CentOS下使用tcpdump網路抓包用

CentOS下使用tcpdump網路抓包用

CentOS系統網路抓包用tcpdump，首先當然是看有沒有安裝了，沒有就用yum安裝一下。

tcpdump是linux命令列下常用的的一個抓包工具，記錄一下平時常用的方式，測試機器系統是centos 7。

tcpdump的命令格式
tcpdump的參數眾多，通過man tcpdump可以查看tcpdump的詳細說明，這邊只列一些筆者自己常用的參數：
tcpdump[-i網卡]-nnAX'運算式'
各參數說明如下：
-i：interface監聽的網卡。
-nn：表示以ip和port的方式顯示來源主機和目的主機，而不是用主機名稱和服務。
-A：以ascii的方式顯示資料包，抓取web資料時很有用。
-X：資料包將會以16進位和ascii的方式顯示。
運算式：運算式有很多種，常見的有：host主機；port連接埠；src host發包主機；dst host收包主機。多個條件可以用and、or組合，取反可以使用!，更多的使用可以查看man 7 pcap-filter。
下面進行一些命令測試，如果沒有許可權，可以先切換成root使用者。

監聽網卡eth0
$tcpdump-ieth0
這個方式最簡單了，但是用處不多，因為基本上只能看到資料包的資訊刷屏，壓根看不清，可以使用ctrl+c中斷退出，如果真有需求，可以將輸出內容重新導向到一個檔案，這樣也更方便查看。

監聽指定協議的資料
$tcpdump-ieth0-nn'icmp'
這個是用來監聽icmp協議的資料，就是ping命令使用的協議。類似的，如果要監聽tcp或者是udp協議，只需要修改上例的icmp就可以了。ping下監聽的機器，輸出如下：

linux使用tcpdump抓包樣本
每一行的各個資料表示的含義：
抓到包的時間IP發包的主機和連接埠>接收的主機和連接埠資料包內容

監聽指定的主機
$tcpdump-ieth0-nn'host192.168.1.231'
這樣的話，192.168.1.231這台主機接收到的包和發送的包都會被抓取。
$tcpdump-ieth0-nn'srchost192.168.1.231'
這樣只有192.168.1.231這台主機發送的包才會被抓取。
$tcpdump-ieth0-nn'dsthost192.168.1.231'
這樣只有192.168.1.231這台主機接收到的包才會被抓取。

監聽指定連接埠
$tcpdump-ieth0-nnA'port80'
上例是用來監聽主機的80連接埠收到和發送的所有資料包，結合-A參數，在web開發中，真是非常有用。

監聽指定主機和連接埠
$tcpdump-ieth0-nnA'port80andsrchost192.168.1.231'
多個條件可以用and，or串連。上例表示監聽192.168.1.231主機通過80連接埠發送的資料包。

監聽除某個連接埠外的其它連接埠
$tcpdump-ieth0-nnA'!port22'
如果需要排除某個連接埠或者主機，可以使用“!”符號，上例表示監聽非22連接埠的資料包。

同時可以將資料輸出到一個指定的檔案

tcpdump -i em2 -vnn port 8000 -w xxx.cap

小結：
tcpdump這個功能參數很多，運算式的選項也非常多，非常強大，不過常用的功能確實不多。詳情可以通過man查看系統手冊。
另外在抓取web包的時候，發送網頁內容都是很奇怪的字元，發現是apache開啟了gzip壓縮的緣故，關閉掉gzip壓縮就可以了。在centos 7下，編輯vim/etc/apache2/mods-enabled/deflate.load檔案，將載入模組deflate_module的語句注釋掉，然後重啟apache就OK了。