論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障-在線瀏覽
2024-08-08 21:35本頁(yè)面
【正文】 l/src/ tar xzvf 在編譯Tcpdump之前，應(yīng)先確定pcap庫(kù)(libpcap)已經(jīng)安裝完畢。如果該庫(kù)已經(jīng)安裝，就可以執(zhí)行下面的命令來(lái)編譯并安裝Tcpdump： cd ./configure make make installTcpdump的命令行選項(xiàng) Tcpdump是一個(gè)命令行方式的網(wǎng)絡(luò)嗅探器。Tcpdump的命令格式如下： tcpdump [ adeflnNOpqRStuvxX ] [ c 數(shù)量 ] [ C 文件尺寸 ] [ F 文件名 ] [ i 網(wǎng)絡(luò)接口 ] [ m 文件名 ] [ r 文件名 ] [ s 長(zhǎng)度 ] [ T 類(lèi)型 ] [ w 文件名 ] [ E algo:secret ] [ 表達(dá)式 ] 表1 Tcpdump常用命令行選項(xiàng) a將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成容易識(shí)別的名字d將已截獲的數(shù)據(jù)包的代碼以人容易理解的格式輸出；dd將已截獲的數(shù)據(jù)包的代碼以C程序的格式輸出；ddd將已截獲的數(shù)據(jù)包的代碼以十進(jìn)制格式輸出；e輸出數(shù)據(jù)鏈路層的頭部信息；f將internet地址以數(shù)字形式輸出；l將標(biāo)準(zhǔn)輸出變?yōu)樾芯彌_方式；n不將網(wǎng)絡(luò)地址轉(zhuǎn)換成易識(shí)別的主機(jī)名，只以數(shù)字形式列出主機(jī)地址(如IP地址)，這樣可以避免DNS查詢；t不輸出時(shí)間戳；v輸出較詳細(xì)的信息，例如IP包中的TTL和服務(wù)類(lèi)型信息；vv輸出詳盡的報(bào)文信息；c在捕獲指定個(gè)數(shù)的數(shù)據(jù)包后退出；F從指定的文件中讀取過(guò)濾規(guī)則，忽略命令行中指定的其它過(guò)濾規(guī)則；i指定監(jiān)聽(tīng)的網(wǎng)絡(luò)接口；r從指定的文件中讀取數(shù)據(jù)包(該文件一般通過(guò)w選項(xiàng)產(chǎn)生)；w將截獲的數(shù)據(jù)包直接寫(xiě)入指定的文件中，不對(duì)其進(jìn)行分析和輸出；T將截獲的數(shù)據(jù)包直接解釋為指定類(lèi)型的報(bào)文，目前支持的類(lèi)型有fp、rpc、rtp、snmp、vat和wb。 使用Tcpdump的命令行選項(xiàng)可以很方便地過(guò)濾出需要的數(shù)據(jù)包。該命令只對(duì)ARP的請(qǐng)求和應(yīng)答信息進(jìn)行截獲，在Tcpdump的輸出信息中，請(qǐng)求是“arp whohas”這樣的條目，而應(yīng)答則是“arp reply”這樣的條目，如圖1所示。 Tcpdump的過(guò)濾表達(dá)式 Tcpdump的過(guò)濾表達(dá)式是一個(gè)正則表達(dá)式，Tcpdump利用其作為過(guò)濾數(shù)據(jù)包的條件。過(guò)濾表達(dá)式的作用就是使Tcpdump只輸出網(wǎng)絡(luò)管理員所需要的數(shù)據(jù)，如一個(gè)指定的網(wǎng)絡(luò)接口和特定主機(jī)間的IP數(shù)據(jù)包。例如，可以用“host ”來(lái)標(biāo)明監(jiān)聽(tīng)的主機(jī)；用“net ”來(lái)標(biāo)明監(jiān)聽(tīng)的網(wǎng)絡(luò)；用“port 23”來(lái)標(biāo)明監(jiān)聽(tīng)的端口。 ◆ 方向關(guān)鍵字 這類(lèi)關(guān)鍵字用于指定截獲的方向，包括dst、src、dst or src、dst and src四個(gè)關(guān)鍵字。如果沒(méi)有在表達(dá)式中指明方向，則缺省的方向?yàn)椤癲st or src”，即兩個(gè)方向的數(shù)據(jù)包都將被捕獲。 ◆ 協(xié)議關(guān)鍵字 這類(lèi)關(guān)鍵字用于指定要截獲的數(shù)據(jù)包所屬的協(xié)議，包括ether、fddi、tr、ip、iparp、rarp、deet、tcp和udp等關(guān)鍵字。實(shí)際上它是ether的別名。其它幾個(gè)關(guān)鍵字只是指定了所要截獲的協(xié)議數(shù)據(jù)包。 除了上述三種類(lèi)型的關(guān)鍵字外，Tcpdump的過(guò)濾表達(dá)式中還可以指定的一些重要關(guān)鍵字包括gateway、broadcast、multicast、less、greater。關(guān)于這些關(guān)鍵字的更多信息和用法請(qǐng)參考Tcpdump的man手冊(cè)。布爾運(yùn)算符包括取非運(yùn)算符(not或!)、與運(yùn)算符(and或amp。)、或運(yùn)算符(or或||)，使用布爾運(yùn)算符可以將表達(dá)式組合起來(lái)構(gòu)成強(qiáng)大的組合條件，從而能夠?qū)cpdump的過(guò)濾器做進(jìn)一步細(xì)化。如果要在命令行中使用括號(hào)，一定要用轉(zhuǎn)義字符(“\”)對(duì)括號(hào)進(jìn)行轉(zhuǎn)義，否則命令行解釋器將給出語(yǔ)法錯(cuò)誤的提示。由于Tcpdump只是一個(gè)命令行方式的嗅探器，因而其輸出結(jié)果不是很直觀，下面以幾種典型的輸出信息為例，介紹如何對(duì)Tcpdump的輸出結(jié)果進(jìn)行分析。 “tiger”是一臺(tái)裝有Linux的主機(jī)，其MAC地址是00:D0:59:BF:DA:06；“mag”是一臺(tái)裝有SCO Unix的工作站，其MAC地址是08:90:B0:2F:AF:46，上述命令的輸出結(jié)果如下： 20:15: eth0 08:90:b0:2f:af:46 00:d0:59:bf:da:06 ip 60: 0:0(0) ack 25565 win 8970 (DF)在輸出的信息中，“20:15:20”為截獲數(shù)據(jù)包的時(shí)間，“735429”是毫秒數(shù)，“eth0 ”表示從網(wǎng)絡(luò)接口eth0接收該數(shù)據(jù)包(若為“eth0 ”，則表示從網(wǎng)絡(luò)接口eth0發(fā)送數(shù)據(jù)包)?！癷p”表明該數(shù)據(jù)包是IP數(shù)據(jù)包，“60”是數(shù)據(jù)包的長(zhǎng)度，“ ”表明該數(shù)據(jù)包是從主機(jī)“mag”的36579端口發(fā)往主機(jī)“tiger”的FTP(21)端口。 2. ARP包的輸出信息 若使用“tcpdump arp c 2”命令截獲ARP數(shù)據(jù)包，得到的輸出結(jié)果可能是： 20:42: eth0 arp whohas mag tell tiger (00:d0:59:bf:da:06)20:42: eth0 arp reply mag isat 08:90:b0:2f:af:46 (00:d0:59:bf:da:06)在輸出的信息中，
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1