Linux下抓包工具tcpdump使用介绍(linux抓包语句)

推荐整理分享Linux下抓包工具tcpdump使用介绍(linux抓包语句)，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:linux抓包语句,linux自带抓包工具,linux抓包语句,linux抓包教程,linux抓包语句,linux抓包是什么意思,linux抓包是什么意思,linux抓包语句,内容如对您有帮助，希望把文章链接给更多的朋友！

在传统的网络分析和测试技术中，嗅探器(sniffer)是最常见，也是最重要的技术之一。sniffer工具首先是为网络管理员和网络程序员进行网络分析而设计的。 匹配ether广播包。ether广播包的特征是mac全1.故如下即可匹配： tcpdump 'ether dst ff:ff:ff:ff:ff:ff' ylin@ylin:~$ sudo tcpdump -c 1 'ether dst ff:ff:ff:ff:ff:ff' tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. arp who-has ... tell ... 在此，只匹配1个包就退出了。第一个是arp请求包，arp请求包的是采用广播的方式发送的，被匹配那是当之无愧的。 匹配ether组播包，ether的组播包的特征是mac的最高位为1，其它位用来表示组播组编号，如果你想匹配其的多播组，知道它的组MAC地址即可。如 tcpdump 'ether dst ' Mac_Address表示地址，填上适当的即可。如果想匹配所有的ether多播数据包，那么暂时请放下，下面会继续为你讲解更高级的应用。 (2)匹配arp包 arp包用于IP到Mac址转换的一种协议，包括arp请求和arp答应两种报文，arp请求报文是ether广播方式发送出去的，也即 arp请求报文的mac地址是全1，因此用ether dst FF;FF;FF;FF;FF;FF可以匹配arp请求报文，但不能匹配答应报文。因此要匹配arp的通信过程，则只有使用arp来指定协议。 tcpdump 'arp' 即可匹配网络上arp报文。 ylin@ylin:~$ arping -c 4 ...1>/dev/null& sudo tcpdump -p 'arp' [1] WARNING: interface is ignored: Operation not permitted tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. arp who-has ...1 (::d2::: (oui Unknown)) tell ylin.local ::. arp reply ...1 is-at ::d2::: (oui Unknown) ::. arp who-has ...1 (::d2::: (oui Unknown)) tell ylin.local ::. arp reply ...1 is-at ::d2::: (oui Unknown) ::. arp who-has ...1 (::d2::: (oui Unknown)) tell ylin.local ::. arp reply ...1 is-at ::d2::: (oui Unknown) ::. arp who-has ylin.local tell ...1 ::. arp reply ylin.local is-at :::1d::e6 (oui Unknown) 本例中使用arping -c 4 ...1产生arp请求和接收答应报文，而tcpdump -p 'arp'匹配出来了。此处-p选项是使网络工作于正常模式(非混杂模式)，这样是方便查看匹配结果。 (3)匹配IP包 众所周知，IP协议是TCP/IP协议中最重要的协议之一，正是因为它才能把Internet互联起来，它可谓功不可没，下面分析匹配IP包的表达式。 对IP进行匹配 tcpdump 'ip src ...' ylin@ylin:~$ sudo tcpdump -c 3 'ip src ...' tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. IP ylin.local. > walnut.crossbeamsys.com.ssh: S :(0) win ::. IP ylin.local. > ....domain: + PTR? ....in-addr.arpa. () ::. IP ylin.local. > walnut.crossbeamsys.com.ssh: . ack win IP广播组播数据包匹配：只需指明广播或组播地址即可 tcpdump 'ip dst ...' ylin@ylin:~$ sudo tcpdump 'ip dst ...' tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. IP dd.local > ...: ICMP echo request, id , seq 1, length ::. IP dd.local > ...: ICMP echo request, id , seq 2, length ::. IP dd.local > ...: ICMP echo request, id , seq 3, length ::. IP dd.local > ...: ICMP echo request, id , seq 4, length ::. IP dd.local > ...: ICMP echo request, id , seq 5, length ::. IP dd.local > ...: ICMP echo request, id , seq 6, length 此处匹配的是ICMP的广播包，要产生此包，只需要同一个局域网的另一台主机运行ping -b ...即可，当然还可产生组播包，由于没有适合的软件进行模拟产生，在此不举例子。 (4)匹配TCP数据包 TCP同样是TCP/IP协议栈里面最为重要的协议之一，它提供了端到端的可靠数据流，同时很多应用层协议都是把TCP作为底层的通信协议，因为TCP的匹配是非常重要的。 