如何理解網絡數據包分析工具tcpdump

如何理解網絡數據包分析工具tcpdump，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

前言

       tcpdump是一個用于截取網絡分組，并輸出分組內容的工具。憑借強大的功能和靈活的截取策略，使其成為類UNIX系統下用于網絡分析和問題排查的首選工具；tcpdump 可以支持針對網絡層、協議、主機、網絡或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息

tcpdump語法

Usage: tcpdump [-aAdDefhIJKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
		[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
		[ -i interface ] [ -j tstamptype ] [ -M secret ]
		[ -Q|-P in|out|inout ]
		[ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]
		[ -W filecount ] [ -y datalinktype ] [ -z command ]
		[ -Z user ] [ expression ]

tcpdump語義

抓包選項

     -c：指定要抓取的包數量。
     -i interface：指定tcpdump需要監聽的接口。默認會抓取第一個網絡接口
     -n：對地址以數字方式顯式，否則顯式為主機名，也就是說-n選項不做主機名解析。
     -nn：除了-n的作用外，還把端口顯示為數值，否則顯示端口服務名。
     -P：指定要抓取的包是流入還是流出的包。可以給定的值為"in"、"out"和"inout"，默認為"inout"。
     -s len：設置tcpdump的數據包抓取長度為len，如果不設置默認將會是65535字節。對于要抓取的數據包較大時，長度設置不夠可能
             會產生包截斷，若出現包截斷，：輸出行中會出現"[|proto]"的標志(proto實際會顯示為協議名)。但是抓取len越長，包
             的處理時間越長，并且會減少tcpdump可緩存的數據包的數量，：從而會導致數據包的丟失，所以在能抓取我們想要的包的前提下，抓取長度越小越好。

輸出選項

     -e：輸出的每行中都將包括數據鏈路層頭部信息，例如源MAC和目標MAC。
     -q：快速打印輸出。即打印很少的協議相關信息，從而輸出行都比較簡短。
     -X：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出。
     -XX：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出，更詳細。
     -v：當分析和打印的時候，產生詳細的輸出。
     -vv：產生比-v更詳細的輸出。
     -vvv：產生比-vv更詳細的輸出。

其它功能性選項

     -D：列出可用于抓包的接口。將會列出接口的數值編號和接口名，它們都可以用于"-i"后。
     -F：從文件中讀取抓包的表達式。若使用該選項，則命令行中給定的其他表達式都將失效。
     -w：將抓包數據輸出到文件中而不是標準輸出。可以同時配合"-G
     time"選項使得輸出文件每time秒就自動切換到另一個文件。可通過"-r"選項載入這些文件以進行分析和打印。
     -r：從給定的數據包文件中讀取數據。使用"-"表示從標準輸入中讀取。

expression表達式

   ==一個基本的表達式單元格式為"proto dir type ID"==
   對于表達式語法，參考 pcap-filter 【pcap-filter - packet filter syntax】
   類型 type
   host, net, port, portrange
   例如：host 192.168.201.128 , net 128.3, port 20, portrange 6000-6008'
   目標 dir
   src, dst, src or dst, src and dst
   協議 proto
   tcp， udp ， icmp，若未給定協議類型，則匹配所有可能的類型
   ==表達式單元之間可以使用操作符" and / && / or / || / not / ! "進行連接，從而組成復雜的條件表達式==。
   如"host foo and not port ftp and not port ftp-data"，這表示篩選的數據包要滿足"主機為foo且端口不是
   ftp(端口21)和ftp-data(端口20)的包"，常用端口和名字的對應關系可在linux系統中的/etc/service文件中找到。
   另外，同樣的修飾符可省略，如"tcp dst port ftp or ftp-data or domain"與"tcp dst port ftp or tcp 
   dst port ftp-data or tcp dst port domain"意義相同，都表示包的協議為tcp且目的端口為ftp或ftp-data
   或domain(端口53)。
   使用括號"()"可以改變表達式的優先級，但需要注意的是括號會被shell解釋，所以應該使用反斜線""轉義為"()"，
   在需要的時候，還需要包圍在引號中。

tcpdump示例

監控指定網絡接口的數據包

tcpdump -i eth0

監控指定主機的數據包

tcpdump -i eth0 host 10.0.0.13

監控2個主機的數據包

tcpdump -i eth0 host 10.0.0.11 and host 10.0.0.13

監控1個主機與非1個主機之間的數據包

tcpdump -i eth0 host 10.0.0.11 and not host 10.0.0.13

監控某主個主機發送的數據包

tcpdump -i eth0 src host 10.0.0.11

監控發送到某個主機的數據包

tcpdump -i eth0 dst host 10.0.0.11

監控指定主機和端口的數據包

tcpdump -i eth0 host 10.0.0.11 and port 3306

監控指定網段的數據包，并且只抓取10個數據包

tcpdump -i eth0 -c 10 net 10.0

監控通過網關snup的ftp協議類型的數據包

tcudump 'gateway snup and (port ftp or ftp-data)'

