Linux 网络抓包分析工具

一、tcpdump

tcpdump 指令可列出经过指定网络界面的数据包文件头，可以将网络中传送的数据包的 “头” 完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句来帮助你摘取有用信息。

由于它需要将网络接口设置为混杂模式，普通用户不能正常执行，但具备 root 权限的用户可以直接执行它来获取网络上的信息

• wireshark具有图形化和命令行两种版本，可以对 tcpdump 抓的包进行分析，其主要功能就是分析数据包。

• ngrep它将抓到的包数据以文本形式直接显示出来，适用于包数据包含文本的[抓包]分析 (如 HTTP、MySQL)

tcpdump [选项] [协议] [数据流方向] [范围]

• -a 将网络地址和广播地址转变成名字

• -A 以 ASCII 格式打印出所有分组，并将链路层的头最小化

• -b 数据链路层上选择协议，包括 ip/arp/rarp/ipx 都在这一层

• -c 指定收取数据包的次数，即在收到指定数量的数据包后退出 tcpdump

• -d 将匹配信息包的代码以人们能够理解的汇编格式输出

• -dd  将匹配信息包的代码以 c 语言程序段的格式输出

• -ddd 将匹配信息包的代码以十进制的形式输出

• -D 打印系统中所有可以监控的网络接口

• -e 在输出行打印出数据链路层的头部信息

• -f 将外部的 Internet 地址以数字的形式打印出来，即不显示主机名

• -F 从指定的文件中读取表达式，忽略其他的表达式

• -i 指定监听网络接口

• -l 使标准输出变为缓冲形式，可以数据导出到文件

• -L 列出网络接口已知的数据链路

• -n 不把网络地址转换为名字

• -N 不输出主机名中的域名部分，例如 www.baidu.com 只输出 www

• -nn 不进行端口名称的转换

• -P 不将网络接口设置为混杂模式

• -q 快速输出，即只输出较少的协议信息

• -r 从指定的文件中读取数据，一般是 - w 保存的文件

• -w 将捕获到的信息保存到文件中，且不分析和打印在屏幕

• -s 从每个组中读取在开始的 snaplen 个字节，而不是默认的 68 个字节

• -S 将 tcp 的序列号以绝对值形式输出，而不是相对值

• -T 将监听到的包直接解析为指定的类型的报文，常见的类型有 rpc（远程过程调用）和 snmp（简单网络管理协议）

• -t 在输出的每一行不打印时间戳

• -tt 在每一行中输出非格式化的时间戳

• -ttt 输出本行和前面以后之间的时间差

• -tttt 在每一行中输出 data 处理的默认格式的时间戳

• -u 输出未解码的 NFS 句柄

• -v 输出稍微详细的信息，例如在 ip 包中可以包括 ttl 和服务类型的信息

• -vv  输出相信的保报文信息

关于数据类型的关键字

包括 host、port、net：

host 192.168.100.1 表示一台主机，net 192.168.100.0 表示一个网络网段，port 80 指明端口号为 80，在这里如果没有指明数据类型，那么默认就是 host

数据传输方向的关键字

包括 src、dst、dst or src、dst and src，这些关键字指明了传输的方向，比如 src 192.168.100.1 说明数据包源地址是 192.168.100.1。dst net 192.168.100.0 指明目的网络地址是 192.168.100.0，默认是监控主机对主机的 src 和 dst，即默认监听本机和目标主机的所有数据协议关键字

包括 ip、arp、rarp、udp

• 运算类型：or、and、not、！

• 辅助功能型：gateway、less、broadcast、greater

tcpdump [协议类型] [源或目标] [主机名称或 IP] [or/and/not/! 条件组合] [源或目标] [主机名或 IP] [or/and/not/! 条件组合] [端口] [端口号] …… [or/and/not/! 条件组合] [条件]

> tcpdump  ip dst 192.168.10.1 and src 192.168.10.10 and port 80 and host  !www.baidu.com

tcpdump

默认监听在第一块网卡，监听所有经过此网卡的数据包

> tcpdump  -i  ens33

监听指定网卡 ens33 的所有传输数据包

> tcpdump -i ens33 host 192.168.100.10  

> tcpdump host 192.168.130.151 and  192.168.130.152or192.168.130.153192.168.130.152or192.168.130.153

> tcpdump ip host node9 and not www.baidu.com

> tcpdump ip host node9 and ! www.baidu.com

> tcpdump -i ens33 src node10

> tcpdump -i ens33 dst host www.baidu.com

> tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host ! baidu.com

> tcpdump arp

> tcpdump tcp port 22 and host 192.168.56.210

tcpdump udp port 53

> tcpdump icmp and src 192.168.100.10 -i ens33 -n

> tcpdump **src** host 192.168.10.10 -i ens33 -n -c 5

> tcpdump **dst** host 192.168.10.10 -i ens33 -n -c 5

> tcpdump port 22 -i ens33 -n -c 5  
> 过滤端口号为 22 即 ssh 协议的

>  tcpdump portrange 22-433 -i ens33 -n -c 8

> yum -y install wireshark // 安装无图形化版本  
> yum -y install wireshark-gnome // 安装图形化版本

>  yum -y install epel-release

tshark 是 wireshark 的命令行工具  
     tshark 选项 参数  
    -i：指定捕获的网卡接口，不设置默认第一个非环回口接口  
    -D：显示所有可用的网络接口列表  
    -f：指定条件表达式，与 tcpdump 相同  
    -s：设置每个抓包的大小，默认 65535，多于这个大小的数据将不会不会被截取。  
    -c：捕获指定数量的数据包后退出  
    -w：后接文件名，将抓包的结果输出到. pcap 文件中，可以借助其他网络分析工具进行分析，也可以使用重定向 > 把解码后的输出结果以 txt 的格式输出。  
    -p：设置网络接口以非混合模式工作，即只关心和本机有关的流量  
    -r：后接文件路径，用于分析保持好的网络包文件，比如 tcpdump 的输出文件  
    -n：禁止所有地址名字解析，即禁止域名解析, 默认是允许所有  
   -N：指定对某一层的地址名字解析，如果 - n 和 - N 同时存在，则 - n 将被忽略，如果两者都不写，则会默认打开所有地址名字解析  
         m：代表数据链路层  
         n：代表网络层  
         t：代表传输层  
    -V：设置将解码结果的细节输出，否则解码结果仅显示一个 packet 一行的 summary  
    -t：设置结果的时间格式  
         ad：表示带日期的绝对时间  
         a：表示不带日期的绝对时间  
         r：表示从第一个包到现在的相对时间  
         d：表示两个相邻包之间的增量时间

tshark -f "icmp" -i ens33 -V -c 1

tshark -f "arp" -i ens33  

三、Tcpdump 和 wireshark 合用

Tcpdump 解析报文信息没有 wireshark 详细，所以可以通过 Tcpdump 捕获数据并输出，再通过 wireshark 进行解析，输出文件格式为. pcap  或者其他