如果想匹配HTTP的通信数据，那只需指定匹配端口为的条件即可 tcpdump 'tcp dst port ' ylin@ylin:~$ wget 2>1 1 >/dev/null & sudo tcpdump -c 5 'tcp port ' [1] tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. IP xd---a8.bta.net.cn.www > ylin.local.: S :(0) ack win ::. IP ylin.local. > xd---a8.bta.net.cn.www: . ack 1 win ::. IP ylin.local. > xd---a8.bta.net.cn.www: P 1:() ack 1 win ::. IP xd---a8.bta.net.cn.www > ylin.local.: . ack win ::. IP xd---a8.bta.net.cn.www > ylin.local.: . 1:() ack win (5)匹配udp数据包 udp是一种无连接的非可靠的用户数据报，因此udp的主要特征同样是端口，用如下方法可以匹配某一端口 tcpdump 'upd port ' 查看DNS的数据包 ylin@ylin:~$ ping -c 1 www.baidu.com > /dev/null& sudo tcpdump -p udp port [1] tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type ENMB (Ethernet), capture size bytes ::. IP ylin.local. > ....domain: + PTR? ....in-addr.arpa. () ::. IP ylin.local. > ....domain: + PTR? ....in-addr.arpa. () ::. IP ....domain > ylin.local.: 1/0/0 () ::. IP ....domain > ylin.local.: NXDomain* 0/1/0 () ::. IP ylin.local. > ....domain: + PTR? ....in-addr.arpa. () ::. IP ....domain > ylin.local.: NXDomain 0/1/0 () 使用ping www.baidu.com目标是产生DNS请求和答应，是DNS的端口号。 此外还有很多qualitifer是还没有提及的，下面是其它合法的primitive,在tcpdump中是可以直接使用的。 gateway host 匹配使用host作为网关的数据包，即数据报中mac地址(源或目的)为host，但IP报的源和目的地址不是host的数据包。 dst net net src net net net net net net mask netmask net net/len 匹配IPv4/v6地址为net网络的数据报。 其中net可以为..0.0或.这两种形式。如net . 或net ..0.0 net net mask netmask仅对IPv4数据包有效，如net ..0.0 mask ..0.0 net net/len同样只对IPv4数据包有效，如net ..0.0/ dst portrange port1-port2 src portrange port1-port2 portrange port1-port2 匹配端口在port1-port2范围内的ip/tcp，ip/upd，ip6/tcp和ip6/udp数据包。dst, src分别指明源或目的。没有则表示src or dst less length 匹配长度少于等于length的报文。 greater length 匹配长度大于等于length的报文。 ip protochain protocol 匹配ip报文中protocol字段值为protocol的报文 ip6 protochain protocol 匹配ipv6报文中protocol字段值为protocol的报文 如tcpdump 'ip protochain 6 匹配ipv4网络中的TCP报文，与tcpdump 'ip && tcp'用法一样，这里的&&连接两个primitive。6是TCP协议在IP报文中的编号。 ether broadcast 匹配以太网广播报文 ether multicast 匹配以太网多播报文 ip broadcast 匹配IPv4的广播报文。也即IP地址中主机号为全0或全1的IPv4报文。 ip multicast 匹配IPv4多播报文，也就是IP地址为多播地址的报文。 ip6 multicast 匹配IPv6多播报文，即IP地址为多播地址的报文。 vlan vlan_id 匹配为vlan报文 ，且vlan号为vlan_id的报文 到些为此，我们一直在介绍primitive是如何使用的，也即expression只有一个primitive。通过学会写好每个primtive，我们就很容易把多个primitive组成一个expression，方法很简单，通过逻辑运算符连接起来就可以了，逻辑运算符有以下三个： “&&” 或”and” “||” 或“or” “!” 或“not” 并且可通过()进行复杂的连接运算。 如tcpdump ‘ip && tcp’ tcpdump ‘ host ...3 &&( tcp port || tcp port )’ 通过上面的各种primitive，我们可以写出很丰富的条件，如ip, tcp, udp,vlan等等。如IP，可以按址址进行匹，tcp/udp可以按端口匹配。但是，如果我想匹配更细的条件呢?如tcp中只含syn标志，fin标志的报文呢?上面的primitive恐怕无能为力了。不用怕，tcpdump为你提供最后一个功能最强大的primitive，记住是primitive，而不是expression。你可以用多个这个的primitive组成更复杂的 expression.

linux下rsync命令详细整理 在对rsync服务器配置结束以后，下一步就需要在客户端发出rsync命令来实现将服务器端的文件备份到客户端来。rsync是一个功能非常强大的工具，其命令

在Linux服务器上做备份时需要考虑的细节 如果您进行一般备份，以每日为基础较好(至少对更动频繁的使用者档案)，您将会有助於减少档案的损失，并且增加复原程度。最安全的备份方法是将他

linux system函数深入理解 system（执行shell命令）相关函数fork，execve，waitpid，popen表头文件＃includestdlib.h定义函数intsystem(constchar*string);函数说明system()会调用fork()产生子进程，由