linux运维一天一个shell命令之tcpdump详解

一、tcpdump 的概念

tcpdump 是一个数据包捕获工具，能够拦截和显示通过网络接口的数据包。它可以实时捕获数据包，也可以将捕获的数据保存到文件中以便后续分析。tcpdump 支持基于多种条件（如 IP 地址、端口号、协议等）来捕获特定的数据包。

二、主要功能和特点

1.数据包捕获：

tcpdump 可以捕获通过指定网络接口的数据包，这些数据包包括以太网帧、IP 数据包、TCP/UDP 数据包等。

2.实时分析：

捕获的数据包可以实时显示在终端，供用户即时分析。

3.过滤功能：

tcpdump 使用 Berkeley Packet Filter (BPF) 语法，允许用户指定复杂的过滤条件，仅捕获感兴趣的数据包。

4.数据包存储：

捕获的数据包可以保存到文件中（如 .pcap 文件），可以使用 tcpdump 或其他网络分析工具（如 Wireshark）进行离线分析。

5.协议支持：

tcpdump 支持多种协议，包括但不限于 Ethernet、IP、TCP、UDP、ICMP、ARP 等。

三、衍生概念：数据包

1.什么是数据包：

数据包（Data Packet）是网络通信中的一个基本单位。在计算机网络中，数据包是用于传输数据的结构化单元，它通常包含了发送方和接收方的信息、数据内容以及用于控制和校验的数据。在不同的网络层中，数据包的结构和术语可能有所不同，但其核心概念是相似的。

2.数据包的组成：

• 头部（Header）：
  头部包含控制信息和元数据，用于确保数据包能够正确到达目标地址。例如，在IP数据包中，头部包括源地址、目标地址、协议类型、长度、校验和等信息。

• 有效载荷（Payload）：
  有效载荷是数据包中实际传输的数据内容。例如，在HTTP请求中，有效载荷可能是请求的网页内容。

• 尾部（Footer，也称Trailer）
  有时数据包的末尾还会包含一些用于校验的额外信息，如帧校验序列（Frame Check Sequence, FCS），用于检测数据传输过程中是否发生了错误。

3.数据包在不同网络层中的表现

• 物理层：
  数据以比特或电信号的形式传输，通过物理介质（如电缆、光纤、无线电波）传播。

• 数据链路层：
  数据包在这一层表现为帧（Frame），例如以太网帧。头部一般包含源和目的MAC地址以及帧类型等信息。

• 网络层：
  在这一层，数据包被称为数据报（Datagram），例如IP数据报。头部信息包括源和目的IP地址、数据包长度、分片信息等。

• 传输层：
  数据包在这一层被称为段（Segment）或数据报（Datagram），分别用于TCP和UDP协议。头部信息包括源和目的端口号、序列号、确认号、校验和等。

• 应用层：
  数据包在这一层通常为应用数据单元（Application Data Unit），例如HTTP请求或响应。

4.数据包的传输过程

• 封装：
  数据在应用层生成，逐层向下传递，每一层都会添加相应的头部信息，形成数据包。

• 传输：
  数据包通过物理介质传输，经过网络设备（如路由器、交换机）时，可能会被转发、路由或过滤。

• 解封装：
  数据包到达目标地址后，逐层向上传递，每一层都会剥离相应的头部信息，还原为原始数据。

5.数据包的示例

• 应用层：HTTP GET 请求

GET /index.html HTTP/1.1     ##请求方法  uri  协议版本
Host: www.example.com        ##指定请求的目标主机和端口，通常是域名

• 传输层（TCP段）

TCP Header:   ##TCP 头部包含了控制和管理 TCP 连接的信息，它位于 IP 数据包的负载部分
- Source Port: 12345         ##源端口号，标识发送数据包的应用程序端口
- Destination Port: 80       ##目的端口号，标识接收数据包的应用程序端口
- Sequence Number: 1         ##序列号，用于标识数据包的顺序，确保数据可以按序重组。对于第一个数据包，通常是一个初始序列号（ISN）
- Ack Number: 1              ##确认号，用于确认收到的数据包的序列号。只有在 ACK 标志设置时，此字段才有效。
- Flags: SYN, ACK            ##用于控制 TCP 连接的状态和数据传输，一共有9个
- Window Size: 4096          ##用于流量控制，指示接收方可接受的最大数据量（以字节为单位）。
- Checksum: 0x1A2B           ##校验和，用于校验数据包在传输过程中是否损坏，包括头部和数据的校验

