Linux网络协议分析工具tcpdump和tshark用法.docxVIP

Linux网络协议分析工具tcpdump和tshark用法Tcpdump是网络协议分析的基本工具。tshark是大名鼎鼎的开源网络协议分析工具wireshark （原名叫ethereal）的命令行版本，wireshark可对多达千余种网络协议进行解码分析。Wireshark和tcpdump均使用libpcap库（参见libpcap编程教程）进行网络截包。 TCPDUMP 详细manpage参见tcpdump网站。 基本用法 Tcpdump的参数基本分为两块:选项（options）和过滤器表达式（filter_expression）Tcpdump是网络协议分析的基本工具。tshark是大名鼎鼎的开源网络协议分析wireshark （原名叫ethereal）的命令行版本，wireshark可对多达千余种网络协议进行解码分析。Wireshark和tcpdump均使用libpcap库（参见libpcap编程教程）进行网络截包。TCPDUMP详细manpage参见tcpdump网站。基本用法?Tcpdump的参数基本分为两块:选项（options）和过滤器表达式（filter_expression）。# tcpdump [options] [filter_expression]例如# tcpdump -c 100 -i eth0 -w log tcp dst port 50000其中 options部分参数：-c 100 指定截取的包的数量-i eth0 指定监听哪个网络端口-w log 输出到名为log的文件中（libpcap格式）filter_expression参数为 tcp dst port 50000，即只监听目标端口为50000的tcp包。更多的例子：/* 监视目标地址为除内网地址(-54)之外的流量 */# tcpdump dst net not /24?/*监视除HTTP浏览（端口80/8080）、SSH(22)、 POP3（110)之外的流量，注意在括号(之前添加转义符\, -n和-nn的解释见随后*/#?tcpdump -n -nn port not \(www or 22 or 110\)或# tcpdump -n -nn port ! \(www or 22 or 110\)/* 监视源/a/caozuoxitong/主机MAC地址为00:50:04:BA: 9B的包 */# tcpdump ether src 00:50:04:BA: 9B/*?监视源主机为并且目的端口不是telnet的包 */# tcpdump src host and dst port not telnet?ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。例如：# tcpdump ip src…… //只过滤数据-链路层上的IP报头# tcpdump udp and src host //只过滤源主机的所有udp报头TcpDump提供了很多options参数来让我们选择如何处理得到的数据，如下所示：?-l 将数据重定向。 如tcpdump -l tcpcap.txt将得到的数据存入tcpcap.txt文件中。?-n 不进行IP地址到主机名的转换。如果不使用这一项，当系统中存在某一主机的主机名时，TcpDump会把IP地址转换为主机名显示，就像这样：eth0 ＜ ntc9.1165＞ .telnet，使用-n后变成了：eth0 ＜ .1165 ＞ .telnet。?-nn 不进行端口名称的转换。 上面这条信息使用-nn后就变成了：eth0 ＜ ntc9.1165 ＞ .23。?-N 不打印出默认的域名。 还是这条信息-N 后就是：eth0 ＜ ntc9.1165 ＞ router.telnet。-O 不进行匹配代码的优化。?-t 不打印UNIX时间戳，也就是不显示时间。?-tt 打印原始的、未格式化过的时间。?-v 详细的输出，也就比普通的多了个TTL和服务类型。参数详解tcpdump采用命令行方式，它的命令格式为：tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ][ -i 网络接口 ] [ -r 文件名] [ -s snaplen ][ -T 类型 ] [ -w 文件名 ] [表达式 ]-a 　　将网络地址和广播地址转变成名字；-d 　　将匹配信息包的代码以人们能够理解的汇编格式给出；-dd 　 将匹配信息包的代码以c语言程序段的格式给出；-ddd 　将匹配信息包的代码以十进制的形式给出；-e 　　在输出行打印出数据链路层的头部信息；-f 　　将外部的Internet地址以数字的形式打印出来；-l 　　使标准输出变为缓