TcpDump安装设置

TcpDump的介绍

一、网络数据采集分析工具TcpDump的简介
   顾名思义，TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或
   端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提
   供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的
   FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它
   来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威
   胁。我们用尽量简单的话来定义tcpdump，就是：dump the traffice on a network.，根据使用者的定义对网络上的数据包
   进行截获的包分析工具。作为互联网上经典的的系统管理员必备工具，tcpdump以其强大的功能，灵活的截取策略，成为每
   个高级的系统管理员分析网络，排查问题等所必备的东西之一。tcpdump提供了源代码，公开了接口，因此具备很强的可扩
   展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混
   杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工
   具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。

二、TcpDump的安装
1、freebsd下系统自带
2、linux下的安装
   1)、rpm包的形式安装：
       #rpm -ivh tcpdump-3_4a5.rpm
       这样tcpdump就顺利地安装到你的linux系统中
   2)、源程序的安装：
       第一步 取得源程序 在源程序的安装方式中，我们首先要取得tcpdump的源程序分发包，这种分发包有两种形式，一种是
       tar压缩包(tcpdump-3_4a5.tar.Z),另一种是rpm的分发包(tcpdump-3_4a5.src.rpm)。这两种形式的内容都是一样的，不
       同的仅仅是压缩的方式.tar的压缩包可以使用如下命令解开：
       #tar xvfz tcpdump-3_4a5.tar.Z
       rpm的包可以使用如下命令安装:
       #rpm -ivh tcpdump-3_4a5.src.rpm
       这样就把tcpdump的源代码解压到/usr/src/redhat/SOURCES目录下.

       第二步 做好编译源程序前的准备活动
       在编译源程序之前，最好已经确定库文件libpcap已经安装完毕，这个库文件是tcpdump软件所需的库文件。同样，你同
       时还要有一个标准的c语言编译器。在linux下标准的c 语言编译器一般是gcc。 在tcpdump的源程序目录中。有一个文件是
       Makefile.in，configure命令就是从Makefile.in文件中自动产生Makefile文件。在Makefile.in文件中，可以根据系统的配
       置来修改BINDEST 和 MANDEST 这两个宏定义，缺省值是
       BINDEST = @sbindir@
       MANDEST = @mandir@
       第一个宏值表明安装tcpdump的二进制文件的路径名，第二个表明tcpdump的man 帮助页的路径名,你可以修改它们来满足
       系统的需求。

       第三步 编译源程序
       使用源程序目录中的configure脚本，它从系统中读出各种所需的属性。并且根据Makefile.in文件自动生成Makefile文件，
       以便编译使用.make命令则根据Makefile文件中的规则编译tcpdump的源程序。使用make install命令安装编译好的tcpdump
       的二进制文件。

       总结一下就是:
       # tar xvfz tcpdump-3_4a5.tar.Z
       # vi Makefile.in
       # . /configure
       # make
       # make install

三、TcpDump的使用
   普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包。
   # tcpdump
   tcpdump: listening on rl0
   22:41:29.128778 10.5.1.155.ssh > 10.5.3.105.41685: P 331248169:331248233(64) ack 4205716752 win 57920 <nop,\
   nop,timestamp 166117 2765331> (DF) [tos 0x10]
   22:41:29.128938 10.5.3.105.41685 > 10.5.1.155.ssh: . ack 64 win 7176 <nop,nop,timestamp 2765332 166117> (DF)\
   [tos 0x10]
   22:41:29.616392 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:29.616486 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:30.118632 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:30.118756 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:30.120329 10.5.1.155.ssh > 10.5.3.105.41685: P 64:256(192) ack 1 win 57920 <nop,nop,timestamp 166217 \
   2765332> (DF) [tos 0x10]
   22:41:30.120544 10.5.3.105.41685 > 10.5.1.155.ssh: . ack 256 win 7176 <nop,nop,timestamp 2765580 166217> (DF)\
   [tos 0x10]
   22:41:30.120661 10.5.1.155.ssh > 10.5.3.105.41685: P 256:704(448) ack 1 win 57920 <nop,nop,timestamp 166217 \
   2765580> (DF) [tos 0x10]
   22:41:30.120932 10.5.3.105.41685 > 10.5.1.155.ssh: . ack 704 win 7864 <nop,nop,timestamp 2765580 166217> (DF) [tos 0x10]
   22:41:30.691840 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:30.691935 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:31.119863 10.5.1.155.ssh > 10.5.3.105.41685: P 704:880(176) ack 1 win 57920 <nop,nop,timestamp 166317 \
   2765580> (DF) [tos 0x10]
   22:41:31.120003 10.5.1.155.ssh > 10.5.3.105.41685: P 880:1440(560) ack 1 win 57920 <nop,nop,timestamp 166317 \
   2765580> (DF) [tos 0x10]
   22:41:31.120065 10.5.3.105.41685 > 10.5.1.155.ssh: . ack 880 win 8552 <nop,nop,timestamp 2765830 166317> (DF) \
   [tos 0x10]
   22:41:31.120309 10.5.3.105.41685 > 10.5.1.155.ssh: . ack 1440 win 8552 <nop,nop,timestamp 2765830 166317> (DF) \
   [tos 0x10]
   22:41:31.198625 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:31.198752 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:31.766946 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   22:41:31.767040 10.5.1.72.45564 > 228.123.123.4.45564: udp 36 [ttl 1]
   基本上tcpdump总的的输出格式为：系统时间 ID号 来源主机.端口 > 目标主机.端口 数据包参数

