tcpdump命令的使用方法

　　ARP/RARP 數(shù)據(jù)包

　　tcpdump對Arp/rarp包的輸出信息中會包含請求類型及該請求對應(yīng)的參數(shù). 顯示格式簡潔明了. 以下是從主機rtsg到主機csam的'rlogin'

　　(遠程登錄)過程開始階段的數(shù)據(jù)包樣例:

　　arp who-has csam tell rtsg

　　arp reply csam is-at CSAM

　　第一行表示:rtsg發(fā)送了一個arp數(shù)據(jù)包(nt:向全網(wǎng)段發(fā)送,arp數(shù)據(jù)包)以詢問csam的以太網(wǎng)地址

　　Csam(nt:可從下文看出來, 是Csam)以她自己的以太網(wǎng)地址做了回應(yīng)(在這個例子中, 以太網(wǎng)地址以大寫的名字標識, 而internet

　　地址(即ip地址)以全部的小寫名字標識).

　　如果使用tcpdump -n, 可以清晰看到以太網(wǎng)以及ip地址而不是名字標識:

　　arp who-has 128.3.254.6 tell 128.3.254.68

　　arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

　　如果我們使用tcpdump -e, 則可以清晰的看到第一個數(shù)據(jù)包是全網(wǎng)廣播的, 而第二個數(shù)據(jù)包是點對點的:

　　RTSG Broadcast 0806 64: arp who-has csam tell rtsg

　　CSAM RTSG 0806 64: arp reply csam is-at CSAM

　　第一個數(shù)據(jù)包表明:以arp包的源以太地址是RTSG, 目標地址是全以太網(wǎng)段, type域的值為16進制0806(表示ETHER_ARP(nt:arp包的類型標識)),

　　包的總長度為64字節(jié).

　　TCP 數(shù)據(jù)包

　　(注意:以下將會假定你對 RFC-793所描述的TCP熟悉. 如果不熟, 以下描述以及tcpdump程序可能對你幫助不大.(nt:警告可忽略,

　　只需繼續(xù)看, 不熟悉的地方可回頭再看.).

　　通常tcpdump對tcp數(shù)據(jù)包的顯示格式如下:

　　src > dst: flags data-seqno ack window urgent options

　　src 和 dst 是源和目的IP地址以及相應(yīng)的端口. flags 標志由S(SYN), F(FIN), P(PUSH, R(RST),

　　W(ECN CWT(nt | rep:未知, 需補充))或者 E(ECN-Echo(nt | rep:未知,　需補充))組成,

　　單獨一個'.'表示沒有flags標識. 數(shù)據(jù)段順序號(Data-seqno)描述了此包中數(shù)據(jù)所對應(yīng)序列號空間中的一個位置(nt:整個數(shù)據(jù)被分段,

　　每段有一個順序號, 所有的順序號構(gòu)成一個序列號空間)(可參考以下例子). Ack 描述的是同一個連接,同一個方向,下一個本端應(yīng)該接收的

　　(對方應(yīng)該發(fā)送的)數(shù)據(jù)片段的順序號. Window是本端可用的數(shù)據(jù)接收緩沖區(qū)的大小(也是對方發(fā)送數(shù)據(jù)時需根據(jù)這個大小來組織數(shù)據(jù)).

　　Urg(urgent) 表示數(shù)據(jù)包中有緊急的數(shù)據(jù). options 描述了tcp的一些選項, 這些選項都用尖括號來表示(如

　　src, dst 和 flags 這三個域總是會被顯示. 其他域的顯示與否依賴于tcp協(xié)議頭里的信息.

　　這是一個從trsg到csam的一個rlogin應(yīng)用登錄的開始階段.

　　rtsg.1023 > csam.login: S 768512:768512(0) win 4096

　　csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096

　　rtsg.1023 > csam.login: . ack 1 win 4096

　　rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096

　　csam.login > rtsg.1023: . ack 2 win 4096

　　rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096

　　csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077

　　csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1

　　csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1

　　第一行表示有一個數(shù)據(jù)包從rtsg主機的tcp端口1023發(fā)送到了csam主機的tcp端口login上(nt:udp協(xié)議的端口和tcp協(xié)議的端

