N I X 系 统 ) ;   接 口 的 数 字 编 号 在 w i n d o w s   2 0 0 0   或 其 后 的 系 统 中 很 有 用 ,   因 为 这 些 系 统 上 的 接 口 名 字 比 较 复 杂 ,   而 不 易 使 用 。 如 果 t c p d u m p 编 译 时 所 依 赖 的 l i b p c a p 库 太 老 , - D   选 项 不 会 被 支 持 ,   因 为 其 中 缺 乏   p c a p _ f i n d a l l d e v s ( ) 函 数 - e   每 行 打 印 输 出 中 将 包 括 数 据 包 的 数 据 链 路 层 头 部 信 息   - f   显 示 外 部 的 I P v 4 地 址 时 ( n t : f o r e i g n   I P v 4   a d d r e s s e s ,   可 理 解 为 非 本 机 i p 地 址 ) ,   采 用 数 字 方 式 而 不 是 名 字 。 此 选 项 是 用 来 对 付 S u n 公 司 的 N I S 服 务 器 的 缺 陷 ( n t :   N I S ,   网 络 信 息 服 务 ,   t c p d u m p   显 示 外 部 地 址 的 名 字 时 会 用 到 它 提 供 的 名 称 服 务 ) :   此 N I S 服 务 器 在 查 询 非 本 地 地 址 名 字 时 ， 常 常 会 陷 入 无 尽 的 查 询 循 环 ) 。 由 于 对 外 部 ( f o r e i g n ) I P v 4 地 址 的 测 试 需 要 用 到 本 地 网 络 接 口 ( n t :   t c p d u m p   抓 包 时 用 到 的 接 口 ) 及 其 I P v 4   地 址 和 网 络 掩 码 .   如 果 此 地 址 或 网 络 掩 码 不 可 用 ,   或 者 此 接 口 根 本 就 没 有 设 置 相 应 网 络 地 址 和 网 络 掩 码 ( n t :   l i n u x   下 的   - F   F I L E   使 用 f i l e 文 件 作 为 过 滤 条 件 表 达 式 的 输 入 ,   此 时 命 令 行 上 的 输 入 将 被 忽 略 - G   [ r o t a t e _ s e c o n d s ]   类 似 于 - C   [ f i l e _ s i z e ] 命 令 选 项 ， - C 按 文 件 大 小 来 新 建 文 件 存 储 数 据 包 ， - G 则 根 据 指 定 的 时 间 周 期 ， 将 监 听 到 的 数 据 包 写 入 新 的 文 件 ， 新 建 的 文 件 名 由 - w 选 项 指 定 ， 并 且 文 件 名 后 接 有 时 间 串 ， 时 间 串 的 格 式 由 s t r f t i m e ( 3 ) 指 定 。 如 果 没 有 指 定 时 间 串 的 格 式 ， 新 的 文 件 将 覆 盖 旧 的 文 件 。 如 果 与   - C   选 项 同 时 使 用 的 话 ， 文 件 名 称 格 式 将 是   f i l e < c o u n t > 。 - h ， - - h e l p   打 印 t c p d u m p 的 帮 助 信 息 和 l i b p c a p 的 版 本 信 息 。 （ n t ： l i b p c a p 是 u n i x / l i n u x 平 台 下 的 网 络 数 据 包 捕 获 函 数 包 ） - - v e r s i o n   打 印   t c p d u m p   和   l i b p c a p   的   v e r s i o n - i   [ i n t e r f a c e ] , - - i n t e r f a c e = i n t e r f a c e   指 定   t c p d u m p   需 要 监 听 的 接 口 。 如 果 没 有 指 定 ， t c p d u m p   会 从 系 统 接 口 列 表 中 搜 寻 编 号 最 小 的 已 配 置 好 的 接 口 ( 不 包 括   l o o p b a c k   接 口 ) 。 一 但 找 到 第 一 个 符 合 条 件 的 接 口 ， 搜 寻 马 上 结 束 。   在 采 用 2 . 2 版 本 或 之 后 版 本 内 核 的 L i n u x 操 作 系 统 上 ,   ' a n y ' 这 个 虚 拟 网 络 接 口 可 被 用 来 接 收 所 有 网 络 接 口 上 的 数 据 包 ( n t :   这 会 包 括 目 的 是 该 网 络 接 口 的 , 也 包 括 目 的 不 是 该 网 络 接 口 的 ) 。 