亚洲AV 无码高潮蜜臀,亚洲精晶无码成人精品AV,日本视频第一区

一、tcpdump

1、作用

tcpdump 指令可列出經(jīng)過(guò)指定網(wǎng)絡(luò)界面的數(shù)據(jù)包文件頭，可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的 “頭” 完全截獲下來(lái)提供分析。它支持針對(duì)網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過(guò)濾，并提供 and、or、not 等邏輯語(yǔ)句來(lái)幫助你摘取有用信息。

由于它需要將網(wǎng)絡(luò)接口設(shè)置為混雜模式，普通用戶不能正常執(zhí)行，但具備 root 權(quán)限的用戶可以直接執(zhí)行它來(lái)獲取網(wǎng)絡(luò)上的信息

其他抓包工具

wireshark具有圖形化和命令行兩種版本，可以對(duì) tcpdump 抓的包進(jìn)行分析，其主要功能就是分析數(shù)據(jù)包。
ngrep它將抓到的包數(shù)據(jù)以文本形式直接顯示出來(lái)，適用于包數(shù)據(jù)包含文本的[抓包]分析 (如 HTTP、MySQL)

2、命令選項(xiàng)

tcpdump [選項(xiàng)] [協(xié)議] [數(shù)據(jù)流方向] [范圍]
- -a 將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字
- -A 以 ASCII 格式打印出所有分組，并將鏈路層的頭最小化
- -b 數(shù)據(jù)鏈路層上選擇協(xié)議，包括 ip/arp/rarp/ipx 都在這一層
- -c 指定收取數(shù)據(jù)包的次數(shù)，即在收到指定數(shù)量的數(shù)據(jù)包后退出 tcpdump
- -d 將匹配信息包的代碼以人們能夠理解的匯編格式輸出
- -dd ?將匹配信息包的代碼以 c 語(yǔ)言程序段的格式輸出
- -ddd 將匹配信息包的代碼以十進(jìn)制的形式輸出
- -D 打印系統(tǒng)中所有可以監(jiān)控的網(wǎng)絡(luò)接口
- -e 在輸出行打印出數(shù)據(jù)鏈路層的頭部信息
- -f 將外部的 Internet 地址以數(shù)字的形式打印出來(lái)，即不顯示主機(jī)名
- -F 從指定的文件中讀取表達(dá)式，忽略其他的表達(dá)式
- -i 指定監(jiān)聽(tīng)網(wǎng)絡(luò)接口
- -l 使標(biāo)準(zhǔn)輸出變?yōu)榫彌_形式，可以數(shù)據(jù)導(dǎo)出到文件
- -L 列出網(wǎng)絡(luò)接口已知的數(shù)據(jù)鏈路
- -n 不把網(wǎng)絡(luò)地址轉(zhuǎn)換為名字
- -N 不輸出主機(jī)名中的域名部分，例如 www.baidu.com 只輸出 www
- -nn 不進(jìn)行端口名稱的轉(zhuǎn)換
- -P 不將網(wǎng)絡(luò)接口設(shè)置為混雜模式
- -q 快速輸出，即只輸出較少的協(xié)議信息
- -r 從指定的文件中讀取數(shù)據(jù)，一般是 – w 保存的文件
- -w 將捕獲到的信息保存到文件中，且不分析和打印在屏幕
- -s 從每個(gè)組中讀取在開(kāi)始的 snaplen 個(gè)字節(jié)，而不是默認(rèn)的 68 個(gè)字節(jié)
- -S 將 tcp 的序列號(hào)以絕對(duì)值形式輸出，而不是相對(duì)值
- -T 將監(jiān)聽(tīng)到的包直接解析為指定的類型的報(bào)文，常見(jiàn)的類型有 rpc（遠(yuǎn)程過(guò)程調(diào)用）和 snmp（簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議）
- -t 在輸出的每一行不打印時(shí)間戳
- -tt 在每一行中輸出非格式化的時(shí)間戳
- -ttt 輸出本行和前面以后之間的時(shí)間差
- -tttt 在每一行中輸出 data 處理的默認(rèn)格式的時(shí)間戳
- -u 輸出未解碼的 NFS 句柄
- -v 輸出稍微詳細(xì)的信息，例如在 ip 包中可以包括 ttl 和服務(wù)類型的信息
- -vv ?輸出相信的保報(bào)文信息
  