　　口是分別的兩個空間, 雖然取值范圍一致). S表示設(shè)置了SYN標志. 包的順序號是768512, 并且沒有包含數(shù)據(jù).(表示格式

　　為:'first:last(nbytes)', 其含義是'此包中數(shù)據(jù)的順序號從first開始直到last結(jié)束，不包括last. 并且總共包含nbytes的

　　用戶數(shù)據(jù)'.) 沒有捎帶應(yīng)答(nt:從下文來看，第二行才是有捎帶應(yīng)答的數(shù)據(jù)包), 可用的接受窗口的大小為4096bytes, 并且請求端(rtsg)

　　的最大可接受的數(shù)據(jù)段大小是1024字節(jié)(nt:這個信息作為請求發(fā)向應(yīng)答端csam, 以便雙方進一步的協(xié)商).

　　Csam 向rtsg 回復了基本相同的SYN數(shù)據(jù)包, 其區(qū)別只是多了一個' piggy-backed ack'(nt:捎帶回的ack應(yīng)答, 針對rtsg的SYN數(shù)據(jù)包).

　　rtsg 同樣針對csam的SYN數(shù)據(jù)包回復了一ACK數(shù)據(jù)包作為應(yīng)答. '.'的含義就是此包中沒有標志被設(shè)置. 由于此應(yīng)答包中不含有數(shù)據(jù), 所以

　　包中也沒有數(shù)據(jù)段序列號. 提醒! 此ACK數(shù)據(jù)包的順序號只是一個小整數(shù)1. 有如下解釋:tcpdump對于一個tcp連接上的會話, 只打印會話兩端的

　　初始數(shù)據(jù)包的序列號,其后相應(yīng)數(shù)據(jù)包只打印出與初始包序列號的差異.即初始序列號之后的序列號,　可被看作此會話上當前所傳數(shù)據(jù)片段在整個

　　要傳輸?shù)臄?shù)據(jù)中的'相對字節(jié)'位置(nt:雙方的第一個位置都是1, 即'相對字節(jié)'的開始編號).　'-S'將覆蓋這個功能,

　　使數(shù)據(jù)包的原始順序號被打印出來.

　　第六行的含義為:rtsg 向 csam發(fā)送了19字節(jié)的數(shù)據(jù)(字節(jié)的編號為2到20，傳送方向為rtsg到csam). 包中設(shè)置了PUSH標志. 在第7行,

　　csam 喊到， 她已經(jīng)從rtsg中收到了21以下的字節(jié), 但不包括21編號的字節(jié). 這些字節(jié)存放在csam的socket的接收緩沖中, 相應(yīng)地,

　　csam的接收緩沖窗口大小會減少19字節(jié)(nt:可以從第5行和第7行win屬性值的變化看出來). csam在第7行這個包中也向rtsg發(fā)送了一個

　　字節(jié). 在第8行和第9行, csam 繼續(xù)向rtsg 分別發(fā)送了兩個只包含一個字節(jié)的數(shù)據(jù)包, 并且這個數(shù)據(jù)包帶PUSH標志.

　　如果所抓到的tcp包(nt:即這里的snapshot)太小了，以至tcpdump無法完整得到其頭部數(shù)據(jù), 這時, tcpdump會盡量解析這個不完整的頭,

　　并把剩下不能解析的部分顯示為'[|tcp]'. 如果頭部含有虛假的屬性信息(比如其長度屬性其實比頭部實際長度長或短), tcpdump會為該頭部

　　顯示'[bad opt]'. 如果頭部的長度告訴我們某些選項(nt | rt:從下文來看， 指tcp包的頭部中針對ip包的一些選項, 回頭再翻)會在此包中,

　　而真正的IP(數(shù)據(jù)包的長度又不夠容納這些選項, tcpdump會顯示'[bad hdr length]'.

　　抓取帶有特殊標志的的TCP包(如SYN-ACK標志, URG-ACK標志等).

　　在TCP的頭部中, 有8比特(bit)用作控制位區(qū)域, 其取值為:

　　CWR | ECE | URG | ACK | PSH | RST | SYN | FIN

　　(nt | rt:從表達方式上可推斷:這8個位是用或的方式來組合的, 可回頭再翻)

　　現(xiàn)假設(shè)我們想要監(jiān)控建立一個TCP連接整個過程中所產(chǎn)生的數(shù)據(jù)包. 可回憶如下:TCP使用3次握手協(xié)議來建立一個新的連接; 其與此三次握手