Der Befehl tcpdump wird auch als Paketanalysator bezeichnet.
Der Befehl tcpdump funktioniert auf den meisten Arten von Unix-Betriebssystemen. tcpdump ermöglicht es uns, die erfassten Pakete zu speichern, damit wir sie für zukünftige Analysen verwenden können. Die gespeicherte Datei kann mit demselben tcpdump-Befehl angezeigt werden. Wir können auch Open-Source-Software wie Wireshark verwenden, um die tcpdump-pcap-Dateien zu lesen.
Lassen Sie uns in diesem tcpdump-Tutorial einige praktische Beispiele zur Verwendung des tcpdump-Befehls besprechen.
1. Erfassen Sie Pakete von einer bestimmten Ethernet-Schnittstelle mit tcpdump -i
Wenn Sie den Befehl tcpdump ohne Option ausführen, werden alle Pakete erfasst, die durch alle Schnittstellen fließen. Die Option -i mit dem Befehl tcpdump ermöglicht es Ihnen, nach einer bestimmten Ethernet-Schnittstelle zu filtern.
$ tcpdump -i eth1 14:59:26.608728 IP xx.domain.netbcp.net.52497 > valh4.lell.net.ssh: . ack 540 win 16554 14:59:26.610602 IP resolver.lell.net.domain > valh4.lell.net.24151: 4278 1/0/0 (73) 14:59:26.611262 IP valh4.lell.net.38527 > resolver.lell.net.domain: 26364+ PTR? 244.207.104.10.in-addr.arpa. (45)
In diesem Beispiel hat tcpdump alle Paketflüsse in der Schnittstelle eth1 erfasst und in der Standardausgabe angezeigt.
Hinweis :Das Dienstprogramm Editcap wird verwendet, um bestimmte Pakete aus der Dump-Datei auszuwählen oder zu entfernen und sie in ein bestimmtes Format zu übersetzen.
2. Nur N Pakete mit tcpdump -c
erfassenWenn Sie den Befehl tcpdump ausführen, gibt er Pakete aus, bis Sie den Befehl tcpdump abbrechen. Mit der Option -c können Sie die Anzahl der zu erfassenden Pakete angeben.
$ tcpdump -c 2 -i eth0 listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 14:38:38.184913 IP valh4.lell.net.ssh > yy.domain.innetbcp.net.11006: P 1457255642:1457255758(116) ack 1561463966 win 63652 14:38:38.690919 IP valh4.lell.net.ssh > yy.domain.innetbcp.net.11006: P 116:232(116) ack 1 win 63652 2 packets captured 13 packets received by filter 0 packets dropped by kernel
Der obige tcpdump-Befehl hat nur 2 Pakete von der Schnittstelle eth0 erfasst.
Hinweis: Mergecap und TShark:Mergecap ist ein Packet-Dump-Combining-Tool, das mehrere Dumps in einer einzigen Dump-Datei kombiniert. Tshark ist ein leistungsstarkes Tool zum Erfassen von Netzwerkpaketen, das zur Analyse des Netzwerkverkehrs verwendet werden kann. Es wird mit der Verteilung des Wireshark-Netzwerkanalysators geliefert.
3. Zeigen Sie erfasste Pakete in ASCII mit tcpdump -A
anDie folgende tcpdump-Syntax gibt das Paket in ASCII aus.
$ tcpdump -A -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:34:50.913995 IP valh4.lell.net.ssh > yy.domain.innetbcp.net.11006: P 1457239478:1457239594(116) ack 1561461262 win 63652
E.....@.@..]..i...9...*.V...]...P....h....E...>{..U=...g.
......G..7\+KA....A...L.
14:34:51.423640 IP valh4.lell.net.ssh > yy.domain.innetbcp.net.11006: P 116:232(116) ack 1 win 63652
E.....@.@..\..i...9...*.V..*]...P....h....7......X..!....Im.S.g.u:*..O&....^#Ba...