需 要 注 意 的 是 如 果 真 实 网 络 接 口 不 能 工 作 在   如 果   - D   标 志 被 指 定 ， t c p d u m p 会 打 印 系 统 中 的 接 口 编 号 ， 而 该 编 号 就 可 用 于 此 处 的   i n t e r f a c e   参 数 - l   对 标 准 输 出 进 行 行 缓 冲 ( n t :   使 标 准 输 出 设 备 遇 到 一 个 换 行 符 就 马 上 把 这 行 的 内 容 打 印 出 来 ) - L   列 出 指 定 网 络 接 口 所 支 持 的 数 据 链 路 层 的 类 型 后 退 出 . ( n t :   指 定 接 口 通 过 - i   来 指 定 ) - n   不 把 主 机 的 网 络 地 址 转 换 成 名 字 - m   M O D U L E   通 过   m o d u l e   指 定 的   f i l e   装 载   S M I   和   M I B   模 块 ( n t :   S M I ， S t r u c t u r e   o f   M a n a g e m e n t   I n f o r m a t i o n ,   管 理 信 息 结 构 ； M I B ,   M a n a g e m e n t   I n f o r m a t i o n   B a s e ,   管 理 信 息 库 。 可 理 解 为 , 这 两 者 用 于 S N M P ( S i m p l e   N e t w o r k   M a n a g e m e n t   P r o t o c o ) 协 议 数 据 包 的 抓 取 。 具 体 S N M P   的 工 作 原 理 未 知 ,   另 需 补 充 ) 。   此 选 项 可 多 次 使 用 ， 从 而 为 t c p d u m p 装 载 不 同 的 M I B 模 块 - M   S E C R E T   如 果   T C P   数 据 包 ( T C P   s e g m e n t s ) 有 T C P - M D 5 选 项 ( 在 R F C   2 3 8 5 有 相 关 描 述 ) ,   则 为 其 摘 要 的 验 证 指 定 一 个 公 共 的 密 钥   s e c r e t - n   不 将 地 址 ( 比 如 主 机 地 址 、 端 口 号 等 ) 转 换 到 对 应 的 名 字 - N   不 要 打 印 主 机 名 的 域 名 资 格 ， 比 如 打 印   n i c   而 不 是   n i c . d d n . m i l - O ， - - n o - o p t i m i z e   不 启 用 进 行 包 匹 配 时 所 用 的 优 化 代 码 .   当 怀 疑 某 些 b u g 是 由 优 化 代 码 引 起 的 ,   此 选 项 将 很 有 用 - p ， - - n o - p r o m i s c u o u s - m o d e   把 网 络 接 口 设 置 为 非 ' 混 杂 ' 模 式 。 但 必 须 注 意 ， 在 特 殊 情 况 下 此 网 络 接 口 还 是 会 以 ' 混 杂 ' 模 式 来 工 作 ； 从 而   - p   的 设 与 不 设 ， 不 能 当 做 以 下 选 项 的 代 名 词 ： - q
  快 速 打 印 输 出 ， 即 打 印 很 少 的 协 议 相 关 信 息 ， 从 而 输 出 行 都 比 较 简 短 - r   [ f i l e ]   从 指 定 的 文 件 读 取 数 据 包 ， 如 果   f i l e   为   -   符 号 ,   则 t c p d u m p 会 从 标 准 输 入 中 读 取 包 数 据 - R   设 定 t c p d u m p 对 E S P / A H 数 据 包 的 解 析 按 照 R F C 1 8 2 5 而 不 是 R F C 1 8 2 9 ( n t : A H ： 认 证 头 ， E S P ： 安 全 负 载 封 装 ， 这 两 者 会 用 在 I P 包 的 安 全 传 输 机 制 中 ) 。 如 果 此 选 项 被 设 置 , t c p d u m p 将 不 会 打 印 出 - s ,   - - s n a p s h o t - l e n g t h = S N A P L E N   设 置   t c p d u m p   的 数 据 包 抓 取 长 度 为   S N A P L E N ， 而 不 是 默 认 的   2 6 2 1 4 4   字 节 。 如 果 产 生 包 截 短 这 种 情 况 ,   t c p d u m p 的 相 应 打 印 输 出 行 中 会 出 现 ' ' [ | p r o t o ] - S ， - - a b s o l u t e - t c p - s e q u e n c e - n u m b e r s   打 印   T C P   数 据 包 的 顺 序 号 时 ,   使 用 绝 对 的 顺 序 号 ,   而 不 是 相 对 的 顺 序 号 . ( n t :   相 对 顺 序 号 可 理 解 为 ,   相 对 第 一 个 T C P   包 顺 序 号 的 差 距 , 比 如 ,   接 受 方 收 到 第 一 个 数 据 包 的 绝 对 顺 序 号 为 2 3 2 3 2 3 ,   对 于 后 来 接 收 到 的 第 2 个 , 第 3 个 数 据 包 ,   t c p d u m p 会 打 印 其 序 列 号 为 1 ,   2 分 别 表 示 与 第 一 个 数 据 包 的 差 距 为 1   和   2 .   