Payload: HTTP GET Request     ##在 TCP 数据包中传输的实际应用数据。此处是一个http请求

##补充：
Flags 标志位

URG（紧急指针有效）：指示紧急指针字段有效。
ACK（确认号有效）：指示确认号字段有效。
PSH（推送）：指示接收方应用程序应立即处理该数据包。
RST（重置）：用于重置连接。
SYN（同步）：用于建立连接。
FIN（结束）：用于关闭连接。
ECE（ECN-Echo）：用于显式拥塞通知（ECN）。
CWR（Congestion Window Reduced）：用于显式通知已减少的拥塞窗口。
NS（Nonce Sum）：用于增强的安全性。

• 网络层（IP数据报）：

IP Header:      ##IP头部是 IP 数据包的第一个部分，包含用于路由和传送数据的控制信息。IPv4 和 IPv6 是两种常见的 IP 协议版本
- Version: 4     ##版本（Version），IP 协议的版本号，对于 IPv4，该值为 4
- Header Length: 20 bytes  ##头部长度，IP 头部的长度，以 32 位字（4 字节）为单位。最小值为 5（即 20 字节），最大值为 15（即 60 字节）
- Total Length: 60 bytes     ##总长度，整个 IP 数据包的长度，包括头部和数据，以字节为单位。
- Time to Live: 5  ##指定数据包在网络中的最大生存时间。每经过一个路由器，该值会减少 1。当 TTL 值减到 0 时，数据包会被丢弃，而不会继续在网络中传输。
- Protocol: TCP      ## 协议，承载的上层协议，如 TCP（值为 6）或 UDP（值为 17）
- Source Address: 192.xx.xx.xx  ##源IP 地址，发送数据包的源 IP 地址
- Destination Address: 95.xx.xx.xx   ##目的 IP 地址,接收数据包的目的 IP 地址

Payload: TCP Segment  ##发送方将大块数据分段为适合传输的小块，每一块成为一个 TCP 段

• 数据链路层（以太网帧）

Ethernet Header:   ##
- Destination MAC: 00:11:22:33:44:55  ##目标MAC地址,帧的接收方MAC地址
- Source MAC: 66:77:88:99:AA:BB   ##源MAC地址,帧的发送方MAC地址
- EtherType/Length: 0x0800    ##类型字段,如果值大于等于 0x0600（1536），表示帧的类型(0x0800 表示 IPv4 | 0x0806 表示 ARP  | 0x86DD 表示 IPv6;如果值小于 0x0600，表示数据字段的长度，这是 IEEE 802.3 帧格式中的用法)

Payload: IP Datagram

6.TCP 段的传输过程

• 连接建立：
  使用三次握手（Three-way Handshake）过程建立 TCP 连接。
  三个步骤：SYN（同步）→ SYN-ACK（同步确认）→ ACK（确认）。

• 数据传输：
  分段：应用层数据被分成多个 TCP 段。
  发送：通过网络将段传输给接收方。
  确认：接收方对每个段发送 ACK 确认。

• 连接终止：
  使用四次挥手（Four-way Handshake）终止 TCP 连接。
  包括四个步骤：FIN（终止）→ ACK（确认）→ FIN（终止）→ ACK（确认）

