linux下的網(wǎng)絡(luò)協(xié)議分析工具

《linux下的網(wǎng)絡(luò)協(xié)議分析工具》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。

1、Linux下的網(wǎng)絡(luò)協(xié)議分析工具-tcpdump快速入門手冊(cè)TCPDUMP簡(jiǎn)介在傳統(tǒng)的網(wǎng)絡(luò)分析和測(cè)試技術(shù)中，嗅探器(sniffer)是最常見，也是最重要的技術(shù)之一。sniffer工具首先是為網(wǎng)絡(luò)管理員和網(wǎng)絡(luò)程序員進(jìn)行網(wǎng)絡(luò)分析而設(shè)計(jì)的。對(duì)于網(wǎng)絡(luò)管理人員來(lái)說(shuō)，使用嗅探器可以隨時(shí)掌握網(wǎng)絡(luò)的實(shí)際情況，在網(wǎng)絡(luò)性能急劇下降的時(shí)候，可以通過sniffer工具來(lái)分析原因，找出造成網(wǎng)絡(luò)阻塞的來(lái)源。對(duì)于網(wǎng)絡(luò)程序員來(lái)說(shuō),通過sniffer工具來(lái)調(diào)試程序。用過windows平臺(tái)上的sniffer工具(例如，netxray和

2、snifferpro軟件)的朋友可能都知道，在共享式的局域網(wǎng)中，采用sniffer工具簡(jiǎn)直可以對(duì)網(wǎng)絡(luò)中的所有流量一覽無(wú)余！Sniffer工具實(shí)際上就是一個(gè)網(wǎng)絡(luò)上的抓包工具，同時(shí)還可以對(duì)抓到的包進(jìn)行分析。由于在共享式的網(wǎng)絡(luò)中，信息包是會(huì)廣播到網(wǎng)絡(luò)中所有主機(jī)的網(wǎng)絡(luò)接口，只不過在沒有使用sniffer工具之前，主機(jī)的網(wǎng)絡(luò)設(shè)備會(huì)判斷該信息包是否應(yīng)該接收，這樣它就會(huì)拋棄不應(yīng)該接收的信息包，sniffer工具卻使主機(jī)的網(wǎng)絡(luò)設(shè)備接收所有到達(dá)的信息包，這樣就達(dá)到了網(wǎng)絡(luò)監(jiān)聽的效果。Linux作為網(wǎng)絡(luò)服務(wù)器，特別是作

3、為路由器和網(wǎng)關(guān)時(shí)，數(shù)據(jù)的采集和分析是必不可少的。所以，今天我們就來(lái)看看Linux中強(qiáng)大的網(wǎng)絡(luò)數(shù)據(jù)采集分析工具——TcpDump。用簡(jiǎn)單的話來(lái)定義tcpdump，就是：dumpthetrafficeonanetwork，根據(jù)使用者的定義對(duì)網(wǎng)絡(luò)上的數(shù)據(jù)包進(jìn)行截獲的包分析工具。作為互聯(lián)網(wǎng)上經(jīng)典的的系統(tǒng)管理員必備工具，tcpdump以其強(qiáng)大的功能，靈活的截取策略，成為每個(gè)高級(jí)的系統(tǒng)管理員分析網(wǎng)絡(luò)，排查問題等所必備的東東之一。顧名思義，TcpDump可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來(lái)提供分析。它支

4、持針對(duì)網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過濾，并提供and、or、not等邏輯語(yǔ)句來(lái)幫助你去掉無(wú)用的信息。tcpdump提供了源代碼，公開了接口，因此具備很強(qiáng)的可擴(kuò)展性，對(duì)于網(wǎng)絡(luò)維護(hù)和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系統(tǒng)中，由于它需要將網(wǎng)絡(luò)界面設(shè)置為混雜模式，普通用戶不能正常執(zhí)行，但具備root權(quán)限的用戶可以直接執(zhí)行它來(lái)獲取網(wǎng)絡(luò)上的信息。因此系統(tǒng)中存在網(wǎng)絡(luò)分析工具主要不是對(duì)本機(jī)安全的威脅，而是對(duì)網(wǎng)絡(luò)上的其他計(jì)算機(jī)的安全存在威脅。普通情況下，直接啟動(dòng)tcpdump將監(jiān)

5、視第一個(gè)網(wǎng)絡(luò)界面上所有流過的數(shù)據(jù)包。－－－－－－－－－－－－－－－－－－－－－－－bash-2.02#tcpdumptcpdump:listeningoneth011:58:47.873028202.102.245.40.netbios-ns>202.102.245.127.netbios-ns:udp5011:58:47.9743310:10:7b:8:3a:56>1:80:c2:0:0:0802.1dui/Clen=4300000000008000001007cf08090000000e800

6、000902b46950980870100140002000f0000902b469500080011:58:48.3731340:0:e8:5b:6d:85>Broadcastsape0ui/Clen=97ffff00600004ffffffffffffffffffff0452ffffffff0000e85b6d854008000206404d41535445525f57454200000000000000^C－－－－－－－－－－－－－－－－－－－－－－－－首先我們注意一下，從上面的輸出結(jié)果上可

7、以看出來(lái)，基本上tcpdump總的的輸出格式為：系統(tǒng)時(shí)間來(lái)源主機(jī).端口>目標(biāo)主機(jī).端口數(shù)據(jù)包參數(shù)TcpDump的參數(shù)化支持tcpdump支持相當(dāng)多的不同參數(shù)，如使用-i參數(shù)指定tcpdump監(jiān)聽的網(wǎng)絡(luò)界面，這在計(jì)算機(jī)具有多個(gè)網(wǎng)絡(luò)界面時(shí)非常有用，使用-c參數(shù)指定要監(jiān)聽的數(shù)據(jù)包數(shù)量，使用-w參數(shù)指定將監(jiān)聽到的數(shù)據(jù)包寫入文件中保存，等等。然而更復(fù)雜的tcpdump參數(shù)是用于過濾目的，這是因?yàn)榫W(wǎng)絡(luò)中流量很大，如果不加分辨將所有的數(shù)據(jù)包都截留下來(lái)，數(shù)據(jù)量太大，反而不容易發(fā)現(xiàn)需要的數(shù)據(jù)包。使用這些參數(shù)定義的過

8、濾規(guī)則可以截留特定的數(shù)據(jù)包，以縮小目標(biāo)，才能更好的分析網(wǎng)絡(luò)中存在的問題。tcpdump使用參數(shù)指定要監(jiān)視數(shù)據(jù)包的類型、地址、端口等，根據(jù)具體的網(wǎng)絡(luò)問題，充分利用這些過濾規(guī)則就能達(dá)到迅速定位故障的目的。請(qǐng)使用mantcpdump查看這些過濾規(guī)則的具體用法。顯然為了安全起見，不用作網(wǎng)絡(luò)管理用途的計(jì)算機(jī)上不應(yīng)該運(yùn)行這一類的網(wǎng)絡(luò)分析軟件，為了屏蔽它們，可以屏蔽內(nèi)核中的bpfilter偽設(shè)備。一般情況下網(wǎng)絡(luò)硬件和TCP/IP堆棧不支持接收或發(fā)送與本計(jì)算機(jī)無(wú)關(guān)的數(shù)據(jù)包，為了接收這些數(shù)據(jù)包，就必