第五天4sangfor新員工必備知識點tcpdump

Tcpdump培訓(xùn)Tcpdump培訓(xùn)提綱1、tcpdump簡介2、tcpdump命令格式及常用參數(shù)介紹

3、實例分析4、各產(chǎn)品tcpdump使用方法1、tcpdump簡介1.1、定義：tcpdump是linux系統(tǒng)下強大的數(shù)據(jù)包分析工具，通過將網(wǎng)口設(shè)置為混雜模式來截取經(jīng)過網(wǎng)口的每一個分組進行分析，（作用類似windows

平臺下windump、sniffer、ethereal等抓包工具）。1、tcpdump簡介1.2、應(yīng)用環(huán)境：Tcpdump是linux下數(shù)據(jù)包分析工具，我們一般用于判斷數(shù)據(jù)是否經(jīng)過設(shè)備，內(nèi)網(wǎng)是否有arp欺騙，分析數(shù)據(jù)走向，分析tcp連接建立狀態(tài)，分析端口映射數(shù)據(jù)走向及分析應(yīng)用層協(xié)議等內(nèi)容。2、tcpdump命令格式及常用參數(shù)介紹2.1、tcpdump命令格式2.2、tcpdump常用參數(shù)

2.3、tcpdump表達式

2.4、tcpdump輸出2.1、tcpdump命令格式tcpdump

[-adeflnNOpqStvx][-c

數(shù)量][-F文件名][-i

網(wǎng)絡(luò)接口][-r

文件名][-s

naplen][-T

類型][-w

文件名][表達式]Tcpdump+參數(shù)+表達式2.2、tcpdump常用參數(shù)-i

指定監(jiān)聽的網(wǎng)絡(luò)接口；-e

在輸出行打印出數(shù)據(jù)鏈路層的頭部信息；-c

截取指定數(shù)目的數(shù)據(jù)包；-n

不把網(wǎng)絡(luò)地址轉(zhuǎn)換成名字；-nn

不把端口和網(wǎng)絡(luò)地址轉(zhuǎn)換成名稱;-x

將截取的數(shù)據(jù)包內(nèi)容以十六進制打印出來；-X

將截取的數(shù)據(jù)包內(nèi)容以ASCII文本形式打印出來；-s

截取指定大小的數(shù)據(jù)包，s0表示完整數(shù)據(jù)包；-w

將抓包內(nèi)容保存到指定到文件,并不打印出來;-a

將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字；-t

在輸出的每一行不打印時間戳；-v

輸出一個稍微詳細的信息，如在ip包中包括ttl和服務(wù)類型的信息；-vv

輸出詳細的報文信息；-F

從指定的文件中讀取表達式,忽略其它的表達式；-r

從指定的文件中讀取包(這些包一般通過-w選項產(chǎn)生)；2.2、tcpdump常用參數(shù)(續(xù))-i

指定監(jiān)聽的網(wǎng)絡(luò)接口在wan1口監(jiān)聽08的數(shù)據(jù)包，如果AC以網(wǎng)橋模式部署，可以指定br0接口：tcpdump–i

br0-e

在輸出行打印出數(shù)據(jù)鏈路層的頭部信息2.2、tcpdump常用參數(shù)(續(xù))數(shù)據(jù)鏈路層頭部信息，源mac和目的mac2.2、tcpdump常用參數(shù)(續(xù))-c

截取指定數(shù)目的數(shù)據(jù)包如上圖所示，在wan1口截取5個數(shù)據(jù)包-n

不把網(wǎng)絡(luò)地址轉(zhuǎn)換成名字2.2、tcpdump常用參數(shù)(續(xù))2.2、tcpdump常用參數(shù)(續(xù))-nn

不進行端口和網(wǎng)絡(luò)名稱轉(zhuǎn)換-x

將截取的數(shù)據(jù)包內(nèi)容以十六進制打印出來2.2、tcpdump常用參數(shù)(續(xù))以十六進制顯示數(shù)據(jù)包內(nèi)容2.2、tcpdump常用參數(shù)(續(xù))-X

將截取的數(shù)據(jù)包內(nèi)容以ASCII文本形式打印出來2.2、tcpdump常用參數(shù)(續(xù))-s

截取指定大小的數(shù)據(jù)包。截取數(shù)據(jù)包缺省大小為96bytes,為了分析數(shù)據(jù)包內(nèi)容，

可以通過-s參數(shù)改變截取數(shù)據(jù)包大小，s0為完整數(shù)據(jù)包。2.2、tcpdump常用參數(shù)(續(xù))-w

將抓包內(nèi)容保存到指定到文件可以將抓包文件輸出為pcap文件，然后取下來用ethereal等抓包軟件打開分析2.3、tcpdump表達式tcpdump利用表達式作為報文的過濾條件，表達式有如下三種類型關(guān)鍵字和邏輯運算符組成：2.3.1、關(guān)于類型的關(guān)鍵字，主要包括host，net，port,例如host

。如果沒有指定類型，缺省的類型是host

。如上圖，在lan口截取含有主機5的數(shù)據(jù)包。2.3.2、傳輸方向的關(guān)鍵字，主要包括src,dst

,dst

orsrc,

dstand

src,這些關(guān)鍵字指明傳輸方向，缺省是srcor

dst關(guān)鍵字。如上圖所示，在lan口截取發(fā)往目的主機為5的數(shù)據(jù)包。2.3.3、協(xié)議的關(guān)鍵字，主要包括fddi,ip

,arp,rarp,tcp,udpicmp，802.1Q等，缺省監(jiān)聽所有協(xié)議的數(shù)據(jù)包。如上圖所示在lan口截取arp廣播數(shù)據(jù)包2.3.4、邏輯運算主要有三種邏輯運算符取非運算是‘not’‘!’,與運算是‘a(chǎn)nd’,‘&&’;或運算是

