論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障(編輯修改稿)
2024-07-25 21:35 本頁面
【文章內(nèi)容簡(jiǎn)介】 地址和目標(biāo)地址，所以可以將fddi協(xié)議包當(dāng)作ether的包進(jìn)行分析和處理。其它幾個(gè)關(guān)鍵字只是指定了所要截獲的協(xié)議數(shù)據(jù)包。如果沒有在表達(dá)式中指明協(xié)議，則Tcpdump會(huì)截獲所有協(xié)議的數(shù)據(jù)包。 除了上述三種類型的關(guān)鍵字外，Tcpdump的過濾表達(dá)式中還可以指定的一些重要關(guān)鍵字包括gateway、broadcast、multicast、less、greater。這些關(guān)鍵字對(duì)于監(jiān)聽網(wǎng)絡(luò)中的廣播和多播很有幫助。關(guān)于這些關(guān)鍵字的更多信息和用法請(qǐng)參考Tcpdump的man手冊(cè)。 在Tcpdump的過濾表達(dá)式中，各類關(guān)鍵字之間還可以通過布爾運(yùn)算符來構(gòu)成組合表達(dá)式，以滿足實(shí)際運(yùn)用時(shí)的需要。布爾運(yùn)算符包括取非運(yùn)算符(not或!)、與運(yùn)算符(and或amp。amp。)、或運(yùn)算符(or或||)，使用布爾運(yùn)算符可以將表達(dá)式組合起來構(gòu)成強(qiáng)大的組合條件，從而能夠?qū)cpdump的過濾器做進(jìn)一步細(xì)化。 下面給出幾個(gè)使用Tcpdump過濾數(shù)據(jù)包的例子，嗅探器提供的過濾表達(dá)式對(duì)于管理員監(jiān)測(cè)網(wǎng)絡(luò)運(yùn)行狀況非常重要： 1. 如果想要截獲主機(jī)“”所有收到和發(fā)出的數(shù)據(jù)包，可以使用如下命令： tcpdump host 2. 如果想要截獲在主機(jī)“”和主機(jī)“”或“”之間傳遞的數(shù)據(jù)包，可以使用如下命令： tcpdump host and \ \( or \)需要注意的是，在使用布爾運(yùn)算符構(gòu)成組合表達(dá)式時(shí)，有時(shí)需要使用括號(hào)來表達(dá)復(fù)雜的邏輯關(guān)系。如果要在命令行中使用括號(hào)，一定要用轉(zhuǎn)義字符(“\”)對(duì)括號(hào)進(jìn)行轉(zhuǎn)義，否則命令行解釋器將給出語法錯(cuò)誤的提示。 3. 如果想要截獲主機(jī)“”和除主機(jī)“”外所有其它主機(jī)之間通信的IP數(shù)據(jù)包，可以使用如下命令： tcpdump ip host and ! 4. 如果想要截獲主機(jī)“”接收或發(fā)出的FTP(端口號(hào)為21)數(shù)據(jù)包，可以使用如下命令： tcpdump tcp port 21 host 5. 如果懷疑系統(tǒng)正受到拒絕服務(wù)(DoS)攻擊，網(wǎng)絡(luò)管理員可以通過截獲發(fā)往本機(jī)的所有ICMP包，來確定目前是否有大量的ping指令流向服務(wù)器，此時(shí)就可以使用下面的命令： tcpdump icmp n i eth0Tcpdump的輸出結(jié)果 在對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)包進(jìn)行過濾后，Tcpdump的輸出結(jié)果中包含網(wǎng)絡(luò)管理員關(guān)心的網(wǎng)絡(luò)狀態(tài)信息。由于Tcpdump只是一個(gè)命令行方式的嗅探器，因而其輸出結(jié)果不是很直觀，下面以幾種典型的輸出信息為例，介紹如何對(duì)Tcpdump的輸出結(jié)果進(jìn)行分析。 1. 數(shù)據(jù)鏈路層頭信息 使用“tcpdump e host tiger”命令截獲主機(jī)“tiger”所有發(fā)出和收到的數(shù)據(jù)包，并在輸出結(jié)果中包含數(shù)據(jù)鏈路層的頭部信息。 “tiger”是一臺(tái)裝有Linux的主機(jī)，其MAC地址是00:D0:59:BF:DA:06；“mag”是一臺(tái)裝有SCO Unix的工作站，其MAC地址是08:90:B0:2F:AF:46，上述命令的輸出結(jié)果如下： 20:15: eth0 08:90:b0:2f:af:46 00:d0:59:bf:da:06 ip 60: 0:0(0) ack 25565 win 8970 (DF)在輸出的信息中，“20:15:20”為截獲數(shù)據(jù)包的時(shí)間，“735429”是毫秒數(shù)，“eth0 ”表示從網(wǎng)絡(luò)接口eth0接收該數(shù)據(jù)包(若為“eth0 ”，則表示從網(wǎng)絡(luò)接口eth0發(fā)送數(shù)據(jù)包)。“08:90:b0:2f:af:46”是主機(jī)mag的MAC地址，指明發(fā)送該數(shù)據(jù)包的源主機(jī)為“mag”，“00:d0:59:bf:da:06”是主機(jī)tiger的MAC地址，指明該數(shù)據(jù)包發(fā)送的目標(biāo)主機(jī)為“tiger”?！癷p”表明該數(shù)據(jù)包是IP數(shù)據(jù)包，“60”是數(shù)據(jù)包的長(zhǎng)度，“ ”表明該數(shù)據(jù)包是從主機(jī)“mag”的36579端口發(fā)往主機(jī)“tiger”的FTP(21)端口?！癮ck 25565”表示對(duì)序列號(hào)為25565的包進(jìn)行確認(rèn)，“win 8970”則指明發(fā)送窗口的大小為8760。 2. ARP包的輸出信息 若使用“tcpdump arp c 2”命令截獲ARP數(shù)據(jù)包，得到的輸出結(jié)果可能是： 20:42: eth0 arp whohas mag tell tiger (00:d0:59:bf:da:06)20:42: eth0 arp reply mag isat 08:90:b0:2f:af:46 (00:d0:59:bf:da:06)在輸出的信息中，“20:42:22”為截獲數(shù)據(jù)包的時(shí)間；“713502”和“713907”為毫秒數(shù)；“eth0 ”表明從主機(jī)發(fā)出該數(shù)據(jù)包；“eth0 ”表明從主機(jī)接收該數(shù)據(jù)包?！癮rp”表明該數(shù)據(jù)包是ARP請(qǐng)求，“whohas mag tell tiger”表明是主機(jī)“tiger”請(qǐng)求主機(jī)“mag”的MAC地址，“00:d0:59:bf:da:06”是主機(jī)“tiger”的MAC地址?！皉eply mag isat”表明主機(jī)“mag”響應(yīng)“tiger”的ARP請(qǐng)求，“08:90:b0:2f:af:46”是主機(jī)“mag”的MAC地址。 3. TCP包的輸出信息 用Tcpdump截獲的TCP包的一般輸出格式如下： src dst: flags datasequno ack window urgent options“src dst
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1