而 如 果 此 时 - S   选 项 被 设 置 ,   对 于 后 来 接 收 到 的 第 2 个 ,   第 3 个 数 据 包 会 打 印 出 其 绝 对 顺 序 号 : 2 3 2 3 2 4 ,   2 3 2 3 2 5 ) - t   在 每 行 输 出 中 不 打 印 时 间 戳 - t t   不 对 每 行 输 出 的 时 间 进 行 格 式 处 理 ( n t :   这 种 格 式 一 眼 可 能 看 不 出 其 含 义 ,   如 时 间 戳 打 印 成 1 2 6 1 7 9 8 3 1 5 ) - t t t   t c p d u m p   输 出 时 ,   每 两 行 打 印 之 间 会 延 迟 一 个 段 时 间 ， 单 位 毫 秒 - t t t t   在 每 行 打 印 的 时 间 戳 之 前 添 加 日 期 的 打 印 - t t t t t   设 置 每 一 行 输 出 时 相 对 于 第 一 行 的 时 间 间 隔 ， 单 位 毫 秒 - T   T Y P E   强 制   t c p d u m p   按   t y p e   指 定 的 协 议 所 描 述 的 包 结 构 来 分 析 收 到 的 数 据 包 。 目 前 已 知 的 t y p e 可 取 的 协 议 为 ：   （ 1 ） a o d v ( A d - h o c   O n - d e m a n d   D i s t a n c e   V e c t o r   p r o t o c o l ,   按 需 距 离 向 量 路 由 协 议 ,   在 A d   h o c ( 点 对 点 模 式 ) 网 络 中 使 用 ) ；   （ 2 ） c n f p ( C i s c o     N e t F l o w     p r o t o c o l ) ；   （ 3 ） r p c ( R e m o t e   P r o c e d u r e   C a l l ) ；   （ 4 ） r t p ( R e a l - T i m e   A p p l i c a t i o n s   p r o t o c o l ) ；   （ 5 ） r t c p ( R e a l - T i m e   A p p l i c a t i o n s   c o n - t r o l   p r o t o c o l ) ；   （ 6 ） s n m p ( S i m p l e   N e t w o r k   M a n a g e m e n t   P r o t o c o l ) ；   （ 7 ） t f t p ( T r i v i a l   F i l e   T r a n s f e r   P r o t o c o l ,   碎 文 件 协 议 ) ；   （ 8 ） v a t ( V i s u a l   A u d i o   T o o l ， 可 用 于 在 i n t e r n e t 上 进 行 电 视 电 话 会 议 的 应 用 层 协 议 ) ,   以 及 w b ( d i s t r i b u t e d   W h i t e   B o a r d ， 可 用 于 网 络 会 议 的 应 用 层 协 议 ) - u   打 印 出 未 加 密 的   N F S   句 柄 （ n t ： h a n d l e 可 理 解 为 N F S 中 使 用 的 文 件 句 柄 ,   这 将 包 括 文 件 夹 和 文 件 夹 中 的 文 件 ) - U   使 得 当   t c p d u m p   在 使 用   - w   选 项 时 ， 其 文 件 写 入 与 包 的 保 存 同 步 。 ( n t ： 即 当 每 个 数 据 包 被 保 存 时 ,   它 将 及 时 被 写 入 文 件 中 , 而 不 是 等 文 件 的 输 出 缓 冲 已 满 时 才 真 正 写 入 此 文 件 ) 。 - U 标 志 在 老 版 本 的 l i b p c a p 库 ( n t ： t c p d u m p 所 依 赖 的 报 文 捕 获 库 ) 上 不 起 作 用 ,   因 为 其 中 缺 乏 p c a p _ c u m p _ f l u s h ( ) 函 数 - v   产 生 详 细 的 输 出 。 比 如 包 的 生 存 时 间 、 标 识 、 总 长 度 以 及 I P 包 的 一 些 选 项 。 这 也 会 打 开 一 些 附 加 的 包 完 整 性 检 测 ，   比 如 对 I P 或 I C M P 包 头 部 的 校 验 和 - v v   产 生 比 - v 更 详 细 的 输 出 。 比 如 N F S （ N e t w o r k   F i l e   S y s t e m ） 回 应 包 中 的 附 加 域 将 会 被 打 印 ， S M B （ S e r v e r   M e s s a g e   B l o c k ） 数 据 包 也 会 被 完 全 解 码 - v v v   更 详 细 的 输 出 。 例 如 ， t e l e n t 时 所 使 用 的 S B , S E 选 项 将 会 被 打 印 ,   如 果 t e l n e t 同 时 使 用 - X 图 形 界 面 选 项 ， 其 相 应 的 图 形 选 项 将 会 以 1 6 进 制 的 方 式 打 印 出 。 - w   F I L E   把 包 数 据 直 接 写 入 文 件 而 不 进 行 分 析 和 打 印 输 出 ， 这 些 包 数 据 可 在 随 后 通 过 - r 选 项 来 重 新 读 入 并 进 行 分 析 和 打 印
