网站ui设计要点,站长平台有哪些,开发工具下载,兰溪高端网站建设公司1. 简单用法
tcpdump -i any port 8382 -s 0 -C 200 -w steem.cap
1.1. 参数说明 -i any 指定抓取的网卡#xff0c;通常是eth0#xff0c;示例里any表示抓取所有网卡的包;#xff1b; port 8382 指定抓取的端口#xff0c;包括发送端口或接收端口#xff0c…1. 简单用法
tcpdump -i any port 8382 -s 0 -C 200 -w steem.cap
1.1. 参数说明 -i any 指定抓取的网卡通常是eth0示例里any表示抓取所有网卡的包; port 8382 指定抓取的端口包括发送端口或接收端口只要有一个匹配就记录如果不配置表示抓取所有端口 -s 0 抓到的包后对包大小进行裁剪一般是0表示不裁剪记录完整的包体内容 -C 200 对落地的抓包文件进行拆分每200M生成一个独立文件 -w steem.cap 落地文件名文件拆分场景下会在后面加上序号
2. 简介
tcpdump 是一个运行在命令行下的抓包工具。它允许用户拦截和显示发送或收到过网络连接到该计算机的TCP/IP和其他数据包。tcpdump 适用于大多数的类Unix系统操作系统(如linux,BSD等)。
3. 命令格式
tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ] [ -c count ] [ --count ] [ -C file_size ] [ -E spiipaddr algo:secret,... ] [ -F file ] [ -G rotate_seconds ] [ -i interface ] [ --immediate-mode ] [ -j tstamp_type ] [ -m module ] [ -M secret ] [ --number ] [ --print ] [ -Q in|out|inout ] [ -r file ] [ -s snaplen ] [ -T type ] [ --version ] [ -V file ] [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ] [ --time-stamp-precisiontstamp_precision ] [ --micro ] [ --nano ] [ expression ]
4. 配置项说明 详细信息参见:pcap-filter(7) man page | TCPDUMP LIBPCAP
4.1. 过滤
-i interface 或 --interfaceinterface 指定tcpdump 需要监听的接口.如果没有指定,则由tcpdump自行选择编号最小的接口.any是个虚拟网络接口,可以接收所有网络接口上的数据包. expression 决定包的过滤条件,表达式结果为true的包会被记录。
4.2. 落地 -F file 使用file 文件作为过滤条件表达式的输入, 此时命令行上的输入将被忽略. -s snaplen 或 --snapshot-lengthsnaplen 设置tcpdump的数据包抓取长度为snaplen, 如果不设置默认将会是68字节.把snaplen 设置为0 意味着让tcpdump自动选择合适的长度来抓取数据包. 需要注意的是, 采用长的抓取长度(nt: snaplen比较大), 会增加包的处理时间, 并且会减少tcpdump 可缓存的数据包的数量 从而会导致数据包的丢失. 所以, 在能抓取我们想要的包的前提下, 抓取长度越小越好. -w file 把包数据直接写入文件而不进行分析和打印输出. 这些包数据可在随后通过-r 选项来重新读入并进行分析和打印. -C file_size 按文件大小拆包此选项需要配合-w file 选项使用。 该选项使得tcpdump 在把原始数据包直接保存到文件中之前, 检查此文件大小是否超过file-size. 如果超过了, 将关闭此文件,另创一个文件继续用于原始数据包的记录. 新创建的文件名与-w 选项指定的文件名一致, 但文件名后多了一个数字.该数字会从1开始随着新创建文件的增多而增加. 后面可以携带k/K, m/M or g/G分别表示KiB、MiB、GiB。默认可以简单认为是M(实际是百万字节,即1,000,000字节,而不是1,048,576字节)。 -W filecount 限制生成的文件数目此选项与-C 选项配合使用。 当文件数据超过这里设置的限制时, 依次循环替代之前的文件, 这相当于一个拥有filecount 个文件的文件缓冲池. 同时, 该选项会使得每个文件名的开头会出现足够多并用来占位的0, 这可以方便这些文件被正确的排序.
4.3. 打印 -e 每行的打印输出中将包括数据包的数据链路层头部信息(例如MAC地址). -n 不对地址(比如, 主机地址, 端口号)进行数字表示到名字表示的转换. -q 快速(也许用安静更好?)打印输出. 即打印很少的协议相关信息, 从而输出行都比较简短. -l 对标准输出进行行缓冲(nt: 使标准输出设备遇到一个换行符就马上把这行的内容打印出来).在需要同时观察抓包打印以及保存抓包记录的时候很有用. 比如, 可通过以下命令组合来达到此目的: tcpdump -l | tee dat或者 tcpdump -l dat tail -f dat.(nt: 前者使用tee来把tcpdump 的输出同时放到文件dat和标准输出中, 而后者通过重定向操作, 把tcpdump的输出放到dat 文件中, 同时通过tail把dat文件中的内容放到标准输出中)
4.4. 其他 -v 当分析和打印的时候, 产生详细的输出. 比如, 包的生存时间, 标识, 总长度以及IP包的一些选项. 这也会打开一些附加的包完整性检测, 比如对IP或ICMP包头部的校验和. -vv 产生比-v更详细的输出. 比如, NFS回应包中的附加域将会被打印, SMB数据包也会被完全解码. -vvv 产生比-vv更详细的输出. 比如, telent 时所使用的SB, SE 选项将会被打印, 如果telnet同时使用的是图形界面, 其相应的图形选项将会以16进制的方式打印出来(nt: telnet 的SB,SE选项含义未知, 另需补充).
5. 过滤表达式(pcap-filter) 详细信息参见pcap-filter(7) man page | TCPDUMP LIBPCAP expr relop expr expr是一个算术表达式relop是一个关系操作符 与C语法一致表达式中可以使用整数、二进制操作符( - * / | )等关系操作符可以是(, , , , , , !); dst host host 或 dst net net 消息的目的地址是host/net则为true. host可以是一个ip地址,也可以是一个主机名. src host host 或 src net net 消息的源地址是host/net则为true. host可以是一个ip地址,也可以是一个主机名. host host 或 net net 消息的目的地址或者源地址是host/net则为true. host可以是一个ip地址,也可以是一个主机名. dst port port 消息的目的端口是port则为true. src port port 消息的源端口是port则为true. port port 消息的目的端口或者源端口是port则为true. dst portrange port1-port2 消息的目的端口在port1到port2范围内则为true. src portrange port1-port2 消息的源端口在port1到port2范围内则为true. dst portrange port1-port2 消息的目的端口或者源端口在port1到port2范围内则为true. less length 或 len length 消息的长度小于等于length则为true. greaterlength 或 len length 消息的长度大于等于length则为true. ip proto protocol 或 ip6 proto protocol 消息为IPV4/IPV6且协议类型为protocol则为true. protocol可以是\tcp、\udp等(tcp和udp是关键字,因此要加反斜杠转义). ip broadcast 消息为IPV4广播数据包则为true. ip multicast 或 ip6 multicast 消息为IPV4/IPV6组播数据包则为true.
6.注意事项 抓包的目的是为了分析数据的存在性时需要确定什么类型的消息来源和目的地址。分析消息耗时则需要确保在同一个机器上分析请求和应答避免机器时间差造成结果的不准确。cap文件可以拿到windows上用工具Wireshark分析。 7. 更多参考
https://www.cnblogs.com/tangxiaosheng/p/4950055.html