   如果在网卡使用混杂模式 系统的日志将会记录
   (TEST-WEB1)-root-finance [/var/log]#tail dmesg.today
   rl0: promiscuous mode disabled
   rl0: promiscuous mode enabled

四、tcpdump参数的使用
   -a:将网络地址和广播地址转变成名字；
   -d:将匹配信息包的代码以人们能够理解的汇编格式给出；
   -dd:将匹配信息包的代码以c语言程序段的格式给出；
   -ddd:将匹配信息包的代码以十进制的形式给出；
   -e:在输出行打印出数据链路层的头部信息；
   -f:将外部的Internet地址以数字的形式打印出来；
   -l:使标准输出变为缓冲行形式；
   -n:不把网络地址转换成名字；
   -t:在输出的每一行不打印时间戳；
   -v:输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
   -vv:输出详细的报文信息；
   -c:在收到指定的包的数目后，tcpdump就会停止；
   -F:从指定的文件中读取表达式,忽略其它的表达式；
   -i:指定监听的网络接口，这在计算机具有多个网络界面时非常有用；
   -r:从指定的文件中读取包(这些包一般通过-w选项产生)；
   -w:直接将包写入文件中，并不分析和打印出来；
   -T:将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程 调用）和snmp（简单网络管理协议）
   -s:从每个报文中截取snaplen字节的数据,而不是缺省的68(如果是SunOS的NIT,最小值是96).68个字节适用于IP,ICMP,
      TCP和UDP,但是有可能截掉名字服务器和NFS报文的协议信息(见下面).输出时如果指定``[|proto]'', tcpdump可以
      指出那些捕捉量过小的数据报,这里的proto是截断发生处的协议层名称.注意,采用更大的捕捉范围既增加了处理报
      文的时间,又相应的减少了报文的缓冲数量,可能导致报文的丢失。你应该把snaplen设的尽量小,只要能够容纳你需
      要的协议信息就可以了.
   -S:显示绝对的,而不是相对的TCP序列号

五、TcpDump的运用
1、tcpdump采用命令行方式，它的命令格式为：
　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]
　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]
2、tcpdump的表达式介绍
   表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被
   捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。
　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，
   指明 210.27.48.2是一台主机，net 202.0.0.0 指明202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定
   类型，缺省的类型是host.

　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例
   说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果
   没有指明方向关键字，则缺省是src or dst关键字。

　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的
   特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether
   的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有
   协议的信息包。

　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算
   是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'||'；

3、实验
   (1)想要截获所有10.0.153.39 的主机收到的和发出的所有的数据包：
　　 　#tcpdump host 10.0.153.39
      (TEST-DNS)-root-financedns[/home/livedoorcn]#tcpdump host 10.0.153.39
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on vr0, link-type EN10MB (Ethernet), capture size 96 bytes
      14:38:15.144062 IP finance.livedoor.com.ssh > 10.5.3.105.56745: P 1344499225:1344499417(192) a ck 3235758685\
      win 33304 <nop,nop,timestamp 122656151 5735954>
      14:38:15.146504 IP 10.5.3.105.56745 > finance.livedoor.com.ssh: . ack 192 win 16022 <nop,nop,t imestamp \
      5735977 122656151>
      14:38:16.080527 IP finance.livedoor.com.ssh > 10.5.3.105.56745: P 192:512(320) ack 1 win 33304  <nop,nop,\
      timestamp 122656244 5735977>
      14:38:16.085164 IP 10.5.3.105.56745 > finance.livedoor.com.ssh: . ack 512 win 16022 <nop,nop,t imestamp \
      5736212 122656244>
      (TEST-DNS)-root-financedns[/home/livedoorcn]#ping finance.livedoor.com
      PING finance.livedoor.com (10.0.153.39): 56 data bytes
      64 bytes from 10.0.153.39: icmp_seq=0 ttl=64 time=0.371 ms
      64 bytes from 10.0.153.39: icmp_seq=1 ttl=64 time=0.235 ms

