Linux下抓包工具tcpdump应用详解(2)

　　12:02:47.688978 IP xd-22-43-a8.bta.net.cn.www > ylin.local.47945: . ack 102 win 698 <nop,nop,timestamp 3497190956 2329258>

　　12:02:47.693897 IP xd-22-43-a8.bta.net.cn.www > ylin.local.47945: . 1:1409(1408) ack 102 win 724 <nop,nop,timestamp 3497190957 2329258>

　　(5)匹配udp数据包

　　udp是一种无连接的非可靠的用户数据报，因此udp的主要特征同样是端口，用如下方法可以匹配某一端口

　　tcpdump 'upd port 53' 查看DNS的数据包

　　ylin@ylin:~$ ping -c 1 www.baidu.com > /dev/null& sudo tcpdump -p udp port 53

　　[1] 11424

　　tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

　　listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

　　12:28:09.221950 IP ylin.local.32853 > 192.168.200.150.domain: 63228+ PTR? 43.22.108.202.in-addr.arpa. (44)

　　12:28:09.222607 IP ylin.local.32854 > 192.168.200.150.domain: 5114+ PTR? 150.200.168.192.in-addr.arpa. (46)

　　12:28:09.487017 IP 192.168.200.150.domain > ylin.local.32853: 63228 1/0/0 (80)

　　12:28:09.487232 IP 192.168.200.150.domain > ylin.local.32854: 5114 NXDomain* 0/1/0 (140)

　　12:28:14.488054 IP ylin.local.32854 > 192.168.200.150.domain: 60693+ PTR? 69.240.168.192.in-addr.arpa. (45)

　　12:28:14.755072 IP 192.168.200.150.domain > ylin.local.32854: 60693 NXDomain 0/1/0 (122)

　　使用ping www.baidu.com目标是产生DNS请求和答应，53是DNS的端口号。

　　此外还有很多qualitifer是还没有提及的，下面是其它合法的primitive,在tcpdump中是可以直接使用的。

　　gateway host

　　匹配使用host作为网关的数据包，即数据报中mac地址（源或目的）为host，但IP报的源和目的地址不是host的数据包。

　　dst net net

　　src net net

　　net net

　　net net mask netmask

　　net net/len

　　匹配IPv4/v6地址为net网络的数据报。

　　其中net可以为192.168.0.0或192.168这两种形式。如net 192.168 或net 192.168.0.0

　　net net mask netmask仅对IPv4数据包有效，如net 192.168.0.0 mask 255.255.0.0

　　net net/len同样只对IPv4数据包有效，如net 192.168.0.0/16

　　dst portrange port1-port2

　　src portrange port1-port2

　　portrange port1-port2

　　匹配端口在port1-port2范围内的ip/tcp，ip/upd，ip6/tcp和ip6/udp数据包。dst, src分别指明源或目的。没有则表示src or dst

　　less length 匹配长度少于等于length的报文。

　　greater length 匹配长度大于等于length的报文。

　　ip protochain protocol 匹配ip报文中protocol字段值为protocol的报文

　　ip6 protochain protocol 匹配ipv6报文中protocol字段值为protocol的报文

　　如tcpdump 'ip protochain 6 匹配ipv4网络中的TCP报文，与tcpdump 'ip && tcp'用法一样，这里的&&连接两个primitive。6是TCP协议在IP报文中的编号。

　　ether broadcast

　　匹配以太网广播报文

　　ether multicast

　　匹配以太网多播报文

　　ip broadcast

　　匹配IPv4的广播报文。也即IP地址中主机号为全0或全1的IPv4报文。

　　ip multicast

　　匹配IPv4多播报文，也就是IP地址为多播地址的报文。

　　ip6 multicast

　　匹配IPv6多播报文，即IP地址为多播地址的报文。

　　vlan vlan_id

　　匹配为vlan报文 ，且vlan号为vlan_id的报文

　　到些为此，我们一直在介绍primitive是如何使用的，也即expression只有一个primitive。通过学会写好每个primtive，我们就很容易把多个primitive组成一个expression，方法很简单，通过逻辑运算符连接起来就可以了，逻辑运算符有以下三个：

　　“&&” 或”and”

　　“||” 或“or”

　　“!” 或“not”

　　并且可通过()进行复杂的连接运算。

　　如tcpdump ‘ip && tcp’

　　tcpdump ‘ host 192.168.240.3 &&( tcp port 80 || tcp port 443)’

　　通过上面的各种primitive，我们可以写出很丰富的条件，如ip, tcp, udp,vlan等等。如IP，可以按址址进行匹，tcp/udp可以按端口匹配。但是，如果我想匹配更细的条件呢？如tcp中只含syn标志，fin标志的报文呢？上面的primitive恐怕无能为力了。不用怕，tcpdump为你提供最后一个功能最强大的primitive，记住是primitive，而不是expression。你可以用多个这个的primitive组成更复杂的 expression.