‘or’,‘||‘。如圖所示，在lan口截取含有主機地址為08的icmp包。2.4、tcpdump基本輸出時間戳源和目標(biāo)mac源IP，源端口和目標(biāo)IP和端口以十六進制和ASCII的形式打印出數(shù)據(jù)包內(nèi)容Tcpdump可以截取的數(shù)據(jù)包輸出到*.pcap文件，用抓包工具進行分析，詳見2.23、實例分析3.1、tcpdump分析tcp連接建立與終止3.2、tcpdump分析ftp工作模式（port

&

pass）3.3、tcpdump分析端口映射3.4、tcpdump分析arp欺騙3.5、tcpdump分析其它協(xié)議（udp，icmp及802.1Q）3.1、tcpdump分析tcp連接建立與終止3.1.1、Tcpdump六個標(biāo)志位標(biāo)志縮寫描述SSYN同步包FFIN發(fā)送方完成數(shù)據(jù)發(fā)送RRST復(fù)位連接PPSH盡可能快地將數(shù)據(jù)送往接收進程ACKURGACKURG應(yīng)答syn包緊急標(biāo)志.S、F、R、P均置1時顯示通過標(biāo)志能夠反應(yīng)tcpdump連接狀態(tài)3.1.2、tcp連接的建立與終止Tcp連接建立三次握手過程上圖為正常建立tcp連接三次握手過程，僅包含tcp報文首部，10:16:13.943837為時間戳；08.3698>5.80為源IP，目標(biāo)IP，源端口和目標(biāo)端口；S2561469441:2561469441(0)說明該包為同步包；win

65535發(fā)

送方通告的窗口大??；mss

1460發(fā)送端指明的最大報文段長度；（DF）不需要分片。Tcp連接建立3.1.2、tcp連接的建立與終止（續(xù)）如上圖，從電腦上telnet主機59999這個沒有開放的端口，由于服務(wù)器沒有開放此服務(wù)，返回RST包復(fù)位連接，三次握手不成功，tcp連接建立不起來。Tcp連接建立3.1.2、tcp連接的建立與終止（續(xù)）終止一個tcp連接需要四次握手，因tcp連接是全雙工的，需要在每個方向單獨關(guān)閉。Tcp連接終止3.2、tcpdump分析ftp工作模式（port

&

pasv）、主動ftp、被動ftp3.2.1、主動ftp客戶端首先和FTP

Server的TCP

21端口建立連接，通過這個通道發(fā)送交互命令（PORT命令）。隨后ftp

server會以自己的tcp

20端口主動和客戶端建立連接，傳送數(shù)據(jù)。3.2.1、主動ftp（續(xù)）3.2.2、被動ftp客戶端首先和FTPServer的TCP21端口建立連接，通過這個通道發(fā)送PASV命令,隨后FTPserver打開一個位于1024和65535之間的隨機端口,然后

FTP

server

將通過這個端口進行數(shù)據(jù)的傳送。3.2.2、被動ftp(續(xù))3.3、tcpdump分析端口映射(特殊端口映射)、未做snat，只做dnat情況、同時做snat及dnat情況3.3.1、未做snat，只做dnat情況3.2.1、未做snat，只做dnat情況(續(xù))在client的eth0口dump包，如下：3.3.1、未做snat，只做dnat情況(續(xù))在AC

lan口dump包，如下：3.3.1、未做snat，只做dnat情況(續(xù))在Server上dump包，如下：3.3.2、同時做snat及dnat情況3.3.2、同時做snat及dnat情況(續(xù))在client的eth0口dump包，如下：3.3.2、同時做snat及dnat情況(續(xù))在AC

lan口dump包，如下：3.3.2、同時做snat及dnat情況(續(xù))在Server上dump包，如下：3.4、tcpdump分析arp欺騙如上圖所示，arp類型數(shù)據(jù)包輸出，arp請求及應(yīng)應(yīng)答3.4、tcpdump分析arp欺騙（續(xù)）如上圖所示，一臺電腦不停向局域網(wǎng)發(fā)arp廣播包，此電腦可能中了arp病毒。如果一臺電腦因中arp病毒上不了網(wǎng)，可以從設(shè)備

dump數(shù)據(jù)包，對比電腦發(fā)過來的數(shù)據(jù)的mac和電腦的真實mac，如果不一樣，則tcpdump打印出的mac為中arp病毒的電腦。3.5、tcpdump分析其它協(xié)議（udp，icmp及802.1Q）UDP輸出，從左到右依次是時間戳，源IP、源端口，目標(biāo)IP和目標(biāo)端口，len和DFUDP協(xié)議3.5、tcpdump分析其它協(xié)議（續(xù)）ICMP協(xié)議如上圖是發(fā)往主機5的icmp包（ping

包），AC網(wǎng)橋部署時可以同時從lan口和wan口ping網(wǎng)橋IP判斷設(shè)備是否接反線。3.5、tcpdump分析其它協(xié)議（續(xù)）802.1Q如上圖所示，tcpdump截取vlan數(shù)據(jù)時，需要加“vlan”,如tcpdumpvlan，通過此命令可以判斷經(jīng)過設(shè)備的數(shù)據(jù)是否被vlan封裝。4、各產(chǎn)品tcpdump使用方法全系列大硬件設(shè)備均支持pshell接入管理。AC、WANACC和SC中心端，默認(rèn)開放pshell接入;其它大硬件（ssl4.0以下）需要打上相應(yīng)的文件才可以接入；Ss