四、tcpdump的常用选项

1.选项

• 选项

--i <interface>：指定要抓包的网络接口。例如，-i eth0。

-w <file>：将抓取的数据包保存到文件中。例如，-w capture.pcap。

-r <file>：读取并分析保存的抓包文件。例如，-r capture.pcap。

-c <count>：指定捕获的数据包数量。例如，-c 100 只抓取 100 个数据包。

-s <snaplen>：设置捕获数据包的最大字节数。例如，-s 128 只抓取每个数据包的前 128 字节。

-v、-vv、-vvv：增加详细输出的级别。

-A：以 ASCII 格式显示数据包内容。

-X：同时以十六进制和 ASCII 格式显示数据包内容。

-n：不将地址解析为主机名（禁用 DNS 解析）。

-nn：不将端口号解析为服务名。

-tttt：打印时间戳详细格式。

• 表达式
  表达式用于过滤数据包，以便只捕获所关心的数据包类型。表达式可以包括一个或多个条件，条件可以使用逻辑运算符进行组合。

host <host>：过滤与指定主机相关的流量。例如，host 192.168.1.1。

net <network>：过滤与指定网络相关的流量。例如，net 192.168.1.0/24。

port <port>：过滤与指定端口相关的流量。例如，port 80。

tcp、udp、icmp：过滤指定协议的流量。

src、dst：过滤源或目标。例如，src 192.168.1.1 或 dst 192.168.1.1。

逻辑运算符：可以使用 and、or 和 not 来组合条件。例如，tcp and port 80。

3.tcpdump的基本用法：

• 指定网络接口：

tcpdump -i <interface>

#捕获 eth0 接口的数据包
tcpdump -i eth0

• 捕获数量：

tcpdump -c <count>

#捕获 10 个数据包：
tcpdump -c 10

• 保存到文件：

tcpdump -w <filename>

#将捕获的数据包保存到 capture.pcap 文件：
tcpdump -w capture.pcap

• 从文件读取：

tcpdump -r <filename>

#从 capture.pcap 文件读取数据包：
tcpdump -r capture.pcap

• 过滤表达式：

tcpdump <expression>

#捕获来自特定 IP 地址的数据包：
tcpdump src xx.xx.xx.xx

• 详细输出：

tcpdump -v      # 提供详细信息

tcpdump -vv     # 提供更详细的信息

tcpdump -vvv    # 提供最详细的信息

4.tcpdump的高级用法

1）逻辑操作符（AND、OR、NOT）

• 捕获源地址为 xx.xx.xx.xx 且目标端口为 80 的数据包：

tcpdump src xx.xx.xx.xx and dst port 80
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bond0, link-type EN10MB (Ethernet), capture size 262144 bytes
20:21:16.112245 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [S], seq 2552390436, win 62780, options [mss 1460,nop,nop,sackOK,nop,wscale 11], length 0
20:21:16.114159 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 1323695319, win 31, length 0
20:21:16.114193 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [P.], seq 0:75, ack 1, win 31, length 75: HTTP: GET / HTTP/1.1
20:21:16.116243 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 2921, win 31, length 0
20:21:16.116259 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 7301, win 29, length 0
20:21:16.116281 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 10221, win 30, length 0
20:21:16.116284 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 11572, win 30, length 0
20:21:16.121233 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [F.], seq 75, ack 11572, win 31, length 0
20:21:16.123125 IP 10.xx.xx.xx.30346 > ubuntu-8-xx.http: Flags [.], ack 11573, win 31, length 0

• 捕获源地址为 xx.xx.xx.xx 或目标端口为 8080 的数据包：

tcpdump src xx.xx.xx.xx or dst port 8080

• 捕获所有非 udp 的数据包：

tcpdump not udp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
20:16:59.986437 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 1527365653:1527365841, ack 3439942592, win 31, length 188
20:16:59.986764 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 188:368, ack 1, win 31, length 180
20:16:59.986815 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 368:524, ack 1, win 31, length 156
20:16:59.986848 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 524:680, ack 1, win 31, length 156
20:16:59.986876 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 680:836, ack 1, win 31, length 156
20:16:59.986902 IP www.test01.com.ssh > seg-admin-xx-xx.17140: Flags [P.], seq 836:992, ack 1, win 31, length 156

