tcpdump必知必会

1. tcpdump原理 & 在tcp协议栈的位置
2. tcpdump用法

• 基于协议、主机、端口过滤
• 使用and or逻辑运算符做复杂的过滤操作
• tcpdump flags

---

1. tcpdump原理

linux中非常有用的网络工具，运行在用户态。

数据包到达网卡，经过数据包过滤器bpf筛选后，拷贝至用户态的tcpdump程序。

tcpdump抓包

“抓” 这个动作是由数据包过滤器bpf完成， bpf的主要作用就是根据用户输入的过滤规则，直将用户关心的数据包拷贝至tcpdump。注意是拷贝，不是剪切。

面试题： 某些数据包被iptables封禁，是否可通过tcpdump抓包？

linux中netfilter是工作在tcp协议栈阶段， tcpdump的过滤器bpf是工作在更底层，所以当然是可以抓到包。

2. tcpdump常规用法

抓包上帝视角：

• 可将tcpdump当做网络请求的对端。
• tcpdump 支持网络层、协议、铸就、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助过滤。

2.1抓包前置参数：

• -D： 提供可以捕获流量的设备列表
• -c n：捕获n个包后终止
• -n: tcpdump默认会对(ip:port)转换为主机名，影响抓包效率，-n可设置不做转换，直接显示ip地址；
• -s 0 : 设置抓取(已经筛选出的数据包的)长度，如果不设置默认是68 字节，0 意味着tcpdump自动选择合适的长度抓包；
• -w： 抓取的内容输出到文件
• -r ： 跟-w 是对应的，从文件读取
• -vvv ：输出详细的最高级别

2.2 抓包筛选参数：

• host： 过滤特定主机的流量，可填hostname或者ip；

注意：命令中的hostname会被解析成ip地址，如果解析出来的是vip（可能会作用到多个实际的业务Host），会抓取到非预期的数据包。

可以使用 src host 或者 dst host来抓取特定方向的流量。

tcpdump -n -i eth0 host janus.qa.xxxx.com -vvv -tttt

2023-11-08 14:37:48.478256 IP (tos 0x0, ttl 64, id 47134, offset 0, flags [DF], proto TCP (6), length 554)
    10.178.75.56.44054 > 10.98.21.3.http: Flags [P.], cksum 0x776b (incorrect -> 0x1251), seq 514:1028, ack 186, win 589, length 514: HTTP, length: 514
	POST /janus-api/api/agent/tasks HTTP/1.1
	Host: janus.qa.****.com
	User-Agent: Go-http-client/1.1
	Content-Length: 366
	Accept-Encoding: gzip

	{"groupId":"63fefa20b1e3c135612005c9","ip":"10.178.75.56","env":"qa","idc":"officeidc_hd2","tags":["10.178.75.56","officeidc_hd2","machine"],"lastTaskId":"202303210000000017","versionInfo":{"staticConfigVersionId":"v2023.03.20.004","autoConfigVersionId":"v2023.03.20.004","configVersionId":"0","status":true,"ipTime":"2019-12-04 01:06:06"},"lastTasks":{"status":[]}}[!http]
2023-11-08 14:37:48.520706 IP (tos 0x0, ttl 52, id 64787, offset 0, flags [DF], proto TCP (6), length 40)
    10.98.21.3.http > 10.178.75.56.44054: Flags [.], cksum 0xa1f6 (correct), seq 186, ack 1028, win 150, length 0
2023-11-08 14:37:48.523697 IP (tos 0x0, ttl 52, id 64788, offset 0, flags [DF], proto TCP (6), length 225)
    10.98.21.3.http > 10.178.75.56.44054: Flags [P.], cksum 0xb2f6 (correct), seq 186:371, ack 1028, win 150, length 185: HTTP, length: 185
	HTTP/1.1 200 OK
	Content-Type: application/json; charset=utf-8
	Content-Length: 38
	Connection: keep-alive
	Date: Wed, 08 Nov 2023 06:37:48 GMT

2023-11-08 14:37:48.523718 IP (tos 0x0, ttl 64, id 47135, offset 0, flags [DF], proto TCP (6), length 40)
    10.178.75.56.44054 > 10.98.21.3.http: Flags [.], cksum 0x7569 (incorrect -> 0x9f7e), seq 1028, ack 371, win 597, length 0

• port ： 指定抓取某个X端口的网络数据包。

• and or not逻辑运算符 ：
  
  tcpdump -i eth0 “host redhat.com and (port 80 or port 443)”

• tcp/udp： 过滤tcp/udp流量: tcpdump -i eth0 host janus.t.17usoft.com and tcp

---

2.3 tcpdump [Flags]