tcpdump VS tshark用法(轉)

Tcpdump是​​網絡​​​​協定​​​​分析​​​的基本​​工具​​​。tshark是大名鼎鼎的開源​​網絡​​​​協定​​​​分析​​​​工具​​​wireshark （原名叫ethereal）的指令行版本，wireshark可對多達千餘種網絡協定進行解碼分析。Wireshark和tcpdump均使用libpcap庫（參見libpcap程式設計教程）進行網絡截包。

TCPDUMP

詳細manpage參見tcpdump網站。

基本用法

Tcpdump的參數基本分為兩塊:選項（options）和過濾器表達式（filter_expression）。

# tcpdump [options] [filter_expression]

例如

# tcpdump -c 100 -i eth0 -w log tcp dst port 50000

其中 options部分參數：

-c 100 指定截取的包的數量

-i eth0 指定監聽哪個網絡端口

-w log 輸出到名為log的檔案中（libpcap格式）

filter_expression參數為 tcp dst port 50000，即隻監聽目标端口為50000的tcp包。

更多的例子：

# tcpdump dst net not 192.168.3.0/24

# tcpdump -n -nn port not wwwor22or110wwwor22or110

或

# tcpdump -n -nn port ! wwwor22or110wwwor22or110

# tcpdump ether src 00:50:04:BA: 9B

# tcpdump src host 192.168.0.1 and dst port not telnet

ip icmp arp rarp 和 tcp、udp、icmp這些選項等都要放到第一個參數的位置，用來過濾資料報的類型。例如：

# tcpdump ip src…… //隻過濾資料-鍊路層上的IP報頭

# tcpdump udp and src host 192.168.0.1 //隻過濾源主機192.168.0.1的所有udp報頭

TcpDump提供了很多options參數來讓我們選擇如何處理得到的資料，如下所示：

-l 将資料重定向。 如tcpdump -l > tcpcap.txt将得到的資料存入tcpcap.txt檔案中。

-n 不進行IP位址到主機名的轉換。如果不使用這一項，當系統中存在某一主機的主機名時，TcpDump會把IP位址轉換為主機名顯示，就像這樣：eth0 ＜ ntc9.1165＞ router.domain.net.telnet，使用-n後變成了：eth0 ＜ 192.168.0.9.1165 ＞ 192.168.0.1.telnet。

-nn 不進行端口名稱的轉換。 上面這條資訊使用-nn後就變成了：eth0 ＜ ntc9.1165 ＞ router.domain.net.23。

-N 不列印出預設的域名。 還是這條資訊-N 後就是：eth0 ＜ ntc9.1165 ＞ router.telnet。

-O 不進行比對代碼的優化。

-t 不列印UNIX時間戳，也就是不顯示時間。

-tt 列印原始的、未格式化過的時間。

-v 詳細的輸出，也就比普通的多了個TTL和服務類型。

參數詳解

tcpdump采用指令行方式，它的指令格式為：

tcpdump [ -adeflnNOpqStvx ] [ -c 數量 ] [ -F 檔案名 ]

[ -i 網絡接口 ] [ -r 檔案名] [ -s snaplen ]

[ -T 類型 ] [ -w 檔案名 ] [表達式 ]

-a 　　　将網絡位址和廣播位址轉變成名字；

-d 　　　将比對資訊包的代碼以人們能夠了解的彙編格式給出；

-dd 　　 将比對資訊包的代碼以c語言程式段的格式給出；

-ddd 　　将比對資訊包的代碼以十進制的形式給出；

-e 　　　在輸出行列印出資料鍊路層的頭部資訊；

-f 　　　将外部的Internet位址以數字的形式列印出來；

-l 　　　使标準輸出變為緩沖行形式；

-n 　　　不把網絡位址轉換成名字；

-t 　　　在輸出的每一行不列印時間戳；

-v 　　　輸出一個稍微詳細的資訊，例如在ip包中可以包括ttl和服務類型的資訊；

-vv 　　　輸出詳細的封包資訊；

-c 　　　在收到指定的包的數目後，tcpdump就會停止；

-F 　　　從指定的檔案中讀取表達式,忽略其它的表達式；

-i 　　　指定監聽的網絡接口；

-r 　　　從指定的檔案中讀取包(這些包一般通過-w選項産生)；

-w 　　　直接将包寫入檔案中，并不分析和列印出來；

-T 　　　将監聽到的包直接解釋為指定的類型的封包，常見的類型有rpc （遠端過程

調用）和snmp（簡單　　　　　　　網絡管理協定；）

tcpdump的表達式介紹

表達式是一個正規表達式，tcpdump利用它作為過濾封包的條件，如果一個封包滿足表

達式的條件，則這個封包将會被捕獲。如果沒有給出任何條件，則網絡上所有的資訊包将會

被截獲。

在表達式中一般如下幾種類型的關鍵字，一種是關于類型的關鍵字，主要包括host，

net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主機，net 202.0.0.0 指明

202.0.0.0是一個網絡位址，port 23 指明端口号是23。如果沒有指定類型，預設的類型是

host.

第二種是确定傳輸方向的關鍵字，主要包括src , dst ,dst or src, dst and src ,

這些關鍵字指明了傳輸的方向。舉例說明，src 210.27.48.2 ,指明ip包中源位址是210.27.

