tcpdump命令的使用方法

　　ARP/RARP 數(shù)據(jù)包

　　tcpdump對(duì)Arp/rarp包的輸出信息中會(huì)包含請(qǐng)求類型及該請(qǐng)求對(duì)應(yīng)的參數(shù). 顯示格式簡潔明了. 以下是從主機(jī)rtsg到主機(jī)csam的'rlogin'

　　(遠(yuǎn)程登錄)過程開始階段的數(shù)據(jù)包樣例:

　　arp who-has csam tell rtsg

　　arp reply csam is-at CSAM

　　第一行表示:rtsg發(fā)送了一個(gè)arp數(shù)據(jù)包(nt:向全網(wǎng)段發(fā)送,arp數(shù)據(jù)包)以詢問csam的以太網(wǎng)地址

　　Csam(nt:可從下文看出來, 是Csam)以她自己的以太網(wǎng)地址做了回應(yīng)(在這個(gè)例子中, 以太網(wǎng)地址以大寫的名字標(biāo)識(shí), 而internet

　　地址(即ip地址)以全部的小寫名字標(biāo)識(shí)).

　　如果使用tcpdump -n, 可以清晰看到以太網(wǎng)以及ip地址而不是名字標(biāo)識(shí):

　　arp who-has 128.3.254.6 tell 128.3.254.68

　　arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

　　如果我們使用tcpdump -e, 則可以清晰的看到第一個(gè)數(shù)據(jù)包是全網(wǎng)廣播的, 而第二個(gè)數(shù)據(jù)包是點(diǎn)對(duì)點(diǎn)的:

　　RTSG Broadcast 0806 64: arp who-has csam tell rtsg

　　CSAM RTSG 0806 64: arp reply csam is-at CSAM

　　第一個(gè)數(shù)據(jù)包表明:以arp包的源以太地址是RTSG, 目標(biāo)地址是全以太網(wǎng)段, type域的值為16進(jìn)制0806(表示ETHER_ARP(nt:arp包的類型標(biāo)識(shí))),

　　包的總長度為64字節(jié).

　　TCP 數(shù)據(jù)包

　　(注意:以下將會(huì)假定你對(duì) RFC-793所描述的TCP熟悉. 如果不熟, 以下描述以及tcpdump程序可能對(duì)你幫助不大.(nt:警告可忽略,

　　只需繼續(xù)看, 不熟悉的地方可回頭再看.).

　　通常tcpdump對(duì)tcp數(shù)據(jù)包的顯示格式如下:

　　src > dst: flags data-seqno ack window urgent options

　　src 和 dst 是源和目的IP地址以及相應(yīng)的端口. flags 標(biāo)志由S(SYN), F(FIN), P(PUSH, R(RST),

　　W(ECN CWT(nt | rep:未知, 需補(bǔ)充))或者 E(ECN-Echo(nt | rep:未知,　需補(bǔ)充))組成,

　　單獨(dú)一個(gè)'.'表示沒有flags標(biāo)識(shí). 數(shù)據(jù)段順序號(hào)(Data-seqno)描述了此包中數(shù)據(jù)所對(duì)應(yīng)序列號(hào)空間中的一個(gè)位置(nt:整個(gè)數(shù)據(jù)被分段,

　　每段有一個(gè)順序號(hào), 所有的順序號(hào)構(gòu)成一個(gè)序列號(hào)空間)(可參考以下例子). Ack 描述的是同一個(gè)連接,同一個(gè)方向,下一個(gè)本端應(yīng)該接收的

　　(對(duì)方應(yīng)該發(fā)送的)數(shù)據(jù)片段的順序號(hào). Window是本端可用的數(shù)據(jù)接收緩沖區(qū)的大小(也是對(duì)方發(fā)送數(shù)據(jù)時(shí)需根據(jù)這個(gè)大小來組織數(shù)據(jù)).

　　Urg(urgent) 表示數(shù)據(jù)包中有緊急的數(shù)據(jù). options 描述了tcp的一些選項(xiàng), 這些選項(xiàng)都用尖括號(hào)來表示(如

　　src, dst 和 flags 這三個(gè)域總是會(huì)被顯示. 其他域的顯示與否依賴于tcp協(xié)議頭里的信息.

　　這是一個(gè)從trsg到csam的一個(gè)rlogin應(yīng)用登錄的開始階段.

　　rtsg.1023 > csam.login: S 768512:768512(0) win 4096

　　csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096

　　rtsg.1023 > csam.login: . ack 1 win 4096

　　rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096

　　csam.login > rtsg.1023: . ack 2 win 4096

　　rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096

　　csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077

　　csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1

　　csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1

　　第一行表示有一個(gè)數(shù)據(jù)包從rtsg主機(jī)的tcp端口1023發(fā)送到了csam主機(jī)的tcp端口login上(nt:udp協(xié)議的端口和tcp協(xié)議的端

　　口是分別的兩個(gè)空間, 雖然取值范圍一致). S表示設(shè)置了SYN標(biāo)志. 包的順序號(hào)是768512, 并且沒有包含數(shù)據(jù).(表示格式

