《神探tcpdump第二招》-linux命令五分钟系列之三十六

【系列文章】

《神探tcpdump第一招》-linux命令五分钟系列之三十五

==

在第一招中，我们给大家演示了用tcpdump抓包的简单方法。接下来，我们会比较系统的来介绍tcpdump工具了。
从我的理解来看，tcpdump可以分为三大部分内容，第一是“选项”，第二是“过滤表达式”，第三是“输出信息”。
下面的文章，会分别从这三个方面来重点介绍。

==

tcpdump的选项，我还真是专门数了一下，总共有50个之多。在这个系列文章中，实在很难全都覆盖，我尽量挑选重要且常用的选项来讲解，
一些不常用的选项，大家抽空可以自己去了解一下。

在《第一招》中讲到了-i选项、-nn选项、-c选项、-X选项。今天，我们继续介绍另外两个重要的选项，即-e选项和-l选项。

【-e选项】- 增加以太网帧头部信息输出

闲言少叙，直接给出例子，大家就能看到区别了：

?

1 2 3 4 5 6 7 8

# tcpdump -i eth0 -c 1 tcpdump: verbose output suppressed, use - v or -vv for full protocol decode listening on eth0, link- type EN10MB (Ethernet), capture size 65535 bytes 16:36:18.490875 IP 116.255.245.206.snapenetio > 61.135.169.73.56503: Flags [P.], seq 990974500:990974696, ack 4001909970, win 270, length 196 # tcpdump -i eth0 -c 1 -e tcpdump: verbose output suppressed, use - v or -vv for full protocol decode listening on eth0, link- type EN10MB (Ethernet), capture size 65535 bytes 16:36:09.910296 00:15:5d:f5:4b:37 (oui Unknown) > 00:00:0c:07:ac:15 (oui Cisco), ethertype IPv4 (0x0800), length 250: 116.255.245.206.snapenetio > 61.135.169.73.56503: Flags [P.], seq 990973640:990973836, ack 4001909762, win 270, length 196

如果还是看不懂，说明你忘记了以太网协议的头格式，我再这里补充下，帮大家回忆回忆：

?

1 2 3 4 5

struct sniff_ethernet { u_char ether_dhost[ETHER_ADDR_LEN]; /* 目的主机的地址 */ u_char ether_shost[ETHER_ADDR_LEN]; /* 源主机的地址 */ u_short ether_type; /* IP? ARP? RARP? etc */ };

在刚才加-e选项的输出中，会发现有oui Unknown的字样，这oui是什么东东呢？在这里顺便科普一下咯：
OUI，即Organizationally unique identifier，是“组织唯一标识符”，在任何一块网卡（NIC）中烧录的6字节MAC地址中，前3个字节体现了OUI，其表明了NIC的制造组织。通常情况下，该标识符是唯一的。

【-l选项】- 使得输出变为行缓冲

-l选项的作用就是将tcpdump的输出变为“行缓冲”方式，这样可以确保tcpdump遇到的内容一旦是换行符即将缓冲的内容输出到标准输出，以便于利用管道或重定向方式来进行后续处理。

众所周知，Linux/UNIX的标准I/O提供了全缓冲、行缓冲和无缓冲三种缓冲方式。标准错误是不带缓冲的，终端设备常为行缓冲，而其他情况默认都是全缓冲的。

大家在使用tcpdump时，有时会有这样的需求：“对于tcpdump输出的内容，提取每一行的第一个域，即”时间域”，并输出出来，为后续统计所用”，这种场景下，我们就需要使用到-l来将默认的全缓冲变为行缓冲了。

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

# tcpdump -i eth0 -l |awk '{print $1}' tcpdump: verbose output suppressed, use - v or -vv for full protocol decode listening on eth0, link- type EN10MB (Ethernet), capture size 65535 bytes 22:56:57.571680 22:56:57.572103 22:56:57.599515 22:56:57.706286 22:56:57.888108 22:56:57.888296 22:56:57.973546 22:56:57.973768 22:56:57.975660 22:56:58.019052 22:56:58.019318 ^C146 packets captured 161 packets received by filter 0 packets dropped by kernel

如果不加-l选项，那么只有全缓冲区满，才会输出一次，这样不仅会导致输出是间隔不顺畅的，而且当你ctrl-c时，很可能会断到一行的半截，损坏统计数据的完整性。

谢谢！