論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障-文庫吧資料
2025-07-04 21:35本頁面
【正文】 信息 用Tcpdump截獲的TCP包的一般輸出格式如下： src dst: flags datasequno ack window urgent options“src dst:”標明從源地址到目的地址；flags是TCP包中的標志信息，包括S(SYN)標志、F(FIN)標志、P(PUSH)標志、R(RST)標志和“.”(沒有標志)；datasequno是數(shù)據(jù)包中的數(shù)據(jù)序列號；ack是下次期望的數(shù)據(jù)序列號；window是接收緩存的窗口大小；urgent標明數(shù)據(jù)包中是否有緊急指針；options是可能的選項值?！癮rp”表明該數(shù)據(jù)包是ARP請求，“whohas mag tell tiger”表明是主機“tiger”請求主機“mag”的MAC地址，“00:d0:59:bf:da:06”是主機“tiger”的MAC地址?！癮ck 25565”表示對序列號為25565的包進行確認，“win 8970”則指明發(fā)送窗口的大小為8760。“08:90:b0:2f:af:46”是主機mag的MAC地址，指明發(fā)送該數(shù)據(jù)包的源主機為“mag”，“00:d0:59:bf:da:06”是主機tiger的MAC地址，指明該數(shù)據(jù)包發(fā)送的目標主機為“tiger”。 1. 數(shù)據(jù)鏈路層頭信息 使用“tcpdump e host tiger”命令截獲主機“tiger”所有發(fā)出和收到的數(shù)據(jù)包，并在輸出結(jié)果中包含數(shù)據(jù)鏈路層的頭部信息。 3. 如果想要截獲主機“”和除主機“”外所有其它主機之間通信的IP數(shù)據(jù)包，可以使用如下命令： tcpdump ip host and ! 4. 如果想要截獲主機“”接收或發(fā)出的FTP(端口號為21)數(shù)據(jù)包，可以使用如下命令： tcpdump tcp port 21 host 5. 如果懷疑系統(tǒng)正受到拒絕服務(wù)(DoS)攻擊，網(wǎng)絡(luò)管理員可以通過截獲發(fā)往本機的所有ICMP包，來確定目前是否有大量的ping指令流向服務(wù)器，此時就可以使用下面的命令： tcpdump icmp n i eth0Tcpdump的輸出結(jié)果 在對網(wǎng)絡(luò)中的數(shù)據(jù)包進行過濾后，Tcpdump的輸出結(jié)果中包含網(wǎng)絡(luò)管理員關(guān)心的網(wǎng)絡(luò)狀態(tài)信息。 下面給出幾個使用Tcpdump過濾數(shù)據(jù)包的例子，嗅探器提供的過濾表達式對于管理員監(jiān)測網(wǎng)絡(luò)運行狀況非常重要： 1. 如果想要截獲主機“”所有收到和發(fā)出的數(shù)據(jù)包，可以使用如下命令： tcpdump host 2. 如果想要截獲在主機“”和主機“”或“”之間傳遞的數(shù)據(jù)包，可以使用如下命令： tcpdump host and \ \( or \)需要注意的是，在使用布爾運算符構(gòu)成組合表達式時，有時需要使用括號來表達復(fù)雜的邏輯關(guān)系。amp。 在Tcpdump的過濾表達式中，各類關(guān)鍵字之間還可以通過布爾運算符來構(gòu)成組合表達式，以滿足實際運用時的需要。這些關(guān)鍵字對于監(jiān)聽網(wǎng)絡(luò)中的廣播和多播很有幫助。如果沒有在表達式中指明協(xié)議，則Tcpdump會截獲所有協(xié)議的數(shù)據(jù)包。fddi和ether具有類似的源地址和目標地址，所以可以將fddi協(xié)議包當作ether的包進行分析和處理。關(guān)鍵字fddi指明在FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò))上的特定網(wǎng)絡(luò)協(xié)議。對于數(shù)據(jù)鏈路層協(xié)議(如SLIP和PPP)，使用inbound和outbound來定義方向。例如，可以用src ；用“dst net ”來指明截獲的數(shù)據(jù)包中的目標網(wǎng)絡(luò)地址。如果沒有在表達式中指明類型，則缺省的類型為host。 Tcpdump的過濾表達式中一般有如下幾種類型的關(guān)鍵字： ◆ 類型關(guān)鍵字 這類關(guān)鍵字用于指定主機、網(wǎng)絡(luò)或端口，包括host、net和port三個關(guān)鍵字。如果一個數(shù)據(jù)包滿足表達式的條件，則這個數(shù)據(jù)據(jù)包將會被捕獲；如果不指定表達式，則在網(wǎng)絡(luò)上任何兩臺主機間的所有數(shù)據(jù)包都將被截獲。 圖1 ARP過濾如果要做更多的處理，比如從指定的網(wǎng)絡(luò)接口截獲5個ARP數(shù)據(jù)包，并且不將網(wǎng)絡(luò)地址轉(zhuǎn)換成主機名，則可以用命令“tcpdump arp i eth0 c 5 n”。例如，要過濾掉所有除ARP請求和應(yīng)答的通信數(shù)據(jù)，可以輸入“tcpdump arp”命令。表1給出了一些常用的Tcpdump命令行選項，使用這些選項可以過濾出真正感興趣的數(shù)據(jù)包。它通過使用命令選項來過濾網(wǎng)卡截獲的數(shù)據(jù)包，如果不進行過濾，過多數(shù)量的包會使網(wǎng)絡(luò)管理員很難理清頭緒。這個庫是編譯Tcpdump時所必需的。正因如此，在檢測網(wǎng)絡(luò)故障時，嗅探器對管理員來說是一種不可或缺的強力工具。 嗅探器工作在網(wǎng)絡(luò)環(huán)境中的底層，它會攔截所有正在網(wǎng)絡(luò)上傳送的數(shù)據(jù)，通過借助相應(yīng)的軟件進行處理。 但是，如果網(wǎng)絡(luò)中的某臺主機不愿意忽略掉不屬于自己的數(shù)據(jù)幀，只需將網(wǎng)卡設(shè)置為混雜(Promiscuous)模式，對接收到的每一個幀都產(chǎn)生一個硬件中斷，以提醒操作系統(tǒng)處理經(jīng)過該網(wǎng)卡的每一個數(shù)據(jù)包，這樣網(wǎng)卡就可以捕獲網(wǎng)絡(luò)上所有的數(shù)據(jù)了。 只有當接收到上面兩種類型的數(shù)據(jù)幀時，網(wǎng)卡才會通過CPU產(chǎn)生一個硬件中斷，然后再由操作系統(tǒng)負責處理該中斷，對幀中所包含的數(shù)據(jù)做進一步處理。因此從理論上說，當采用共享式連接時，位于同一網(wǎng)段的每臺主機都可以截獲在網(wǎng)絡(luò)中傳輸?shù)乃袛?shù)據(jù)。當一臺主機向另一臺主機發(fā)送數(shù)據(jù)時，共享式的HUB會將接收到的所有數(shù)據(jù)向HUB上的每個端口轉(zhuǎn)發(fā)。 當局域網(wǎng)內(nèi)的主機都通過集線器(HUB)等方式連接時
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1