　　最后一个primitive形式为 expr relop expr

　　若把这个形式记为A，那么你可这样写tcpdump 'A1 && A2 && ip src 192.168.200.1'，等等。

　　下面我们就来分析A这个形式，看看这是如何强大，如果你觉得很乱的话，建议你先用用上面的知识来实际操作几次，要不然就会很乱的，因为expression太复杂了。

　　形式：expr relop expr

　　relop表示关系操作符，可以为>, < ,>=,<=, =, !=之一，

　　expr是一个算术表达式，由整数组成和二元运算符（＋，－，＊，/，＆，|, <<, >>)，长度操作，报文数据访问子。同时所有的整数都是无符号的，即0x80000000 和 0xffffffff > 0。为了访问报文中的数据，可使用如下方式：

　　proto [ expr : size ]

　　proto表示该问的报文，expr的结果表示该报文的偏移，size为可选的，表示从expr偏移量起的szie个字节，整个表达式为proto报文 中,expr起的szie字节的内容（无符号整数）

　　下面是expr relop expr这种形式primitive的例子：

　　'ether[0] & 1 !=0' ether报文中第0个bit为1，即以太网广播或组播的primtive。

　　通过这种方式，我们可以对报文的任何一个字节进行匹配了，因此它的功能是十分强大的。

　　‘ip[0] = 4’ ip报文中的第一个字节为version，即匹配IPv4的报文，

　　如果我们想匹配一个syn报文，可以使用：'tcp[13] = 2'，因为tcp的标志位为TCP报文的第13个字节，而syn在这个字节的低1位，故匹配只有syn标志的报文,上述条件是可满要求的，并且比较严格。

　　如果想匹配ping命令的请求报文，可以使用'icmp[0]=8'，因为icmp报文的第0字符表示类型，当类型值为8时表示为回显示请求。

　　对于TCP和ICMP中常用的字节，如TCP中的标志位，ICMP中的类型，这个些偏移量有时会忘记。不过tcpdump为你提供更方便的用法，你不用记位这些数字，用字符就可以代替了.

　　对于ICMP报文，类型字节可以icmptype来表示它的偏称量，上面的primitive可改为'icmp[icmptype] =8'，如果8也记不住怎么办？tcpdump还为该字节的值也提供了字符表示，如'icmp[icmptype] = icmp-echo'。

　　下面是tcpdump提供的字符偏移量：

　　icmptype：表示icmp报文中类弄字节的偏移量

　　icmpcode:表示icmp报文中编码字节的偏移量

　　tcpflags:表示TCP报文中标志位字节的偏移量

　　此外，还提供了很多值来对应上面的偏移字节：

　　ICMP中类型字节的值可以是：

　　icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redi‐rect, icmp-echo, icmp-routeradvert, icmp-routersolicit,

　　icmp-timxceed, icmp-paramprob, icmp-tstamp, icmp-tstam‐preply, icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.

　　TCP中标志位字节的值可以是：

　　tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg.

　　通过上面的字符表示，我们可以写出下面的primitive

　　'tcp[tcpflags] = tcp-syn' 匹配只有syn标志设置为1的 tcp报文

　　'tcp[tcpflags] & (tcp-syn |tcp-ack |tcp-fin) !=0' 匹配含有syn，或ack或fin标志位的TCP报文

　　对于IP报文，没有提供字符支持，如果想匹配更细的条件，直接使用数字指字偏移量就可以了，不过要对IP报文有更深入的了解才可以。

　　学会写primitive后，expression就是小菜一碟了，由一个或多个primitive组成，并且逻辑连接符组成即可：

　　tcpdump ‘host 192.168.240.91 && icmp[icmptype] = icmp-echo’

　　tcpdump ‘host 192.168.1.100 && vrrp’

　　tcpdump 'ether src 00:00:00:00:00:02 && ether[0] & 1 !=0'

　　让你随心所欲地使用tcpdump，将不用再从复杂的输出中去挑报文了！

　　如此，我们可以写出更复杂的表达式来匹配报文，如IP或TCP中的报文id，IP是中的分段标志，ICMP中类型和代码等。