監控ping協議數據包

tcpdump -c 5 -nn -i eth0

監控指定主機的ping協議數據包

tcpdump -c 5 -nn -i eth0 icmp and src 10.0.0.11

監控到本機3306端口的數據包

tcpdump -c 10 -nn -i eth0 tcp dst port 3306

監控完整詳細的數據包

tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 3306

tcpdump與mysql

tcpdump命令
tcpdump host 10.92.143.15 -tttt -S -nn
主機上登陸mysql
mysql -u root -h 10.92.143.15 -p
執行exit退出mysql客戶端

# 三次握手，其中S代表Syn，.代表Ack，S.代表Syn, Ack

2018-08-19 22:52:42.768100 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [S], seq 864854527, win 14600, options [mss 1460,sackOK,TS val 2246810963 ecr 0,nop,wscale 8], length 0
2018-08-19 22:52:42.810055 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [S.], seq 4288771247, ack 864854528, win 14480, options [mss 1460,sackOK,TS val 2062159250 ecr 2246810963,nop,wscale 8], length 0
2018-08-19 22:52:42.810065 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [.], ack 4288771248, win 58, options [nop,nop,TS val 2246811005 ecr 2062159250], length 0

# 登錄校驗，傳輸用戶名和密碼驗證階段，其中P代表Push，傳輸數據需要。這里包含登錄驗證和版本信息等元數據的交換

2018-08-19 22:52:42.852102 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [P.], seq 4288771248:4288771308, ack 864854528, win 57, options [nop,nop,TS val 2062159292 ecr 2246811005], length 60
2018-08-19 22:52:42.852118 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [.], ack 4288771308, win 58, options [nop,nop,TS val 2246811047 ecr 2062159292], length 0
2018-08-19 22:52:42.853251 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [P.], seq 864854528:864854590, ack 4288771308, win 58, options [nop,nop,TS val 2246811048 ecr 2062159292], length 62
2018-08-19 22:52:42.895198 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [.], ack 864854590, win 57, options [nop,nop,TS val 2062159335 ecr 2246811048], length 0
2018-08-19 22:52:42.895256 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [P.], seq 4288771308:4288771319, ack 864854590, win 57, options [nop,nop,TS val 2062159335 ecr 2246811048], length 11
2018-08-19 22:52:42.895264 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [.], ack 4288771319, win 58, options [nop,nop,TS val 2246811090 ecr 2062159335], length 0
2018-08-19 22:52:42.895312 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [P.], seq 864854590:864854627, ack 4288771319, win 58, options [nop,nop,TS val 2246811090 ecr 2062159335], length 37
2018-08-19 22:52:42.937268 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [.], ack 864854627, win 57, options [nop,nop,TS val 2062159377 ecr 2246811090], length 0
2018-08-19 22:52:42.937405 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [P.], seq 4288771319:4288771409, ack 864854627, win 57, options [nop,nop,TS val 2062159377 ecr 2246811090], length 90
2018-08-19 22:52:42.937414 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [.], ack 4288771409, win 58, options [nop,nop,TS val 2246811132 ecr 2062159377], length 0

# 發送exit；正好5個字符

2018-08-19 22:52:44.366633 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [P.], seq 864854627:864854632, ack 4288771409, win 58, options [nop,nop,TS val 2246812561 ecr 2062159377], length 5
# 四次揮手，其中F代表FIN，完成數據發送
2018-08-19 22:52:44.366649 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [F.], seq 864854632, ack 4288771409, win 58, options [nop,nop,TS val 2246812561 ecr 2062159377], length 0

## 這個是exit的答復

2018-08-19 22:52:44.408575 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [.], ack 864854632, win 57, options [nop,nop,TS val 2062160848 ecr 2246812561], length 0
2018-08-19 22:52:44.408618 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [.], ack 864854633, win 57, options [nop,nop,TS val 2062160848 ecr 2246812561], length 0
2018-08-19 22:52:44.408652 IP 10.92.143.15.3306 > 10.119.124.24.45298: Flags [F.], seq 4288771409, ack 864854633, win 57, options [nop,nop,TS val 2062160848 ecr 2246812561], length 0
2018-08-19 22:52:44.408657 IP 10.119.124.24.45298 > 10.92.143.15.3306: Flags [.], ack 4288771410, win 58, options [nop,nop,TS val 2246812603 ecr 2062160848], length 0

上述數據包交互的圖例

• 通過tcpdump可以精準分析mysql客戶端與mysql服務器端的通訊交互詳細過程

• tcp建立連接時為3個握手

• 斷開tcp連接時為4個握手
  

• 這個握手是指mysql客戶端與mysql服務器端之間的單向請求或回復

• mysql客戶端登陸mysql服務器端分為3個階段：tcp 3次握手建立tcp連接，基于tcp連接的數據傳輸,斷開tcp連接的4次握手

• 通過tcpdump可以結合netstat的state去深入分析某些mysql客戶端無法連接mysql服務器端的復雜問題
  

關于如何理解網絡數據包分析工具tcpdump問題的解答就分享到這里了，希望以上內容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注億速云行業資訊頻道了解更多相關知識。