  3、tcpdump 表達(dá)式
  
  關(guān)于數(shù)據(jù)類型的關(guān)鍵字
  
  包括 host、port、net：
  
  host 192.168.100.1 表示一臺(tái)主機(jī)，net 192.168.100.0 表示一個(gè)網(wǎng)絡(luò)網(wǎng)段，port 80 指明端口號(hào)為 80，在這里如果沒(méi)有指明數(shù)據(jù)類型，那么默認(rèn)就是 host
```
牛逼啊！接私活必備的 N 個(gè)開(kāi)源項(xiàng)目！趕快收藏
```
  登錄后復(fù)制
  
  數(shù)據(jù)傳輸方向的關(guān)鍵字
  
  包括 src、dst、dst or src、dst and src，這些關(guān)鍵字指明了傳輸?shù)姆较颍热?src 192.168.100.1 說(shuō)明數(shù)據(jù)包源地址是 192.168.100.1。dst net 192.168.100.0 指明目的網(wǎng)絡(luò)地址是 192.168.100.0，默認(rèn)是監(jiān)控主機(jī)對(duì)主機(jī)的 src 和 dst，即默認(rèn)監(jiān)聽(tīng)本機(jī)和目標(biāo)主機(jī)的所有數(shù)據(jù)
  協(xié)議關(guān)鍵字
  
  包括 ip、arp、rarp、udp
  
  其他關(guān)鍵字
  - 運(yùn)算類型：or、and、not、！
  - 輔助功能型：gateway、less、broadcast、greater
    
    4、tcpdump 捕獲方式
    
    tcpdump [協(xié)議類型] [源或目標(biāo)] [主機(jī)名稱或 IP] [or/and/not/! 條件組合] [源或目標(biāo)] [主機(jī)名或 IP] [or/and/not/! 條件組合] [端口] [端口號(hào)] …… [or/and/not/! 條件組合] [條件]
```
> tcpdump  ip dst 192.168.10.1 and src 192.168.10.10 and port 80 and host  !www.baidu.com
```
    登錄后復(fù)制
    
    tcpdump
    
    默認(rèn)監(jiān)聽(tīng)在第一塊網(wǎng)卡，監(jiān)聽(tīng)所有經(jīng)過(guò)此網(wǎng)卡的數(shù)據(jù)包
```
> tcpdump  -i  ens33
```
    登錄后復(fù)制
    
    監(jiān)聽(tīng)指定網(wǎng)卡 ens33 的所有傳輸數(shù)據(jù)包
```
> tcpdump -i ens33 host 192.168.100.10
```
    登錄后復(fù)制
    
    捕獲主機(jī) 192.168.100.10 經(jīng)過(guò)網(wǎng)卡 ens33 的所有數(shù)據(jù)包（也可以是主機(jī)名，但要求可以解析出 IP 地址）
    - 第一列：報(bào)文的時(shí)間
    - 第二列：網(wǎng)絡(luò)協(xié)議 IP
    - 第三列：發(fā)送方的 ip 地址、端口號(hào)、域名，上圖顯示的是本機(jī)的域名，可通過(guò) / etc/hosts 查看本機(jī)域名
    - 第四列：箭頭 >，表示數(shù)據(jù)流向
    - 第五列：接收方的 ip 地址、端口號(hào)、域名，
    - 第六列：冒號(hào)
    - 第七列：數(shù)據(jù)包內(nèi)容，報(bào)文頭的摘要信息，有 ttl、報(bào)文類型、標(biāo)識(shí)值、序列、包的大小等信息
```
> tcpdump host 192.168.130.151 and  192.168.130.152or192.168.130.153192.168.130.152or192.168.130.153
```
      登錄后復(fù)制
      
      捕獲主機(jī) 192.168.56.209 和主機(jī) 192.168.56.210 或 192.168.56.211 的所有通信數(shù)據(jù)包
```
> tcpdump ip host node9 and not www.baidu.com
```
      登錄后復(fù)制
      
      捕獲主機(jī) node9 與其他主機(jī)之間（不包括 www.baidu.com）通信的 ip 數(shù)據(jù)包
```
> tcpdump ip host node9 and ! www.baidu.com
```
      登錄后復(fù)制
      
      捕獲 node9 與其他所有主機(jī)的通信數(shù)據(jù)包（不包括 www.baidu.com）
```
> tcpdump -i ens33 src node10
```
      登錄后復(fù)制
      
      捕獲源主機(jī) node10 發(fā)送的所有的經(jīng)過(guò) ens33 網(wǎng)卡的所有數(shù)據(jù)包
```
> tcpdump -i ens33 dst host www.baidu.com
```
      登錄后復(fù)制
      