2）协议类型和端口范围

• 捕获所有 TCP 和 UDP 数据包：

tcpdump tcp or udp

• 捕获目标端口在 100 到 500 之间的数据包：

tcpdump dst portrange 100-500

3）特定网络和子网

• 捕获源地址在 10.10.0.1/24 子网中的数据包

tcpdump src net 10.10.0.1/24

4）数据包长度限制

• 捕获前 100 字节的数据包，以使用 -s（snaplen）选项来限制捕获的数据包的最大长度，这有助于减少捕获文件的大小

tcpdump -s 100

五、tcpdump示例和解析

1.抓取指定主机到指定网口的tcp包

1）命令和输出

oot@xxx:~# tcpdump -i eth0 tcp and host  10.xx.xx.xx
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
21:46:22.748962 IP www.test01.com.57036 > ubuntu-8-136.8140: Flags [S], seq 303897082, win 62780, options [mss 1460,nop,nop,sackOK,nop,wscale 11], length 0
21:46:22.751006 IP ubuntu-8-136.8140 > www.test01.com.57036: Flags [S.], seq 1574485005, ack 303897083, win 29200, options [mss 1460,nop,nop,sackOK,nop,wscale 7], length 0
21:46:22.751121 IP www.test01.com.57036 > ubuntu-8-136.8140: Flags [.], ack 1, win 31, length 0
21:46:22.751736 IP www.test01.com.57036 > ubuntu-8-136.8140: Flags [P.], seq 1:225, ack 1, win 31, length 224
21:46:22.753667 IP ubuntu-8-136.8140 > www.test01.com.57036: Flags [F.], seq 1:189, ack 225, win 237, length 188
21:46:22.753778 IP www.test01.com.57036 > ubuntu-8-136.8140: Flags [R.], seq 225, ack 190, win 31, length 0
21:46:26.879108 IP ubuntu-8-136.50216 > www.test01.com.microsoft-ds: Flags [S], seq 1927937680, win 29200, options [mss 1460,sackOK,TS val 471337684 ecr 0,nop,wscale 7], length 0
21:46:26.879165 IP www.test01.com.microsoft-ds > ubuntu-8-136.50216: Flags [S.], seq 3316735515, ack 1927937681, win 62780, options [mss 1460,nop,nop,sackOK,nop,wscale 11], length 0
21:46:26.880957 IP ubuntu-8-136.50216 > www.test01.com.microsoft-ds: Flags [.], ack 1, win 229, length 0
21:46:30.052234 IP ubuntu-8-136.50216 > www.test01.com.microsoft-ds: Flags [P.], seq 1:7, ack 1, win 229, length 6
21:46:30.052265 IP www.test01.com.microsoft-ds > ubuntu-8-136.50216: Flags [.], ack 7, win 31, length 0
21:46:31.771616 IP ubuntu-8-136.50216 > www.test01.com.microsoft-ds: Flags [F.], seq 7, ack 1, win 229, length 0
21:46:31.777194 IP www.test01.com.microsoft-ds > ubuntu-8-136.50216: Flags [F.], seq 1, ack 8, win 31, length 0
21:46:31.779066 IP ubuntu-8-136.50216 > www.test01.com.microsoft-ds: Flags [.], ack 2, win 229, length 0

### 2）主要字段解释
- 时间戳：
```bash
21:46:22.748962：每行的开头是时间戳，表示捕获的数据包的时间

• 协议类型：

IP：协议类型，显示数据包使用的协议（其他常见的协议类型包括 IP、 ARP、ICMP 等）。

• 源地址和目标地址：

www.test01.com.57036 表示源 主机名或ip 和源端口（57036）
ubuntu-8-136.8140 表示源 主机名或ip 和目标端口（8140）

• TCP 标志位：

Flags [S]  ##表示这是一个 SYN 包（用于连接请求）。
Flags [S.]  ##表示 SYN-ACK 包（表示确认连接请求）。
Flags [.]  ## 表示 ACK 包（表示确认已收到数据）。

###
SYN（同步，Synchronize）
标志位：S
用于初始化连接，标志这是一个连接请求。通常在三次握手的第一个数据包中设置。
如果一个数据包的 SYN 标志被设置，那么它也很可能会携带一个初始序列号。

ACK（确认，Acknowledgment）
标志位：A
表示确认前一个包已经接收，包含确认号。这个标志在三次握手的第一个数据包之后的所有数据包中都会设置。

FIN（终止，Finish）
标志位：F
用于释放连接，表示发送方已经完成发送数据。通常在四次挥手中的第一个和第三个数据包中设置。

RST（重置，Reset）
标志位：R
表示连接出现错误，需要立即终止。重置连接时设置这个标志，通常用于异常或错误的情况下。

PSH（推送，Push）
标志位：P
表示数据应该立即发送给应用程序，而不是在缓冲区中等待。它告知接收方接收数据后立即处理。

URG（紧急，Urgent）
标志位：U
表示数据包含紧急指针，紧急数据应该优先处理。紧急指针字段指出要优先处理的数据偏移量。

ECE（ECN-Echo，显式拥塞通知回显）
标志位：E
用于支持显式拥塞通知（ECN）。当接收到带有 CE 标志的数据包时，接收方在发送的确认包中设置 ECE 标志。

CWR（Congestion Window Reduced，拥塞窗口减少）
标志位：C
发送方在收到带有 ECE 标志的确认包后，发送带有 CWR 标志的包，表示它已经降低了发送速率以应对拥塞。

• 序列号：

seq 1574485005  ##表示序列号
ack 303897083   ##表示确认号

• 窗口大小：

win 31  ##TCP  窗口大小。

• 选项

options [mss 1460,nop,nop,sackOK,nop,wscale 11]   ##TCP 选项，包括最大段大小（MSS）、.nop 选项用于填充，使得TCP选项部分的长度对齐到4字节边界,nop 是 No Operation 的缩写，表示不执行任何操作，只是一个占位符、选择性确认（SACK）、时间戳（TS）和窗口缩放（wscale）

• 数据长度：

length 188：数据包数据部分的长度（字节）。