超級(jí)詳細(xì)Tcpdump 的用法(原創(chuàng))

mirnshi

談到詳細(xì)，還是man最詳細(xì)了。lz好多開(kāi)關(guān)項(xiàng)都沒(méi)有談及到呀，如-n -vv -e 等等，還有好多呢。這篇也就算是個(gè)入門(mén)

showrun

-l 可以重定向。
例如“tcpdump -l 〉dat & tail -f  dat”，再例如tcpdump -l |grep "sldfj"


過(guò)濾源主機(jī)物理地址為XXX的報(bào)頭
如 tcpdump ether src 00:0c:76:32:80:14 and dst ...

showrun

-n 不要轉(zhuǎn)換地址（端口號(hào)，等）為名字。
如在不加-n時(shí) tcpdump tcp port 80
10:48:07.039534 IP 222.36.42.67.http > 211.94.162.45.1299: P 955852503:955852797(294) ack 2262906593 win 6672

在加-n的情況下 tcpdump tcp port 80 -n
10:49:30.406379 IP 211.94.163.93.1125 > 66.249.89.104.80: F 2182359613:2182359613(0) ack 3130821434 win 64947

不同是在不加-n時(shí)端口號(hào)為80等已知協(xié)議端口都會(huì)自動(dòng)轉(zhuǎn)換為http等協(xié)議名稱(chēng)

showrun

-e 命令是可以提供鏈路層的信息，如mac地址等。

-v -vv -vvv，是verbose（啰嗦）模式，一個(gè)比一個(gè)啰嗦。具體有什么差別，我也不是特別清楚。



還請(qǐng),tcpdump達(dá)人不吝賜教啊

zenith518

如果要看HTTP協(xié)議，可以在Windows的IE客戶(hù)端安裝HTTPWatch，就可以看到和服務(wù)器對(duì)話(huà)的所有應(yīng)用層的東西，包括HTTP頭消息，內(nèi)容中的漢字也會(huì)正確顯示。如果想發(fā)現(xiàn)，服務(wù)器對(duì)瀏覽器的重定向動(dòng)作，也可以用這個(gè)冬冬，用起來(lái)很舒服的。

zenith518

原帖由 bulletming 于 2005-12-28 02:15 發(fā)表
抱著試試看的想法！我發(fā)現(xiàn)通過(guò)tcpdump加上-X的參數(shù)之后，直接倒成一個(gè)ascii的文件，然后你選擇適合的工具來(lái)查看該文件就可以了。這樣子的話(huà)，看漢字就沒(méi)有問(wèn)題了，直接按漢字搜索就可以了。
記事本看gb2312是沒(méi)有 ...

這樣是不行的，因?yàn)?-X之后，tcpdump只是將十六進(jìn)制數(shù)值轉(zhuǎn)換成ASCII數(shù)字在左邊dump出來(lái)，如果該值能顯示ASCII字符，就在右邊顯示，如果遇到不能顯示的值(包括漢字)，它就顯示為"."，所以要顯示的話(huà)還是要自己編程解析出應(yīng)用層，獲取HTTP頭，并按頭中的charset指示對(duì)HTTP傳輸內(nèi)容進(jìn)行漢字編碼的顯示。

如果要sniffer MSN，有一個(gè)軟件專(zhuān)門(mén)可以看，不過(guò)看別人聊天隱私好像也不太好吧。
http://www.effetech.com/

[ 本帖最后由 zenith518 于 2005-12-30 23:35 編輯 ]

bulletming

原帖由 zenith518 于 2005-12-30 23:30 發(fā)表

這樣是不行的，因?yàn)?-X之后，tcpdump只是將十六進(jìn)制數(shù)值轉(zhuǎn)換成ASCII數(shù)字在左邊dump出來(lái)，如果該值能顯示ASCII字符，就在右邊顯示，如果遇到不能顯示的值(包括漢字)，它就顯示為"."，所以要顯示的話(huà)還 ...

hi,zenith518:
我試過(guò)了還是可以的呀！
從我以前一點(diǎn)點(diǎn)經(jīng)驗(yàn)來(lái)看的話(huà)，我覺(jué)得ascii編碼是非常完整的，不會(huì)輕易的truncate bit的,可以接受任何字符集一種字符集，以前我曾建了一個(gè)db，我選擇的是最簡(jiǎn)單的ascii（當(dāng)時(shí)很幼稚），當(dāng)時(shí)呢，我客戶(hù)端提交的以gb2312的方式提交的所有字符他都是可以接受的，然后呢，從數(shù)據(jù)庫(kù)取出來(lái)之后呢，只要客戶(hù)端ie選擇合適的charset方式就可以顯示了。我覺(jué)得字符的解析主要靠ie來(lái)完成的。但后來(lái)還是改了，因?yàn)槭褂靡粋�(gè)java的Jasperreport作webprint，然后從db里邊取出來(lái)都是亂碼，后來(lái)只好轉(zhuǎn)換整個(gè)db的charset

我在linux用vi去看tcpdump -X導(dǎo)出的數(shù)據(jù)，都可以很正常地看到的，并沒(méi)有顯示".",這個(gè)主要我覺(jué)得與你客戶(hù)端telnet的工具有關(guān)。只要一個(gè)漢字它本身對(duì)應(yīng)的兩個(gè)bytes中的bit沒(méi)有變，選擇合適的對(duì)應(yīng)的支持該charset的工具就能夠查看的。tcpdump并沒(méi)有對(duì)任何本身數(shù)據(jù)做更改。

我說(shuō)那個(gè)是有局限的，
如果你過(guò)濾出來(lái)的ip packet中g(shù)b2312和unicode兩種編碼（來(lái)自或者送給不同網(wǎng)站編碼可能多種），我想記事本不會(huì)正常顯示的，ie的一個(gè)頁(yè)面也也只能顯示一種編碼，這時(shí)候就需要想說(shuō)你去根據(jù)其他包的charset來(lái)顯示當(dāng)前的包里的數(shù)據(jù)了。

如果ethereal軟件最下邊的窗口能夠選擇正確的charset來(lái)顯示package byte，那就比較的完美了。

不過(guò)，我這邊要求很簡(jiǎn)單，我就是監(jiān)測(cè)到某一個(gè)網(wǎng)站的所有進(jìn)出包，這樣子可以了。

sinboy2002

不錯(cuò)文章，
頂樓主

jeffyan

原帖由 zenith518 于 2005-12-30 22:20 發(fā)表
如果要看HTTP協(xié)議，可以在Windows的IE客戶(hù)端安裝HTTPWatch，就可以看到和服務(wù)器對(duì)話(huà)的所有應(yīng)用層的東西，包括HTTP頭消息，內(nèi)容中的漢字也會(huì)正確顯示。如果想發(fā)現(xiàn)，服務(wù)器對(duì)瀏覽器的重定向動(dòng)作，也可以用這個(gè)冬冬， ...

用了，感覺(jué)還是沒(méi)有Ethereal的全面具體
可能因人而異吧

guliny

ok,good!