   (2)想要截获主机10.0.153.39 和主机10.0.153.132 或10.0.153.38的通信，使用命令：
　　　#tcpdump host 10.0.153.39 and \( 10.0.153.132 or 10.0.153.38 \)
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump host 10.0.153.39 and \(10.0.153.132 or 10.0.153.38\)
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      17:33:28.513664 IP 10.0.153.132.49166 > finance.livedoor.com.ssh: P 3076047815:3076047863(48) ack 191506560 \
      win 33304 <nop,nop,timestamp 172221611 123331385>
      17:33:28.513974 IP finance.livedoor.com.ssh > 10.0.153.132.49166: P 1:65(64) ack 48 win 33304 <nop,nop,\
      timestamp 123344768 172221611>
      17:33:28.607536 IP 10.0.153.132.49166 > finance.livedoor.com.ssh: . ack 65 win 33304 <nop,nop,timestamp \
      172221621 123344768>
      17:33:31.137588 IP 10.0.153.132.49166 > finance.livedoor.com.ssh: P 48:96(48) ack 65 win 33304 <nop,nop,\
      timestamp 172221874 123344768>
      17:33:31.137860 IP finance.livedoor.com.ssh > 10.0.153.132.49166: P 65:113(48) ack 96 win 33304 <nop,nop,\
      timestamp 123345030 172221874>
      17:33:31.237584 IP 10.0.153.132.49166 > finance.livedoor.com.ssh: . ack 113 win 33304 <nop,nop,timestamp \
      172221884 123345030>

   (3)如果想要获取主机10.0.153.39除了和主机10.0.153.132、10.5.3.105之外所有主机通信的ip包，使用命令：
      #tcpdump ip host 10.0.153.39 and ! 10.0.153.132  and ! 10.5.3.105
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump ip host 10.0.153.39 and ! 10.0.153.132  and ! 10.5.3.105
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      17:36:32.715052 IP test.livedoor.com.64443 > finance.livedoor.com.http: S 1989359758:19893 59758(0) win \
      65535 <mss 1460,nop,nop,sackOK,nop,wscale 1,nop,nop,timestamp 112342868 0>
      17:36:32.715103 IP finance.livedoor.com.http > test.livedoor.com.64443: S 4236357745:42363 57745(0) ack \
      1989359759 win 65535 <mss 1460,nop,wscale 1,nop,nop,timestamp 123363188 11234 2868,nop,nop,sackOK>
      17:36:32.715211 IP test.livedoor.com.64443 > finance.livedoor.com.http: . ack 1 win 33304 <nop,nop,timestamp\
      112342868 123363188>
      17:36:32.715558 IP test.livedoor.com.64443 > finance.livedoor.com.http: P 1:849(848) ack 1  win 33304\
      <nop,nop,timestamp 112342868 123363188>
      17:36:32.727829 IP finance.livedoor.com.http > test.livedoor.com.64443: . 1:1449(1448) ack  849 win 33304\
      <nop,nop,timestamp 123363189 112342868>
      17:36:32.727854 IP finance.livedoor.com.http > test.livedoor.com.64443: . 1449:2897(1448) ack 849 win 33304\
      <nop,nop,timestamp 123363189 112342868>
      17:36:32.728419 IP test.livedoor.com.64443 > finance.livedoor.com.http: . ack 2897 win 325 80 <nop,nop,\
      timestamp 112342869 123363189>

   (4)ARP包的TCPDUMP输出信息使用命令
      #tcpdump arp
      TEST-squid]# tcpdump arp
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on vr0, link-type EN10MB (Ethernet), capture size 96 bytes
      20:08:24.396325 arp who-has test.livedoor.com tell finance.livedoor.com
      20:08:24.396341 arp reply test.livedoor.com is-at 00:0d:61:cc:4d:df

      分析: 220:08:24是时间戳, 396325是ID号,  arp表明是ARP请求包, who-has test.livedoor.com tell finance.\
      livedoor.com表明是主机finance.livedoor.com请求主机test.livedoor.com的MAC地址。 00:0d:61:cc:4d:df是主机ICE的MAC地址