      捕獲所有發(fā)送到主機(jī) www.baidu.com 的數(shù)據(jù)包
      
      監(jiān)聽(tīng)主機(jī) 192.168.56.1 和 192.168.56.210 之間 ip 協(xié)議的 80 端口的且排除 www.baidu.com 通信的所有數(shù)據(jù)包：
```
> tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host ! baidu.com
```
      登錄后復(fù)制
      
      也可以寫成 tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host not www.baidu.com，即 not 和！都是相同的取反的意思
```
> tcpdump arp
```
      登錄后復(fù)制
      
      監(jiān)控指定主機(jī)的通信數(shù)據(jù)包與 1.9.1 方式相同
```
> tcpdump tcp port 22 and host 192.168.56.210
```
      登錄后復(fù)制
      
      捕獲主機(jī) 192.168.56.210 接收和發(fā)出的 tcp 協(xié)議的 ssh 的數(shù)據(jù)包
      
      tcpdump udp port 53
      
      監(jiān)聽(tīng)本機(jī) udp 的 53 端口的數(shù)據(jù)包，udp 是 dns 協(xié)議的端口，這也是一個(gè) dns 域名解析的完整過(guò)程
      
      5、常用的過(guò)濾條件
      
      tcpdump 可以支持邏輯運(yùn)算符
      
      and: 與運(yùn)算，所有的條件都需要滿足，可用 “and”和 “&&” 表示
      or：或運(yùn)行，只要有一個(gè)條件滿足就可以，可用 “or” 和“|”表示
      not：取反，即取反條件，可以用 “not” 和“！”表示
```
> tcpdump icmp and src 192.168.100.10 -i ens33 -n
```
      登錄后復(fù)制
      
      過(guò)濾 icmp 報(bào)文并且源 IP 是 192.168.100.10
      
      多條件格式
      在使用多個(gè)過(guò)濾條件進(jìn)行組合時(shí)，有可能需要用到括號(hào)，而括號(hào)在 shell 中是特殊符號(hào)，又需要使用引號(hào)將其包含。用括號(hào)的主要作用是邏輯運(yùn)算符之間存在優(yōu)先級(jí)，!>and > or, 為例條件能夠精確所以需要對(duì)一些必要的組合括號(hào)括起來(lái)，而括號(hào)的意思相當(dāng)于加減運(yùn)算一樣，括起來(lái)的內(nèi)容作為一個(gè)整體進(jìn)行邏輯運(yùn)算。
      
      過(guò)濾源地址是 192.168.100.1 并且目的地址是 192.168.20.20 的數(shù)據(jù)包或者 ARP 協(xié)議的包。另外，搜索公眾號(hào)Linux就該這樣學(xué)后臺(tái)回復(fù)“Linux”，獲取一份驚喜禮包。
```
> tcpdump **src** host 192.168.10.10 -i ens33 -n -c 5
```
      登錄后復(fù)制
      
      過(guò)濾源 IP 地址是 192.168.10.10 的包
```
> tcpdump **dst** host 192.168.10.10 -i ens33 -n -c 5
```
      登錄后復(fù)制
      
      過(guò)濾目的 IP 地址是 192.168.10.10 的包
      
      基于端口進(jìn)行過(guò)濾
```
> tcpdump port 22 -i ens33 -n -c 5  
> 過(guò)濾端口號(hào)為 22 即 ssh 協(xié)議的
```
      登錄后復(fù)制
```
>  tcpdump portrange 22-433 -i ens33 -n -c 8
```
      登錄后復(fù)制
      
      過(guò)濾端口號(hào) 22-433 內(nèi)的數(shù)據(jù)包
      
      二、wireshark
      
      1、什么是 wireshark
      
      Wireshark 是一個(gè)網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是捕獲網(wǎng)絡(luò)數(shù)據(jù)包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)封包資料。Wireshark 使用 WinPCAP 作為接口，直接與網(wǎng)卡進(jìn)行數(shù)據(jù)報(bào)文交換
      
      2、安裝 wireshark
      
      Linux 中有兩個(gè)版本的 wireshark，一個(gè)是 wireshark，這個(gè)版本是無(wú)圖形化界面，基本命令是”tshark“。
      
      一個(gè)是 wireshark-gnome（界面版本），這個(gè)版本只能安裝在支持 GUI 功能的 Linux 的版本中。
```
> yum -y install wireshark // 安裝無(wú)圖形化版本  
> yum -y install wireshark-gnome // 安裝圖形化版本
```
      登錄后復(fù)制
      
