专栏首页北京马哥教育Linux基础急速入门:用 TCPDUMP 抓包

Linux基础急速入门:用 TCPDUMP 抓包

简介

网络数据包截获分析工具。支持针对网络层、协议、主机、网络或端口的过滤。并提供and、or、not等逻辑语句帮助去除无用的信息。

tcpdump - dump traffic on a network

例子

不指定任何参数

监听第一块网卡上经过的数据包。主机上可能有不止一块网卡,所以经常需要指定网卡。

tcpdump

监听特定网卡

tcpdump -i en0

监听特定主机

例子:监听本机跟主机182.254.38.55之间往来的通信包。

备注:出、入的包都会被监听。

tcpdump host 182.254.38.55

特定来源、目标地址的通信

特定来源

tcpdump src host hostname

特定目标地址

tcpdump dst host hostname

如果不指定srcdst,那么来源 或者目标 是hostname的通信都会被监听

tcpdump host hostname

特定端口

tcpdump port 3000

监听TCP/UDP

服务器上不同服务分别用了TCP、UDP作为传输层,假如只想监听TCP的数据包

tcpdump tcp

来源主机+端口+TCP

监听来自主机123.207.116.169在端口22上的TCP数据包

tcpdump tcp port 22 and src host 123.207.116.169

监听特定主机之间的通信

tcpdump ip host 210.27.48.1 and 210.27.48.2

210.27.48.1除了和210.27.48.2之外的主机之间的通信

tcpdump ip host 210.27.48.1 and ! 210.27.48.2

稍微详细点的例子

tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
  • (1)tcp: ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置,用来过滤数据报的类型
  • (2)-i eth1 : 只抓经过接口eth1的包
  • (3)-t : 不显示时间戳
  • (4)-s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完整的数据包
  • (5)-c 100 : 只抓取100个数据包
  • (6)dst port ! 22 : 不抓取目标端口是22的数据包
  • (7)src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24
  • (8)-w ./target.cap : 保存成cap文件,方便用ethereal(即wireshark)分析

抓http包

TODO

限制抓包的数量

如下,抓到1000个包后,自动退出

tcpdump -c 1000

保存到本地

备注:tcpdump默认会将输出写到缓冲区,只有缓冲区内容达到一定的大小,或者tcpdump退出时,才会将输出写到本地磁盘

tcpdump -n -vvv -c 1000 -w /tmp/tcpdump_save.cap

也可以加上-U强制立即写到本地磁盘(一般不建议,性能相对较差)

实战例子

先看下面一个比较常见的部署方式,在服务器上部署了nodejs server,监听3000端口。nginx反向代理监听80端口,并将请求转发给nodejs server(127.0.0.1:3000)。

浏览器 -> nginx反向代理 -> nodejs server

问题:假设用户(183.14.132.117)访问浏览器,发现请求没有返回,该怎么排查呢?

步骤一:查看请求是否到达nodejs server -> 可通过日志查看。

步骤二:查看nginx是否将请求转发给nodejs server。

tcpdump port 8383 

这时你会发现没有任何输出,即使nodejs server已经收到了请求。因为nginx转发到的地址是127.0.0.1,用的不是默认的interface,此时需要显示指定interface

tcpdump port 8383 -i lo

备注:配置nginx,让nginx带上请求侧的host,不然nodejs server无法获取 src host,也就是说,下面的监听是无效的,因为此时对于nodejs server来说,src host 都是 127.0.0.1

tcpdump port 8383 -i lo and src host 183.14.132.117

步骤三:查看请求是否达到服务器

tcpdump -n tcp port 8383 -i lo and src host 183.14.132.117

相关链接

  • http://blog.chinaunix.net/uid-11242066-id-4084382.html
  • http://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html
  • http://www.rationallyparanoid.com/articles/tcpdump.html
  • http://blog.sina.com.cn/s/blog_7475811f0101f6j5.html

作者:程序猿小卡_casper 链接:https://juejin.im/post/5a421fd56fb9a0450f223253

《Linux云计算及运维高薪实战班》2018年03月26日即将开课中,120天冲击Linux运维年薪30万,改变速约~~~~

*声明:推送内容及图片来源于网络,部分内容会有所改动,版权归原作者所有,如来源信息有误或侵犯权益,请联系我们删除或授权事宜。

- END -

本文分享自微信公众号 - 马哥Linux运维(magedu-Linux)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2018-03-06

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • ElasticSearch ——单台服务器部署多个节点

    一般情况下单台服务器只会部署一个 ElasticSearch node,但是在学习过程中,很多情况下会需要实现 ElasticSearch 的分布式效果,所以需...

    小小科
  • Python新手常见的17个错误分析

    ? 作者 | hebedich 来源 | 脚本之家 ? 豌豆贴心提醒,本文阅读时间7分钟,文末有秘密! Python初学者通常会犯一些错误,甚至会因此损...

    小小科
  • 原创投稿 | 防火墙及NAT服务

    一、简介 1. 关于防火墙 防火墙,其实就是用于实现Linux下访问控制的功能的,它分为硬件和软件防火墙两种。无论是在哪个网络中,防火墙工作的地方一定是在网...

    小小科
  • Linux基础学习之利用tcpdump抓包实例代码

    很多时候我们的系统部署在Linux系统上面,在一些情况下定位问题就需要查看各个系统之间发送数据报文是否正常,下面我就简单讲解一下如何使用tcpdump抓包

    砸漏
  • tcpdump与Wireshark实现服务端抓包与分析

    服务端抓包,一般采用tcpdump抓包,然后将抓包文件导出到本地,使用wireshark分析数据包文件。

    吾非同
  • Linux 网络抓包

    lsof -p 23456 |wc -l netstat |grep "10.6.1.88:88888" |wc –l

    震八方紫面昆仑侠
  • 轻量级深度学习端侧推理引擎 MNN,阿里开源!

    数说君导读:MNN,Mobile Neural Network,用于在智能手机、IoT设备等端侧加载深度神经网络模型,进行推理预测。支持 Tensorflow、...

    数说君
  • 贾扬清推荐:阿里开源轻量级深度学习框架 MNN,侧重推理加速和优化

    MNN 是一个轻量级的深度学习端侧推理引擎,核心解决深度神经网络模型在端侧推理运行问题,涵盖深度神经网络模型的优化、转换和推理。目前,MNN 已经在手淘、手猫、...

    新智元
  • leetcode 26 Remove Duplicates from Sorted Array

    @坤的
  • 业界深访 | 初创公司CDO眼中的数据科学家

    在大数据和机器学习的时代,有一种职业脱颖而出——数据科学家。数据科学家在近年来备受追捧,也有越来越多的人想投身入数据科学领域。

    CDA数据分析师

扫码关注云+社区

领取腾讯云代金券