　　為:'first:last(nbytes)', 其含義是'此包中數(shù)據(jù)的順序號(hào)從first開始直到last結(jié)束，不包括last. 并且總共包含nbytes的

　　用戶數(shù)據(jù)'.) 沒有捎帶應(yīng)答(nt:從下文來看，第二行才是有捎帶應(yīng)答的數(shù)據(jù)包), 可用的接受窗口的大小為4096bytes, 并且請(qǐng)求端(rtsg)

　　的最大可接受的數(shù)據(jù)段大小是1024字節(jié)(nt:這個(gè)信息作為請(qǐng)求發(fā)向應(yīng)答端csam, 以便雙方進(jìn)一步的協(xié)商).

　　Csam 向rtsg 回復(fù)了基本相同的SYN數(shù)據(jù)包, 其區(qū)別只是多了一個(gè)' piggy-backed ack'(nt:捎帶回的ack應(yīng)答, 針對(duì)rtsg的SYN數(shù)據(jù)包).

　　rtsg 同樣針對(duì)csam的SYN數(shù)據(jù)包回復(fù)了一ACK數(shù)據(jù)包作為應(yīng)答. '.'的含義就是此包中沒有標(biāo)志被設(shè)置. 由于此應(yīng)答包中不含有數(shù)據(jù), 所以

　　包中也沒有數(shù)據(jù)段序列號(hào). 提醒! 此ACK數(shù)據(jù)包的順序號(hào)只是一個(gè)小整數(shù)1. 有如下解釋:tcpdump對(duì)于一個(gè)tcp連接上的會(huì)話, 只打印會(huì)話兩端的

　　初始數(shù)據(jù)包的序列號(hào),其后相應(yīng)數(shù)據(jù)包只打印出與初始包序列號(hào)的差異.即初始序列號(hào)之后的序列號(hào),　可被看作此會(huì)話上當(dāng)前所傳數(shù)據(jù)片段在整個(gè)

　　要傳輸?shù)臄?shù)據(jù)中的'相對(duì)字節(jié)'位置(nt:雙方的第一個(gè)位置都是1, 即'相對(duì)字節(jié)'的開始編號(hào)).　'-S'將覆蓋這個(gè)功能,

　　使數(shù)據(jù)包的原始順序號(hào)被打印出來.

　　第六行的含義為:rtsg 向 csam發(fā)送了19字節(jié)的數(shù)據(jù)(字節(jié)的編號(hào)為2到20，傳送方向?yàn)閞tsg到csam). 包中設(shè)置了PUSH標(biāo)志. 在第7行,

　　csam 喊到， 她已經(jīng)從rtsg中收到了21以下的字節(jié), 但不包括21編號(hào)的字節(jié). 這些字節(jié)存放在csam的socket的接收緩沖中, 相應(yīng)地,

　　csam的接收緩沖窗口大小會(huì)減少19字節(jié)(nt:可以從第5行和第7行win屬性值的變化看出來). csam在第7行這個(gè)包中也向rtsg發(fā)送了一個(gè)

　　字節(jié). 在第8行和第9行, csam 繼續(xù)向rtsg 分別發(fā)送了兩個(gè)只包含一個(gè)字節(jié)的數(shù)據(jù)包, 并且這個(gè)數(shù)據(jù)包帶PUSH標(biāo)志.

　　如果所抓到的tcp包(nt:即這里的snapshot)太小了，以至tcpdump無法完整得到其頭部數(shù)據(jù), 這時(shí), tcpdump會(huì)盡量解析這個(gè)不完整的頭,

　　并把剩下不能解析的部分顯示為'[|tcp]'. 如果頭部含有虛假的屬性信息(比如其長度屬性其實(shí)比頭部實(shí)際長度長或短), tcpdump會(huì)為該頭部

　　顯示'[bad opt]'. 如果頭部的長度告訴我們某些選項(xiàng)(nt | rt:從下文來看， 指tcp包的頭部中針對(duì)ip包的一些選項(xiàng), 回頭再翻)會(huì)在此包中,

　　而真正的IP(數(shù)據(jù)包的長度又不夠容納這些選項(xiàng), tcpdump會(huì)顯示'[bad hdr length]'.

　　抓取帶有特殊標(biāo)志的的TCP包(如SYN-ACK標(biāo)志, URG-ACK標(biāo)志等).

　　在TCP的頭部中, 有8比特(bit)用作控制位區(qū)域, 其取值為:

　　CWR | ECE | URG | ACK | PSH | RST | SYN | FIN

　　(nt | rt:從表達(dá)方式上可推斷:這8個(gè)位是用或的方式來組合的, 可回頭再翻)

　　現(xiàn)假設(shè)我們想要監(jiān)控建立一個(gè)TCP連接整個(gè)過程中所產(chǎn)生的數(shù)據(jù)包. 可回憶如下:TCP使用3次握手協(xié)議來建立一個(gè)新的連接; 其與此三次握手