      注:這里的通過(guò) yum 進(jìn)行安裝，需要提前做好 epel 源（即紅帽操作系統(tǒng)額外拓展包），裝上了 EPEL 之后，就相當(dāng)于添加了一個(gè)第三方源。官方的 rpm repository 提供的 rpm 包也不夠豐富，很多時(shí)候需要自己編譯那太辛苦了，而 EPEL 可以解決官方 yum 源數(shù)據(jù)包不夠豐富的情況。
      
      安裝epel源
```
>  yum -y install epel-release
```
      登錄后復(fù)制
      
      3、tshark 命令
```
tshark 是 wireshark 的命令行工具  
     tshark 選項(xiàng) 參數(shù)  
    -i：指定捕獲的網(wǎng)卡接口，不設(shè)置默認(rèn)第一個(gè)非環(huán)回口接口  
    -D：顯示所有可用的網(wǎng)絡(luò)接口列表  
    -f：指定條件表達(dá)式，與 tcpdump 相同  
    -s：設(shè)置每個(gè)抓包的大小，默認(rèn) 65535，多于這個(gè)大小的數(shù)據(jù)將不會(huì)不會(huì)被截取。  
    -c：捕獲指定數(shù)量的數(shù)據(jù)包后退出  
    -w：后接文件名，將抓包的結(jié)果輸出到. pcap 文件中，可以借助其他網(wǎng)絡(luò)分析工具進(jìn)行分              析，也可以使用重定向 > 把解碼后的輸出結(jié)果以 txt 的格式輸出。  
    -p：設(shè)置網(wǎng)絡(luò)接口以非混合模式工作，即只關(guān)心和本機(jī)有關(guān)的流量  
    -r：后接文件路徑，用于分析保持好的網(wǎng)絡(luò)包文件，比如 tcpdump 的輸出文件  
    -n：禁止所有地址名字解析，即禁止域名解析, 默認(rèn)是允許所有  
   -N：指定對(duì)某一層的地址名字解析，如果 - n 和 - N 同時(shí)存在，則 - n 將被忽略，如果兩者都不寫，則會(huì)默認(rèn)打開(kāi)所有地址名字解析  
         m：代表數(shù)據(jù)鏈路層  
         n：代表網(wǎng)絡(luò)層  
         t：代表傳輸層  
    -V：設(shè)置將解碼結(jié)果的細(xì)節(jié)輸出，否則解碼結(jié)果僅顯示一個(gè) packet 一行的 summary  
    -t：設(shè)置結(jié)果的時(shí)間格式  
         ad：表示帶日期的絕對(duì)時(shí)間  
         a：表示不帶日期的絕對(duì)時(shí)間  
         r：表示從第一個(gè)包到現(xiàn)在的相對(duì)時(shí)間  
         d：表示兩個(gè)相鄰包之間的增量時(shí)間
```
      登錄后復(fù)制
```
tshark -f "icmp" -i ens33 -V -c 1
```
      登錄后復(fù)制
      
      過(guò)濾 icmp 報(bào)文，并展開(kāi)詳細(xì)信息。另外，搜索公眾號(hào)編程技術(shù)圈后臺(tái)回復(fù)“1024”，獲取一份驚喜禮包。
```
tshark -f "arp" -i ens33
```
      登錄后復(fù)制
      
      過(guò)濾 arp 報(bào)文
      
      4、圖形化界面
      
      ?
      
      三、Tcpdump 和 wireshark 合用
      
      Tcpdump 解析報(bào)文信息沒(méi)有 wireshark 詳細(xì)，所以可以通過(guò) Tcpdump 捕獲數(shù)據(jù)并輸出，再通過(guò) wireshark 進(jìn)行解析，輸出文件格式為. pcap? 或者其他
      
      在虛擬機(jī)上通過(guò) wireshark 讀取
      
      使用 ip.addr == [ip 地址號(hào)] 可以過(guò)濾掉無(wú)關(guān) ip
      
      ??圖形讀取
      
      用 wireshark 直接打開(kāi)查看
      
      總結(jié)
      
      tcpdump 和 wireshark 兩種單以抓包的功能來(lái)看，是相似的，兩者的命令行的選項(xiàng)也是有相同，但是 tcpdump 對(duì)數(shù)據(jù)包分析的能力不是很好，同時(shí)目前很多 Linux 內(nèi)置安裝了 tcpdump 這個(gè)工具，所以我們可以通過(guò) tcpdump 把數(shù)據(jù)包抓出并存放到我們自定義的文件(.pcap)中，再通過(guò)把文件取出用 wireshark 進(jìn)行分析排障
      
      以上就是Linux 網(wǎng)絡(luò)抓包分析工具的詳細(xì)內(nèi)容，更多請(qǐng)關(guān)注www.92cms.cn其它相關(guān)文章！