對(duì)付 tcpdump 的利用，大部門打點(diǎn)員會(huì)分成兩類。有一類打點(diǎn)員，他們熟知 tcpdump 和個(gè)中的所有標(biāo)志；另一類打點(diǎn)員，他們僅相識(shí)根基的利用要領(lǐng)，剩下工作都要借助參考手冊(cè)才氣完成。呈現(xiàn)這種環(huán)境的原因在于， tcpdump 是一個(gè)相當(dāng)高級(jí)的呼吁，利用的時(shí)候需要對(duì)網(wǎng)絡(luò)的事情機(jī)制有相當(dāng)深入的相識(shí)。
在本日的文章中，我想提供一個(gè)快速但相當(dāng)實(shí)用的 tcpdump 參考。我交涉到根基的和一些高級(jí)的利用要領(lǐng)。我敢必定我會(huì)忽略一些相當(dāng)酷的呼吁，接待你增補(bǔ)在評(píng)論部門。
在我們深入相識(shí)以前，最重要的是相識(shí) tcpdump 是用來做什么的。 tcpdump 呼吁用來生存和記錄網(wǎng)絡(luò)流量。你可以用它來調(diào)查網(wǎng)絡(luò)上產(chǎn)生了什么，并可用來辦理各類百般的問題，包羅和網(wǎng)絡(luò)通信無關(guān)的問題。除了網(wǎng)絡(luò)問題，我常常用 tcpdump 辦理應(yīng)用措施的問題。假如你發(fā)明兩個(gè)應(yīng)用措施之間無法很功德情，可以用 tcpdump 調(diào)查出了什么問題。 tcpdump 可以用來抓取和讀取數(shù)據(jù)包，出格是當(dāng)通信沒有被加密的時(shí)候。
基本常識(shí)
相識(shí) tcpdump ，首先要知道 tcpdump中利用的標(biāo)志（flag）。在這個(gè)章節(jié)中，我會(huì)涵蓋到許多根基的標(biāo)志，這些標(biāo)志在許多場(chǎng)所下會(huì)被用到。
不轉(zhuǎn)換主機(jī)名、端標(biāo)語等
凡是環(huán)境下， tcpdump 會(huì)實(shí)驗(yàn)查找和轉(zhuǎn)換主機(jī)名和端標(biāo)語。
# tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:15:05.051896 IP blog.ssh > 10.0.3.1.32855: Flags [P.], seq 2546456553:2546456749, ack 1824683693, win 355, options [nop,nop,TS val 620879437 ecr 620879348], length 196
|
# tcpdump tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 16:15:05.051896 IP blog.ssh > 10.0.3.1.32855: Flags [P.], seq 2546456553:2546456749, ack 1824683693, win 355, options [nop,nop,TS val 620879437 ecr 620879348], length 196 |
你可以通過 -n 標(biāo)志封鎖這個(gè)成果。我小我私家老是利用這個(gè)標(biāo)志，因?yàn)槲蚁矚g利用 IP 地點(diǎn)而不是主機(jī)名，主機(jī)名和端標(biāo)語的轉(zhuǎn)換常常會(huì)帶來困擾。可是，知道操作 tcpdump 轉(zhuǎn)換可能不轉(zhuǎn)換的成果照舊相當(dāng)有用的，出格是有些時(shí)候，知道源流量（source traffic）來自哪個(gè)處事器是相當(dāng)重要的。
# tcpdump -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:23:47.934665 IP 10.0.3.246.22 > 10.0.3.1.32855: Flags [P.], seq 2546457621:2546457817, ack 1824684201, win 355, options [nop,nop,TS val 621010158 ecr 621010055], length 196
|
# tcpdump -n tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 16:23:47.934665 IP 10.0.3.246.22 > 10.0.3.1.32855: Flags [P.], seq 2546457621:2546457817, ack 1824684201, win 355, options [nop,nop,TS val 621010158 ecr 621010055], length 196 |
增加具體信息
增加一個(gè)簡(jiǎn)樸 -v 標(biāo)志，輸出會(huì)包括更多信息，譬喻一個(gè) IP 包的保留時(shí)間(ttl, time to live)、長(zhǎng)度和其他的選項(xiàng)。
# tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:15:05.051896 IP blog.ssh > 10.0.3.1.32855: Flags [P.], seq 2546456553:2546456749, ack 1824683693, win 355, options [nop,nop,TS val 620879437 ecr 620879348], length 196
|
# tcpdump tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 
|