E..(R.@.|.....9...i.*...]...V..*P..OWp........ Hinweis: Der Befehl ifconfig wird verwendet, um Netzwerkschnittstellen zu konfigurieren
4. Zeigt erfasste Pakete in HEX und ASCII mit tcpdump -XX
anEinige Benutzer möchten möglicherweise die Pakete in Hex-Werten analysieren. tcpdump bietet eine Möglichkeit, Pakete sowohl im ASCII- als auch im HEX-Format zu drucken.
$tcpdump -XX -i eth0
18:52:54.859697 IP zz.domain.innetbcp.net.63897 > valh4.lell.net.ssh: . ack 232 win 16511
0x0000: 0050 569c 35a3 0019 bb1c 0c00 0800 4500 .PV.5.........E.
0x0010: 0028 042a 4000 7906 c89c 10b5 aaf6 0f9a .(.*@.y.........
0x0020: 69c4 f999 0016 57db 6e08 c712 ea2e 5010 i.....W.n.....P.
0x0030: 407f c976 0000 0000 0000 0000 @..v........
18:52:54.877713 IP 10.0.0.0 > all-systems.mcast.net: igmp query v3 [max resp time 1s]
0x0000: 0050 569c 35a3 0000 0000 0000 0800 4600 .PV.5.........F.
0x0010: 0024 0000 0000 0102 3ad3 0a00 0000 e000 .$......:.......
0x0020: 0001 9404 0000 1101 ebfe 0000 0000 0300 ................
0x0030: 0000 0000 0000 0000 0000 0000 ............ 5. Erfassen Sie die Pakete und schreiben Sie sie mit tcpdump -w
in eine DateiMit tcpdump können Sie die Pakete in einer Datei speichern und später die Paketdatei für weitere Analysen verwenden.
$ tcpdump -w 08232010.pcap -i eth0 tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 32 packets captured 32 packets received by filter 0 packets dropped by kernel
Die Option -w schreibt die Pakete in eine angegebene Datei. Die Dateierweiterung sollte .pcap sein, die von jedem
Analysator für Netzwerkprotokolle gelesen werden kann.
6. Lesen der Pakete aus einer gespeicherten Datei mit tcpdump -r
Sie können die erfasste pcap-Datei lesen und die Pakete zur Analyse anzeigen, wie unten gezeigt.
$tcpdump -tttt -r data.pcap
2010-08-22 21:35:26.571793 00:50:56:9c:69:38 (oui Unknown) > Broadcast, ethertype Unknown (0xcafe), length 74:
0x0000: 0200 000a ffff 0000 ffff 0c00 3c00 0000 ............<...
0x0010: 0000 0000 0100 0080 3e9e 2900 0000 0000 ........>.).....
0x0020: 0000 0000 ffff ffff ad00 996b 0600 0050 ...........k...P
0x0030: 569c 6938 0000 0000 8e07 0000 V.i8........
2010-08-22 21:35:26.571797 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.50570: P 800464396:800464448(52) ack 203316566 win 71
2010-08-22 21:35:26.571800 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.50570: P 52:168(116) ack 1 win 71
2010-08-22 21:35:26.584865 IP valh5.lell.net.ssh > 11.154.12.255.netbios-ns: NBT UDP PACKET(137): QUERY; REQUEST; BROADC 7. Erfassen Sie Pakete mit IP-Adresse mit tcpdump -n
In allen obigen Beispielen werden Pakete mit der DNS-Adresse gedruckt, aber nicht mit der IP-Adresse. Das folgende Beispiel erfasst die Pakete und zeigt die IP-Adresse der beteiligten Computer an.
