論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障-全文預(yù)覽
【正文】 類型是UDP，其長(zhǎng)度為“l(fā)enth”。“arp”表明該數(shù)據(jù)包是ARP請(qǐng)求，“whohas mag tell tiger”表明是主機(jī)“tiger”請(qǐng)求主機(jī)“mag”的MAC地址，“00:d0:59:bf:da:06”是主機(jī)“tiger”的MAC地址。“08:90:b0:2f:af:46”是主機(jī)mag的MAC地址，指明發(fā)送該數(shù)據(jù)包的源主機(jī)為“mag”，“00:d0:59:bf:da:06”是主機(jī)tiger的MAC地址，指明該數(shù)據(jù)包發(fā)送的目標(biāo)主機(jī)為“tiger”。 3. 如果想要截獲主機(jī)“”和除主機(jī)“”外所有其它主機(jī)之間通信的IP數(shù)據(jù)包，可以使用如下命令： tcpdump ip host and ! 4. 如果想要截獲主機(jī)“”接收或發(fā)出的FTP(端口號(hào)為21)數(shù)據(jù)包，可以使用如下命令： tcpdump tcp port 21 host 5. 如果懷疑系統(tǒng)正受到拒絕服務(wù)(DoS)攻擊，網(wǎng)絡(luò)管理員可以通過(guò)截獲發(fā)往本機(jī)的所有ICMP包，來(lái)確定目前是否有大量的ping指令流向服務(wù)器，此時(shí)就可以使用下面的命令： tcpdump icmp n i eth0Tcpdump的輸出結(jié)果 在對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)包進(jìn)行過(guò)濾后，Tcpdump的輸出結(jié)果中包含網(wǎng)絡(luò)管理員關(guān)心的網(wǎng)絡(luò)狀態(tài)信息。amp。這些關(guān)鍵字對(duì)于監(jiān)聽網(wǎng)絡(luò)中的廣播和多播很有幫助。fddi和ether具有類似的源地址和目標(biāo)地址，所以可以將fddi協(xié)議包當(dāng)作ether的包進(jìn)行分析和處理。對(duì)于數(shù)據(jù)鏈路層協(xié)議(如SLIP和PPP)，使用inbound和outbound來(lái)定義方向。如果沒有在表達(dá)式中指明類型，則缺省的類型為host。如果一個(gè)數(shù)據(jù)包滿足表達(dá)式的條件，則這個(gè)數(shù)據(jù)據(jù)包將會(huì)被捕獲；如果不指定表達(dá)式，則在網(wǎng)絡(luò)上任何兩臺(tái)主機(jī)間的所有數(shù)據(jù)包都將被截獲。例如，要過(guò)濾掉所有除ARP請(qǐng)求和應(yīng)答的通信數(shù)據(jù)，可以輸入“tcpdump arp”命令。它通過(guò)使用命令選項(xiàng)來(lái)過(guò)濾網(wǎng)卡截獲的數(shù)據(jù)包，如果不進(jìn)行過(guò)濾，過(guò)多數(shù)量的包會(huì)使網(wǎng)絡(luò)管理員很難理清頭緒。正因如此，在檢測(cè)網(wǎng)絡(luò)故障時(shí)，嗅探器對(duì)管理員來(lái)說(shuō)是一種不可或缺的強(qiáng)力工具。 但是，如果網(wǎng)絡(luò)中的某臺(tái)主機(jī)不愿意忽略掉不屬于自己的數(shù)據(jù)幀，只需將網(wǎng)卡設(shè)置為混雜(Promiscuous)模式，對(duì)接收到的每一個(gè)幀都產(chǎn)生一個(gè)硬件中斷，以提醒操作系統(tǒng)處理經(jīng)過(guò)該網(wǎng)卡的每一個(gè)數(shù)據(jù)包，這樣網(wǎng)卡就可以捕獲網(wǎng)絡(luò)上所有的數(shù)據(jù)了。因此從理論上說(shuō)，當(dāng)采用共享式連接時(shí)，位于同一網(wǎng)段的每臺(tái)主機(jī)都可以截獲在網(wǎng)絡(luò)中傳輸?shù)乃袛?shù)據(jù)。 當(dāng)局域網(wǎng)內(nèi)的主機(jī)都通過(guò)集線器(HUB)等方式連接時(shí)，一般采用的是共享式的連接。與Ethereal不同，EtherApe可以通過(guò)對(duì)主機(jī)間的連接進(jìn)行檢測(cè)，圖形化地顯示網(wǎng)絡(luò)活動(dòng)，因而能更加直觀地顯示出整個(gè)網(wǎng)絡(luò)所處的狀態(tài)。 ◆ Tcpdump Tcpdump是一個(gè)命令行方式的網(wǎng)絡(luò)流量監(jiān)測(cè)工具。 網(wǎng)絡(luò)管理員在檢測(cè)網(wǎng)絡(luò)故障及維護(hù)網(wǎng)絡(luò)正常通信的過(guò)程中，經(jīng)常需要借助嗅探器提供的某些功能。這些信息為管理員判斷網(wǎng)絡(luò)問(wèn)題及優(yōu)化網(wǎng)絡(luò)性能，提供了十分寶貴的信息。 任何工具都有弊有利，嗅探器既可以作為黑客獲得非法數(shù)據(jù)的手段，但同時(shí)對(duì)網(wǎng)絡(luò)管理員來(lái)講又是致關(guān)重要的。與電話電路不同，計(jì)算機(jī)網(wǎng)絡(luò)是共享通信通道的，從而意味著每臺(tái)計(jì)算機(jī)都可能接收到發(fā)送給其它計(jì)算機(jī)的信息，捕獲在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)信息通常被稱為監(jiān)聽(sniffing)。論借助sniffer診斷Linux網(wǎng)絡(luò)故障作者：日期：借助sniffer診斷Linux網(wǎng)絡(luò)故障嗅探器(sniffer)在網(wǎng)絡(luò)安全領(lǐng)域是一把雙刃劍，一方面常被黑客作為網(wǎng)絡(luò)攻擊工具，從而造成密碼被盜、敏感數(shù)據(jù)被竊等安全事件；另一方面又在協(xié)助網(wǎng)絡(luò)管理員監(jiān)測(cè)網(wǎng)絡(luò)狀況、診斷網(wǎng)絡(luò)故障、排除網(wǎng)絡(luò)隱患等方面有著不可替代的作用。 簡(jiǎn)介 嗅探器(sniffer)又稱為包嗅探器，是用來(lái)截獲計(jì)算機(jī)網(wǎng)絡(luò)通信數(shù)據(jù)的軟件或硬件。通過(guò)對(duì)網(wǎng)絡(luò)進(jìn)行嗅探，一些惡意用戶能夠很容易地竊取到絕密文檔和敏感數(shù)據(jù)，因此嗅探器經(jīng)常被黑客當(dāng)作網(wǎng)絡(luò)攻擊的一種基本手段。借助嗅探器，管理員還可以很方便地確定出哪些通信量屬于某個(gè)特定的網(wǎng)絡(luò)協(xié)議、占主要通信量的主機(jī)是哪臺(tái)、各次通訊的目標(biāo)是哪臺(tái)主機(jī)、報(bào)文發(fā)送占用多少時(shí)間、各主機(jī)間報(bào)文傳遞的間隔時(shí)間等。如果懷疑網(wǎng)絡(luò)正在遭受攻擊，通過(guò)嗅探器截獲的數(shù)據(jù)包可以確定正在攻擊系統(tǒng)的是什么類型的數(shù)據(jù)包，以及它們的源頭，從而可以及時(shí)地做出響應(yīng)，或者對(duì)網(wǎng)絡(luò)進(jìn)行相應(yīng)的調(diào)整，以保證網(wǎng)絡(luò)運(yùn)行的效率和安全。在Linux平臺(tái)下可用的嗅探器非常多，各自的功能和長(zhǎng)處也不盡相同，本文主要以Tcpdump、Ethereal和EtherApe三種嗅探器為例，講述如何利用各自的優(yōu)點(diǎn)來(lái)對(duì)Linux網(wǎng)絡(luò)的性能和故障進(jìn)行系統(tǒng)的分析和檢測(cè)。 ◆ EtherApe EtherApe也是一個(gè)圖形化的網(wǎng)絡(luò)流量監(jiān)測(cè)工具。它所需要的僅僅是數(shù)據(jù)包中的MAC地址。也就是說(shuō)，當(dāng)主機(jī)根據(jù)MAC地址發(fā)送數(shù)據(jù)包時(shí)，盡管發(fā)送端主機(jī)告知目標(biāo)主機(jī)的地址，但并不意味著一個(gè)網(wǎng)絡(luò)內(nèi)的其它主機(jī)不能監(jiān)聽到發(fā)送端和接收端之間傳遞的數(shù)據(jù)。也就是說(shuō)，雖然網(wǎng)絡(luò)上所有主機(jī)都可以“監(jiān)聽”到所有的數(shù)據(jù)，但對(duì)不屬于自己的報(bào)文不予響應(yīng)，只是簡(jiǎn)單地忽略掉這些數(shù)據(jù)。嗅探器可以實(shí)時(shí)分析這些數(shù)據(jù)的內(nèi)容，進(jìn)而可以幫助網(wǎng)絡(luò)管理員分析整個(gè)網(wǎng)絡(luò)的狀態(tài)、性能或故障。如果該庫(kù)已經(jīng)安裝，就可以執(zhí)行下面的命令來(lái)編譯并安裝Tcpdump：
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1