4 . 常 用 示 例 常 用 示 例 4 . 1   监 视 指 定 主 机 的 数 据 包 监 视 指 定 主 机 的 数 据 包 （ 1 ） 打 印 所 有 到 达 或 从 主 机   s u n r i s e   发 出 的 数 据 包 ， h o s t   可 以 是   I P   地 址 或 主 机 名 。 （ 2 ） 打 印 主 机   A   与   B   或   C   之 间 来 往 的 所 有 数 据 包 。 （ 3 ） 打 印   a c e   与 任 何 其 他 主 机 之 间 通 信 的   I P   数 据 包 ， 但 不 包 括 与   h e l i o s   之 间 的 数 据 包 . 4 . 2   监 视 指 定 网 络 的 数 据 包 监 视 指 定 网 络 的 数 据 包 - W   F I L E C O U N T   此 选 项 与   - C   选 项 配 合 使 用 ， 这 将 限 制 可 打 开 的 文 件 数 目 ,   并 且 当 文 件 数 据 超 过 这 里 设 置 的 限 制 时 ,   依 次 循 环 替 代 之 前 的 文 件 ,   这 相 当 于 一 个 拥 有 f i l e c o u n t   个 文 件 的 文 件 缓 冲 池 。 同 时 , 该 选 项 会 使 得 每 个 文 件 名 的 开 头 会 出 现 足 够 多 并 用 来 占 位 的 0 ， 可 以 方 便 这 些 文 件 被 正 确 的 排 序 - x ： 打 印 每 个 包 的 头 部 数 据 ,   同 时 会 以 1 6 进 制 打 印 出 每 个 包 的 数 据 ( 但 不 包 括 连 接 层 的 头 部 ) ， 总 共 打 印 的 数 据 大 小 不 会 超 过 整 个 数 据 包 的 大 小 与 s n a p l e n   中 的 最 小 值 。 必 须 要 注 意 的 是 ,   如 果 高 层 协 议 数 据 没 有 s n a p l e n 这 么 长 ， 并 且 数 据 链 路 层 ( 比 如 , E t h e r n e t 层 ) 有 填 充 数 据 ,   则 这 些 填 充 数 据 也 会 被 打 印 - x x ： 打 印 每 个 包 的 头 部 数 据 ,   同 时 会 以 1 6 进 制 打 印 出 每 个 包 的 数 据 ,   其 中 包 括 数 据 链 路 层 的 头 部 - X ： 当 分 析 和 打 印 时 ,   t c p d u m p 会 打 印 每 个 包 的 头 部 数 据 ， 同 时 会 以 1 6 进 制 和 A S C I I 码 形 式 打 印 出 每 个 包 的 数 据 ( 但 不 包 括 链 路 层 的 头 部 ) 。 这 对 于 分 析 一 些 新 协 议 的 数 据 包 很 方 便 - X X ： 当 分 析 和 打 印 时 , t c p d u m p 会 打 印 每 个 包 的 头 部 数 据 ， 同 时 会 以 1 6 进 制 和 A S C I I 码 形 式 打 印 出 每 个 包 的 数 据 ,   其 中 包 括 数 据 链 路 层 的 头 部 . 这 对 于 分 析 一 些 新 协 议 的 数 据 包 很 方 便 - y   [ d a t a l i n k t y p e ] ， - - l i n k t y p e = d a t a l i n k t y p e ： 设 置 t c p d u m p 只 捕 获 数 据 链 路 层 协 议 类 型 是 d a t a l i n k t y p e 的 数 据 包 - z   [ p o s t r o t a t e - c o m m a n d ] ： 与 - C 或 - G 联 用 ， 当 每 一 个 文 件 被 关 闭 时 执 行 命 令 p o s t r o t a t e - c o m m a n d 。 比 如 ， - z   g z i p 或 - z   b z i p 2 将 对 每 一 个 保 存 的 文 件 进 行 压 缩 - Z   ,   - - r e l i n q u i s h - p r i v i l e g e s = U S E R   使   t c p d u m p   放 弃 自 己 的 超 级 权 限 （ 如 果 以   r o o t   用 户 启 动   t c p d u m p ， t c p d u m p   将 会 有 超 级 用 户 权 限 ) ， 并 把 当 前   t c p d u m p   的 用 户   I D   设 置 为   U S E R ， 组   I D   设 置 为   U S E R   属 组 的   I D e x p r e s s i o n   条 件 表 达 式 用 于 选 择 捕 获 符 合 条 件 的 数 据 包 ， 无   e x p r e s s i o n ， 网 络 上 任 何 两 台 主 机 间 的 所 有 数 据 包 都 将 被 截 获 t c p d u m p   h o s t   s u n r i s e t c p d u m p   h o s t   A   a n d   (   B   o r   C   ) t c p d u m p   i p   h o s t   a c e   a n d   n o t   h e l i o s
