tcpdump · PHP/Python/前端/Linux 等等學習筆記

[TOC] ## 概述 ### 顯示說明 ``` 13:29:07.788802 IP localhost.42333 > localhost.9501: Flags [S], seq 828582357, win 43690, options [mss 65495,sackOK,TS val 2207513 ecr 0,nop,wscale 7], length 0 13:29:07.788815 IP localhost.9501 > localhost.42333: Flags [S.], seq 1242884615, ack 828582358, win 43690, options [mss 65495,sackOK,TS val 2207513 ecr 2207513,nop,wscale 7], length 0 13:29:07.788830 IP localhost.42333 > localhost.9501: Flags [.], ack 1, win 342, options [nop,nop,TS val 2207513 ecr 2207513], length 0 13:29:10.298686 IP localhost.42333 > localhost.9501: Flags [P.], seq 1:5, ack 1, win 342, options [nop,nop,TS val 2208141 ecr 2207513], length 4 13:29:10.298708 IP localhost.9501 > localhost.42333: Flags [.], ack 5, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 0 13:29:10.298795 IP localhost.9501 > localhost.42333: Flags [P.], seq 1:13, ack 5, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 12 13:29:10.298803 IP localhost.42333 > localhost.9501: Flags [.], ack 13, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 0 13:29:11.563361 IP localhost.42333 > localhost.9501: Flags [F.], seq 5, ack 13, win 342, options [nop,nop,TS val 2208457 ecr 2208141], length 0 13:29:11.563450 IP localhost.9501 > localhost.42333: Flags [F.], seq 13, ack 6, win 342, options [nop,nop,TS val 2208457 ecr 2208457], length 0 13:29:11.563473 IP localhost.42333 > localhost.9501: Flags [.], ack 14, win 342, options [nop,nop,TS val 2208457 ecr 2208457], length 0 ``` 說明 ``` 13:29:11.563473 時間帶有精確到微妙 localhost.42333 > localhost.9501 表示通信的流向，42333 是客戶端，9501 是服務器端 [S] 表示這是一個 SYN 請求 [.] 表示這是一個 ACK 確認包，(client) SYN->(server) SYN->(client) ACK 就是 3 次握手過程 [P] 表示這個是一個數據推送，可以是從服務器端向客戶端推送，也可以從客戶端向服務器端推 [F] 表示這是一個 FIN 包，是關閉連接操作，client/server 都有可能發起 [R] 表示這是一個 RST 包，與 F 包作用相同，但 RST 表示連接關閉時，仍然有數據未被處理。可以理解為是強制切斷連接 win 342 是指滑動窗口大小 length 12 指數據包的大小 ``` ## 任意網卡 ``` tcpdump -i any host 210.27.48.1 ``` ## 監聽指定ip 監聽發送和接收 / src 監聽發送 / 監聽接收 ``` tcpdump -i ent0 [src|dst] host 210.27.48.1 ``` ## 監聽指定端口 ``` tcpdump -i ent0 [src|dst] port 6661 ``` ## 監聽 udp 或tcp ``` tcpdump -i ent0 [tcp|udp] [src|dst] port 6661 ``` ## 同時監聽端口和ip ``` tcpdump -i any [tcp|udp] [src|dst] port 6661 and [src|dst] host 192.168.0.1 ``` ## 顯示幾條顯示100條 ``` tcpdump -i any port 6661 -c 100 ``` ## 顯示包內容顯示包的內容 ``` tcpdump -i any port 6661 -c 10 -X ``` ## tcpdump 與wireshark ``` tcpdump tcp -i eth1 -t -s 0 -c 100 and port 6661 -w ./target.cap -t : 不顯示時間戳 -s 0 : 抓取數據包時默認抓取長度為68字節。加上-S 0 后可以抓到完整的數據包 -c 100 : 只抓取100個數據包 -w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析 ```