Wireshark 与 Tcpdump

【1】Wireshark 与 Tcpdump

Wireshark是Windows下很是容易上手的抓包工具。但在Linux下很难找到一个好用的图形界面抓包工具。还好有Tcpdump。
咱们能够用Tcpdump + Wireshark完美组合实现：在Linux环境下抓包，而后导出抓包数据文件，在Windows环境下分析包内容。

tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.11/24 -w ./2019-06-11.cap

（1）tcp：ip icmp arp rarp 和 tcp、udp、icmp等等这些选项都要放到第一个参数的位置，用来过滤数据报的类型
（2）-i eth1：只抓通过接口eth1的包
（3）-t： 不显示时间戳
（4）-s 0：默认抓取数据包时抓取长度仅为68字节。加上-S 0后能够抓到完整的数据包
（5）-c 100：只抓取100个数据包
（6）dst port ! 22：不抓取目标端口是22的数据包
（7）src net 192.168.1.11/24：数据包的源网络地址为192.168.1.11/24
（8）-w ./2019-06-11.cap：保存成cap格式文件，方便在Windows环境下利用Wireshark分析数据包内容

【2】Wireshark

关于Windows环境下的Wireshark，主要内容请参见《Wireshark学习系列》

【3】Tcpdump

关于Linux环境下的Tcpdump，主要内容：

（1）启动与关闭

启动：tcpdump

关闭：只有将tcpdump进程终止才中止抓包

终止进程方法：ctrl + c 或 kill -9 pID

查询pID：ps aux | grep tcpdump

（2）tcpdump -help 内容以下

tcpdump [-aAdDefIKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
        [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
        [ -i interface ] [ -M secret ] [ -r file ]
        [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ]
        [ -y datalinktype ] [ -z command ] [ -Z user ]
        [ expression ]

2.1 抓包选项：

-a：尝试将ip地址转化为名称。如本机的ip转化为主机名进行显示，tcpdump默认行为是转换为名称，若需显示ip地址数字，须要指定-n参数。

-A：将抓取的数据包以ASCAII的形式打印出来(并将数据链路层头部最小化)。

 通常抓取网页数据时使用该参数，使用该参数能够打印出human-readable的信息，便于分析包头内容。

-d：将抓取的数据包按照汇编格式输出。（暂不清楚用途）

-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们均可以用于"-i"后。

-e：打印数据链路层头部信息（未最小化）。可与A、x、X配合使用。
 当使用-A参数和-X参数，或不指定参数时候，打印出的数据链路层信息为简化信息，使用此参数可打印链路层头部完整信息。

-f：显示外部的IPv4 地址时(nt: foreign IPv4 addresses, 可理解为, 非本机ip地址), 采用数字方式而不是名字.(此选项是用来对付Sun公司的NIS服务器的缺陷(nt: NIS, 网络信息服务, tcpdump 显示外部地址的名字时会用到她提供的名称服务): 此NIS服务器在查询非本地地址名字时,经常会陷入无尽的查询循环)。

-I：

-K：跳过TCP校验和验证

-l：对标准输出进行行缓冲(nt: 使标准输出设备遇到一个换行符就立刻把这行的内容打印出来).在须要同时观察抓包打印以及保存抓包记录的时候颇有用. 好比, 可经过如下命令组合来达到此目的:
 ``tcpdump -l | tee dat'' 或者 ``tcpdump -l > dat & tail -f dat''.(nt: 前者使用tee来把tcpdump 的输出同时放到文件dat和标准输出中, 然后者经过重定向操做'>', 把tcpdump的输出放到dat 文件中, 同 时经过tail把dat文件中的内容放到标准输出中)

-L：列出指定网络接口所支持的数据链路层的类型后退出.(nt: 指定接口经过-i 来指定)

-n：对地址以数字方式显示，不然显示为主机名。也就是说，-n选项强制展现ip、port等数值，而不作主机名解析。做用与-a相反。

-nn：除了-n的做用外，还会把端口显示为数值，不然会显示端口服务名如https等。

-N：不打印出host的域名部分。例如：ip地址为"192.168.1.100"时，tcpdump将只会打印"192"而不是"192.168.1.100"。

-O：不容许分组匹配代码优化程序

-p：不将网络接口设置为混杂模式

-q：快速打印输出。即打印不多的协议相关信息，从而输出行都比较简短。

-R：

-S：将tcp的序列号以绝对值形式输出，而不是相对值。

-t：不在每一行中输出时间戳。

-u：输出未解码的NFS句柄

-U：

-v：当分析和打印的时候，产生详细的输出。

-vv：产生比-v更详细的输出。

-vvv：产生比-vv更详细的输出。

-x：将抓取的数据包以16进制的形式展现出来（并将数据链路层头部最小化）。

-X：将抓取的数据包同时以16进制（hex）和ASCAII的形式展现出来（并将数据链路层头部最小化）。

-B：buffer_size：设置系统捕获缓冲区大小

-c：计划抓取的包数量。注意：是指最终要抓取这么多个知足条件的包。例如：指定"-c 30"将获取30个包，但可能已经遇到了500个包，只不过只有30个包是知足条件的包。

-C：在将一个原始分组写入文件以前，检查文件当前的大小是否超过了参数file_size 中指定的大小。若是超过了指定大小，则关闭当前文件，而后在打开一个新的文件。

 参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。

-E：用spi@ipaddr algo:secret解密那些以addr做为地址，而且包含了安全参数索引值spi的IPsec ESP分组。

-F：从文件中读取抓包的表达式。若使用该选项，则命令行中给定的其余表达式都将失效。

-G second：选项后面接时间，单位为秒。抓取报文后隔指定的时间保存一次。

-i：i指interface，指定须要监听的网络接口。若未指定该选项，默认为eth0网络接口。
 tcpdump命令默认将从系统接口列表中搜寻编号最小的正常通讯接口（不包括loopback接口，要抓取loopback接口使用tcpdump -i lo）
 监听全部网络接口，可使用'any'关键字

-M：若是tcp报文中存在TCP-MD5选项，则须要用secret做为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。

-r：从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取。

-s len：设置tcpdump的数据包抓取长度为len，若是不设置默认将会是65535字节。对于要抓取的数据包较大时，长度设置不够可能会产生包截断，若出现包截断，
    ：输出行中会出现"[|proto]"的标志(proto实际会显示为协议名)。可是抓取len越长，包的处理时间越长，而且会减小tcpdump可缓存的数据包的数量，
    ：从而会致使数据包的丢失，因此在能抓取咱们想要的包的前提下，抓取长度越小越好。

-T：将监听到的包直接解析为指定的类型的报文，常见的类型有rpc、cnfp、snmp

-w：将抓包数据输出到文件中而不是标准输出。能够同时配合"-G time"选项使得输出文件每time秒就自动切换到另外一个文件。可经过"-r"选项载入这些文件以进行分析和打印。

-W：限制文件的个数，达到个数后开始从最先的文件覆盖。

-y type：设置data link type

-z：压缩dump文件

-Z：改变运行时用户

-P：指定要抓取的包是流入仍是流出的包。能够给定的值为"in"、"out"和"inout"，默认为"inout"。

2.2 输出选项：

2.3 其余选项：

Good Good Study, Day Day Up.
顺序 选择 循环 总结