（ 1 ） 打 印 本 地 主 机 与   B e r k e l e y   网 络 上 的 主 机 之 间 的 所 有 通 信 数 据 包 。 （ 2 ） 打 印 所 有 通 过 网 关   s n u p   的   f t p   数 据 包 。 注 意 ， 表 达 式 被 单 引 号 括 起 来 了 ， 这 可 以 防 止   S h e l l   对 其 中 的 括 号 进 行 错 误 解 析 。 （ 3 ） 打 印 不 是 本 地 网 络 的 数 据 包 。 4 . 3   监 视 指 定 协 议 的 数 据 包 监 视 指 定 协 议 的 数 据 包 （ 1 ） 打 印   T C P   会 话 中 的 的 开 始 和 结 束 数 据 包 ， 并 且 数 据 包 的 源 或 目 的 不 是 本 地 网 络 上 的 主 机 。 （ n t ： l o c a l n e t ， 实 际 使 用 时 要 真 正 替 换 成 本 地 网 络 的 名 字 ） （ 2 ） 打 印 长 度 超 过   5 7 6   字 节 ， 并 且 网 关 地 址 是   s n u p   的   I P   数 据 包 。 i p [ 2 : 2 ]   表 示 整 个   I P   数 据 包 的 长 度 。 （ 3 ） 打 印 除 ’ e c h o   r e q u e s t ’ 或 者 ’ e c h o   r e p l y ’ 类 型 以 外 的   I C M P   数 据 包 （ 比 如 ， 需 要 打 印 所 有 非   p i n g   程 序 产 生 的 数 据 包 时 可 用 到 此 表 达 式   。 （ n t :   ‘ e c h o   r e u q e s t ’   与   ‘ e c h o   r e p l y ’   这 两 种 类 型 的   I C M P   数 据 包 通 常 由   p i n g   程 序 产 生 ） 4 . 4   监 视 指 定 主 机 和 端 口 的 数 据 包 监 视 指 定 主 机 和 端 口 的 数 据 包 （ 1 ） 抓 取 主 机   1 0 0 . 9 4 . 1 3 8 . 1 1 0   所 有 经 由 接 口   e t h 1   接 收 的 数 据 包 ， 且 端 口 号 是 2 0 7 0 0 。 t c p d u m p   n e t   u c b - e t h e r t c p d u m p   ' g a t e w a y   s n u p   a n d   ( p o r t   f t p   o r   f t p - d a t a ) ' t c p d u m p   i p   a n d   n o t   n e t   l o c a l n e t t c p d u m p   ' t c p [ t c p f l a g s ]   &   ( t c p - s y n | t c p - f i n )   ! =   0   a n d   n o t   s r c   a n d   d s t   n e t   l o c a l n e t ' t c p d u m p   ' g a t e w a y   s n u p   a n d   i p [ 2 : 2 ]   >   5 7 6 ' t c p d u m p   ' i c m p [ i c m p t y p e ]   ! =   i c m p - e c h o   a n d   i c m p [ i c m p t y p e ]   ! =   i c m p - e c h o r e p l y ' t c p d u m p   - i   e t h 1   - l n X p s 0   d s t   1 0 0 . 9 4 . 1 3 8 . 1 1 0   a n d   d s t   p o r t   2 0 7 0 0   - c   1 0
命 令 选 项 说 明 ： l n X p s 0   请 参 照 上 文 的 命 令 选 项 详 解 ， - c   1 0   表 示 只 捕 捉   1 0   个 数 据 包 。 参 考 文 档 参 考 文 档 [ 1 ]   t c p d u m p   m a n u a l [ 2 ]   维 基 百 科 . t c p d u m p [ 3 ]   t c p d u m p 官 方 网 站 [ 4 ]   L i n u x   t c p d u m p 命 令 详 解 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理