48.2 , dst net 202.0.0.0 指明目的網絡位址是202.0.0.0 。如果沒有指明方向關鍵字，則

預設是src or dst關鍵字。

第三種是協定的關鍵字，主要包括fddi,ip ,arp,rarp,tcp,udp等類型。Fddi指明是在

FDDI(分布式光纖資料接口網絡)上的特定的網絡協定，實際上它是"ether"的别名，fddi和e

ther具有類似的源位址和目的位址，是以可以将fddi協定包當作ether的包進行處理和分析。

其他的幾個關鍵字就是指明了監聽的包的協定内容。如果沒有指定任何協定，則tcpdump将會

監聽所有協定的資訊包。

除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,

greater,還有三種邏輯運算，取非運算是 'not ' '! ', 與運算是'and','&&';或運算 是'o

r' ,'||'；

這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要，下面舉幾個例子來

說明。

(1)想要截獲所有210.27.48.1 的主機收到的和發出的所有的資料包：

#tcpdump host 210.27.48.1

(2) 想要截獲主機210.27.48.1 和主機210.27.48.2 或210.27.48.3的通信，使用指令

：（在指令行中适用　　　括号時，一定要

#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)

(3) 如果想要擷取主機210.27.48.1除了和主機210.27.48.2之外所有主機通信的ip包

，使用指令：

#tcpdump ip host 210.27.48.1 and ! 210.27.48.2

(4)如果想要擷取主機210.27.48.1接收或發出的telnet包，使用如下指令：

#tcpdump tcp port 23 host 210.27.48.1

tcpdump 的輸出結果介紹

下面我們介紹幾種典型的tcpdump指令的輸出資訊

(1) 資料鍊路層頭資訊

使用指令#tcpdump --e host ice

ice 是一台裝有linux的主機，她的MAC位址是0：90：27：58：AF：1A

H219是一台裝有SOLARIC的SUN工作站，它的MAC位址是8：0：20：79：5B：46；上一條

指令的輸出結果如下所示：

21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.

telne

t 0:0(0) ack 22535 win 8760 (DF)

分析：21：50：12是顯示的時間， 847509是ID号，eth0 <表示從網絡接口eth0 接受該

資料包，eth0 >表示從網絡接口裝置發送資料包, 8:0:20:79:5b:46是主機H219的MAC位址,它

表明是從源位址H219發來的資料包. 0:90:27:58:af:1a是主機ICE的MAC位址,表示該資料包的

目的位址是ICE . ip 是表明該資料包是IP資料包,60 是資料包的長度, h219.33357 > ice.

telnet 表明該資料包是從主機H219的33357端口發往主機ICE的TELNET(23)端口. ack 22535

表明對序列号是222535的包進行響應. win 8760表明發送視窗的大小是8760.

(2) ARP包的TCPDUMP輸出資訊

使用指令#tcpdump arp

得到的輸出結果是：

22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)

22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af

:1a)

分析: 22:32:42是時間戳, 802509是ID号, eth0 >表明從主機發出該資料包, arp表明是

ARP請求包, who-has route tell ice表明是主機ICE請求主機ROUTE的MAC位址。 0:90:27:5

8:af:1a是主機ICE的MAC位址。

(3) TCP包的輸出資訊

用TCPDUMP捕獲的TCP包的一般輸出資訊是：

src > dst: flags data-seqno ack window urgent options

src > dst:表明從源位址到目的位址, flags是TCP包中的标志資訊,S 是SYN标志, F (F

IN), P (PUSH) , R (RST) "." (沒有标記); data-seqno是資料包中的資料的順序号, ack是

下次期望的順序号, window是接收緩存的視窗大小, urgent表明資料包中是否有緊急指針.

Options是選項.

(4) UDP包的輸出資訊

用TCPDUMP捕獲的UDP包的一般輸出資訊是：

route.port1 > ice.port2: udp lenth

UDP十分簡單，上面的輸出行表明從主機ROUTE的port1端口發出的一個UDP資料包到主機ICE的port2端口，類型是UDP， 包的長度是lenth

Tshark

詳細參數參見tshark的manpage。

// 列出可監聽流量的網絡接口清單。tshark使用1,2,...等數字來辨別eth0,eth1...

# tshark -D

// 監聽接口eth0上的UDP端口為1234的流量

# tshark -f "udp port 1234" -i 1

tshark的強悍之處在于對協定進行完全解碼，甚至對分片的TCP包進行重組再行解碼，例如

// 監聽接口eth0上目标端口為80的http流量，并将http請求頭的host和location列印

# tshark -f "dst port 80" -T fields -e http.host -e http.location -i 1

其中 -f 參數指定過濾表達式（即等同tcpdump的 filter_expression）

-T fields 指定螢幕輸出資訊類型為指定的協定字段（用-e添加指定字段），僅在wireshark的0.99.6以後的版本支援。

-i 1為指定監聽的網絡接口為1号

// 監聽http流量，僅過濾GET請求, 監聽10秒鐘，列印出HTTP HOST和URL

c:\Program Files\Wireshark\tshark.exe -i 4 -n -f "tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420" -T fields -e http.host -e http.request.uri -a duration:10