$ tcpdump -n -i eth0 15:01:35.170763 IP 10.0.19.121.52497 > 11.154.12.121.ssh: P 105:157(52) ack 18060 win 16549 15:01:35.170776 IP 11.154.12.121.ssh > 10.0.19.121.52497: P 23988:24136(148) ack 157 win 113 15:01:35.170894 IP 11.154.12.121.ssh > 10.0.19.121.52497: P 24136:24380(244) ack 157 win 113
8. Erfassen Sie Pakete mit korrekt lesbarem Zeitstempel mit tcpdump -tttt
$ tcpdump -n -tttt -i eth0 2010-08-22 15:10:39.162830 IP 10.0.19.121.52497 > 11.154.12.121.ssh: . ack 49800 win 16390 2010-08-22 15:10:39.162833 IP 10.0.19.121.52497 > 11.154.12.121.ssh: . ack 50288 win 16660 2010-08-22 15:10:39.162867 IP 10.0.19.121.52497 > 11.154.12.121.ssh: . ack 50584 win 16586
9. Pakete lesen, die länger als N Bytes sind
Sie können nur die Pakete empfangen, die größer als n Bytes sind, indem Sie einen Filter „größer“ durch den Befehl tcpdump verwenden
$ tcpdump -w g_1024.pcap greater 1024
10. Empfangen Sie nur die Pakete eines bestimmten Protokolltyps
Sie können die Pakete basierend auf dem Protokolltyp empfangen. Sie können eines dieser Protokolle angeben – fddi, tr, wlan, ip, ip6, arp, rarp, decnet, tcp und udp. Das folgende Beispiel erfasst nur arp-Pakete, die durch die eth0-Schnittstelle fließen.
$ tcpdump -i eth0 arp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 19:41:52.809642 arp who-has valh5.lell.net tell valh9.lell.net 19:41:52.863689 arp who-has 11.154.12.1 tell valh6.lell.net 19:41:53.024769 arp who-has 11.154.12.1 tell valh7.lell.net
11. Liest Pakete, die kleiner als N Bytes sind
Sie können nur die Pakete empfangen, die kleiner als n Bytes sind, indem Sie einen Filter „weniger“ durch den Befehl tcpdump verwenden
$ tcpdump -w l_1024.pcap less 1024
12. Pakete empfangen fließt auf einem bestimmten Port unter Verwendung von tcpdump port
Wenn Sie alle Pakete wissen möchten, die von einem bestimmten Port auf einem Computer empfangen wurden, können Sie den Befehl tcpdump wie unten gezeigt verwenden.
$ tcpdump -i eth0 port 22 19:44:44.934459 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.63897: P 18932:19096(164) ack 105 win 71 19:44:44.934533 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.63897: P 19096:19260(164) ack 105 win 71 19:44:44.934612 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.63897: P 19260:19424(164) ack 105 win 71
13. Erfassen Sie Pakete für eine bestimmte Ziel-IP und einen bestimmten Port
Die Pakete haben Quell- und Ziel-IP und Portnummern. Mit tcpdump können wir Filter auf Quell- oder Ziel-IP und Portnummer anwenden. Der folgende Befehl erfasst Paketflüsse in eth0 mit einer bestimmten Ziel-IP und Portnummer 22.
$ tcpdump -w xpackets.pcap -i eth0 dst 10.181.140.216 and port 22
14. TCP-Kommunikationspakete zwischen zwei Hosts erfassen
Wenn zwei verschiedene Prozesse von zwei verschiedenen Rechnern über das TCP-Protokoll kommunizieren, können wir diese Pakete mit tcpdump erfassen, wie unten gezeigt.
$tcpdump -w comm.pcap -i eth0 dst 16.181.170.246 and port 22
Sie können die Datei comm.pcap mit einem beliebigen Netzwerkprotokollanalysetool öffnen, um potenzielle Probleme zu beheben.
15. tcpdump Filter Packets – Erfasst alle Pakete außer arp und rarp
Im Befehl tcpdump können Sie die Bedingung „und“, „oder“ und „nicht“ angeben, um die Pakete entsprechend zu filtern.
$ tcpdump -i eth0 not arp and not rarp 20:33:15.479278 IP resolver.lell.net.domain > valh4.lell.net.64639: 26929 1/0/0 (73) 20:33:15.479890 IP valh4.lell.net.16053 > resolver.lell.net.domain: 56556+ PTR? 255.107.154.15.in-addr.arpa. (45) 20:33:15.480197 IP valh4.lell.net.ssh > zz.domain.innetbcp.net.63897: P 540:1504(964) ack 1 win 96 20:33:15.487118 IP zz.domain.innetbcp.net.63897 > valh4.lell.net.ssh: . ack 540 win 16486 20:33:15.668599 IP 10.0.0.0 > all-systems.mcast.net: igmp query v3 [max resp time 1s]