   (5)过滤指定的接口数据
      #tcpdump -i vr1
      (TEST-DNS)-root-financedns[/home/livedoorcn]#tcpdump -i vr1
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on vr1, link-type EN10MB (Ethernet), capture size 96 bytes
      19:19:24.434700 IP 10.4.6.40.ssh > 10.5.3.105.37863: P 923576730:923576922(192) ack 365011995 win 33304\                <nop,nop,timestamp 113322709 9953197>
      19:19:24.437520 IP 10.5.3.105.37863 > 10.4.6.40.ssh: . ack 192 win 9320 <nop,nop,timestamp 9953204 113322709>
      (TEST-DNS)-root-financedns[/home/livedoorcn]#tcpdump -i vr0
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on vr0, link-type EN10MB (Ethernet), capture size 96 bytes
      19:19:11.474750 IP dns.livedoor.com.ssh > test.livedoor.com.59301: P 3715345990:3715346182(192) ack 1594125622\
      win 33304 <nop,nop,timestamp 97785271 113321411>
      19:19:11.474886 IP test.livedoor.com.59301 > dns.livedoor.com.ssh: . ack 192 win 33208 <nop,nop,timestamp\
      113321413 97785268>
      19:19:11.475019 IP test.livedoor.com.ssh > 10.5.3.105.37863: P 923574602:923574794(192) ack 365011755 win \
      33304 <nop,nop,timestamp 113321413 9949958>
      19:19:11.477552 IP 10.5.3.105.37863 > test.livedoor.com.ssh: . ack 19

   (6)过滤的是源主机为10.5.3.105与目的网络为10.4.6.0的报头
      #tcpdump src host 10.5.3.105 and dst net 10.4.6.0/24
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump src host 10.5.3.105 and dst net 10.4.6.0/24
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      ^Z
      Suspended

   (7)过滤源主机10.0.153.39和目的端口不是telnet的报头
      #tcpdump src host 10.0.153.39 and dst port not telnet
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump src host 10.0.153.39 and dst port not telnet
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      20:28:48.867836 IP finance.livedoor.com.ssh > 10.5.3.105.54049: P 3905303025:3905303217(192) ack 538379814\
      win 33304 <nop,nop,timestamp 124396787 10087416>
      20:28:49.862053 IP finance.livedoor.com.63714 > dns.livedoor.com.domain:  49917+ PTR? 105.3.5.10.in-addr.arpa.\
      (41)
      20:28:49.863859 IP finance.livedoor.com.ssh > 10.5.3.105.54049: P 192:384(192) ack 1 win 33304 <nop,nop,\
      timestamp 124396887 10087418>

   (8)只过滤源主机10.0.153.39的所有udp报头
      #tcpdump udp and src host 10.153.39
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump udp and src host 10.0.153.39
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      ^Z
      Suspended

   (9)只过滤源主机10.0.153.39的所有tcp报头
      (TEST-DNS)-root-financedns[/home/livedoorcn]#tcpdump -i vr1
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on vr1, link-type EN10MB (Ethernet), capture size 96 bytes
      19:19:24.434700 IP 10.4.6.40.ssh > 10.5.3.105.37863: P 923576730:923576922(192) ack 365011995 win 33304\               <nop,nop,timestamp 113322709 9953197>
      19:19:24.437520 IP 10.5.3.105.37863 > 10.4.6.40.ssh: . ack 192 win 9320 <nop,nop,timestamp 9953204 113322709>

  (10)将数据重定向
             #tcpdump -l > /home/tcp.txt
      (TEST-WEB1)-root-finance [/home/livedoorcn]#cat /home/tcp.txt
      20:40:28.980316 IP finance.livedoor.com.ssh > 10.5.3.105.54049: P 3905319025:3905319217(192) ack 538389206 \
      win 33304 <nop,nop,timestamp 124466797 10262436>
      20:40:28.982823 IP 10.5.3.105.54049 > finance.livedoor.com.ssh: . ack 192 win 6324 <nop,nop,timestamp \
      10262437 124466797>
      20:40:29.972790 IP finance.livedoor.com.63395 > dns.livedoor.com.domain:  13519+ PTR? 105.3.5.10.in-addr.arpa. (41)
      20:40:29.974242 IP dns.livedoor.com.domain > finance.livedoor.com.63395:  13519 NXDomain 0/1/0 (118)

  (11)不进行IP地址到主机名的转换
      #tcpdump -n
      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      20:59:06.057524 IP 10.5.3.105.54049 > finance.livedoor.com.ssh: . ack 192 win 7772 <nop,nop,timestamp \
      10541692 124578503>

      (TEST-WEB1)-root-finance [/home/livedoorcn]#tcpdump -n
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
      20:59:09.911173 IP 10.5.3.105.54049 > 10.0.153.39.22: . ack 192 win 9220 <nop,nop,timestamp 10542655 124578888>

  (12)监视编址到指定端口的TCP或UDP数据包，那么执行以下命令

      #tcpdump host 10.0.153.39 and port 80

出处：http://blog.chinaunix.net/uid-279870-id-2135478.html