Linux.中国 - 开源社区

 找回密码
 骑士注册

QQ登录

微博登录


Linux有问必答:如何使用tcpdump来捕获TCP SYN,ACK和FIN包

2014-10-8 07:26    评论: 9 收藏: 3 分享: 8    

问题:我想要监控TCP连接活动(如,建立连接的三次握手,以及断开连接的四次握手)。要完成此事,我只需要捕获TCP控制包,如SYN,ACK或FIN标记相关的包。我怎样使用tcpdump来仅仅捕获TCP SYN,ACK和/或FYN包?

作为业界标准的捕获工具,tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则,如基于5重包头的过滤(如基于源/目的IP地址/端口和IP协议类型)。

tcpdump/libpcap的包过滤规则也支持更多通用分组表达式,在这些表达式中,包中的任意字节范围都可以使用关系或二进制操作符进行检查。对于字节范围表达,你可以使用以下格式:

proto [ expr : size ]

“proto”可以是熟知的协议之一(如ip,arp,tcp,udp,icmp,ipv6),“expr”表示与指定的协议头开头相关的字节偏移量。有我们熟知的直接偏移量如tcpflags,也有取值常量如tcp-syn,tcp-ack或者tcp-fin。“size”是可选的,表示从字节偏移量开始检查的字节数量。

使用这种格式,你可以像下面这样过滤TCP SYN,ACK或FIN包。

只捕获TCP SYN包:

 # tcpdump -i <interface> "tcp[tcpflags] & (tcp-syn) != 0" 

只捕获TCP ACK包:

# tcpdump -i <interface> "tcp[tcpflags] & (tcp-ack) != 0"

只捕获TCP FIN包:

# tcpdump -i <interface> "tcp[tcpflags] & (tcp-fin) != 0"

之捕获TCP SYN或ACK包:

 # tcpdump -r <interface> "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0" 


via: http://ask.xmodulo.com/capture-tcp-syn-ack-fin-packets-tcpdump.html

译者:GOLinux 校对:wxy

本文由 LCTT 原创翻译,Linux中国 荣誉推出

发表评论


最新评论

我也要发表评论

来自 - 浙江杭州 的 Chrome/Windows 用户 2015-6-10 10:55
very good
14 回复
卧礼黑少 2014-10-8 14:03  新浪微博网友评论
@有道云笔记收藏
7 回复
皇郁筠_Ferrets 2014-10-8 09:33  新浪微博网友评论
这东西很好用//@andreeeeew: M
回复
andreeeeew 2014-10-8 09:03  新浪微博网友评论
M
回复
冷风夜2013 2014-10-8 08:33  新浪微博网友评论
Repost
回复
dragon9783 2014-10-8 08:33  新浪微博网友评论
@有道云笔记收藏
回复
IT好码农 2014-10-8 08:33  新浪微博网友评论
mark
回复
码农Ryan 2014-10-8 08:03  新浪微博网友评论
Repost
回复
取了个小名刘天真 2014-10-8 08:03  新浪微博网友评论
mk
回复

热点评论

来自 - 浙江杭州 的 Chrome/Windows 用户 2015-6-10 10:55
very good
14
卧礼黑少 2014-10-8 14:03
@有道云笔记收藏
7
返回顶部

分享到微信朋友圈

打开微信,点击底部的“发现”,
使用“扫一扫”将网页分享至朋友圈。