Linux抓包

6. wireshark统计功能

6.1 包总数

主界面右下角



分组即包总数；已显示即过滤后的数量

6.2 图表

工具栏——统计——I/O图表



显示数据包随时间变化结果

设置显示的内容和方式



名称：勾选感兴趣项

过滤器：设置过滤条件，如data contains "\"mt\":2219"

样式：线形图、柱状图、点图等

加号：添加新项目

例如：显示包含"mt:2219"的数据包随时间变化图，线形图，蓝色



5. wireshark显示过滤

显示过滤即对已捕获的数据包进行筛选

5.1 内容过滤

格式：tcp|data contains "objstring"

说明：查找所有包含"objstring"的数据包

示例：

tcp contains "\"mt\":2219" 查找包含"mt":2219的数据包

data contains "55689_qq_com" 查找包含"55689_qq_com"的数据包

格式：tcp|data contains xx:xx:xx:xx

说明：查找含有指定字节片段的数据包

示例：

data contains 48:00:00:00:0d:f4:b1:12 查找含有如下字节片段的数据包0x48 0x00 0x00 0x00 0x0d 0xf4 0xb1 0x12

注意：内容过滤标准格式为tcp contains，因为data contains可能漏掉部分数据包

5.2 指定字段

格式：data[idx:len] == hex1:hex2:....:hexn

说明：要求数据字段从idx开始的len个字节，依次为hex1-hexn，idx从0开始，hex为十六进制值，不带0x前缀，且冒号前后不能有空格

示例：

data[33] == 01 数据的第34字节为0x01

data[0:4] == 48:35:32:31 数据的前四字节为0x48, 0x35, 0x32, 0x31

4. wireshark捕捉过滤

地址：ip.addr == xxx

端口：tcp.port == xx

传输方向：ip.src == xxx | ip.dst == xxx | tcp.srcport == xxx | tcp.dstport == xxx

连接词 : and or

显示所有SYN包：tcp.flags.syn == 1

显示所有FIN包：tcp.flags.fin == 1

显示所有RST包：tcp.flags.reset == 1

显示所有窗口大小为0的数据包：tcp.window_size == 0

显示所有包含SYN但不包含ACK标志的数据包：tcp.flags.syn == 1 and tcp.flags.ack == 0

3. wireshark显示



Seq：序列号

Ack：应答号

Len：数据长度

讲解

Seq：数据包本身的序列号，等于最近一次收到的对方数据包中的Ack。

Ack：期望对方继续发送的那个数据包的序列号。最近一次收到的对方数据包中，如果Len等于0，则该包Ack等于对方包Seq+1；如果Len不为0，则该包Ack等于对方包Seq+Len。

图解

数据传送阶段

172.9向37.94发送第一个数据包，该包序列号1，应答号为25，长度为24

37.94向172.9发送第二个数据包，该包序列号25，应答号25，长度0

连接关闭阶段

37.94主动提出关闭连接，发送FIN包，该包序列号25，应答号25，长度0

172.9同意关闭连接，发FIN, ACK包，该包序列号25，应答号26，长度0

37.94给与最后响应，发ACK包，该包序列号26，应答号26，长度0

结束

2. 抓包

命令：tcpdump 「Options」 'Expression'

功能：在网络上转储流量

选项：

☆ -i 「Interface」：指定网络接口；若要同时在所有网卡抓包，使用「any」

☆ -w 「File」：将抓包结果保存到文件

☆ -c 「Num」：指定抓包个数，接收「Num」个包后，自动退出

☆ -C 「Size」：限制结果文件「File」的大小，若超过「Size」，关闭「File」，创建新的文件「FileN」保存输出，N从1开始；单位M。例如：



☆ -G 「Secs」：每隔「Secs」创建一个新文件用以保存结果，新的结果文件名由-w 「File」指定。「File」指定的文件名需包含一个由strftime定义的时间格式，例如raw_%M:%S.pcap；如果没有指定时间格式，每个新文件将会覆盖前一个文件

☆ -W 「Num」：指定结果文件的最大个数

①与-C 「Size」联用时，当结果文件个数到达「Num」，自动从第一个文件开始覆盖，从而形成一个环形缓冲区

因为覆盖过程，并不会相应地修改文件编号，所以数据包的顺序与文件编号无关，即可能「File」和「File1」中包含最后抓到的数据包，「File2」则包含最先抓到的数据包

②与-G 「Secs」联用时，每隔「Secs」秒创建一个新文件，当文件个数到达「Num」时，自动关闭tcpdump

☆ -Z 「User」：以用户「User」权限运行tcpdump。当以「root」用户运行「tcpdump」，且没有指定「-Z」时，「tcpdump」默认以用户「tcpdump」的身份运行。用户「tcpdump」为安装「tcpdump」时，自动添加。

注意：当出现tcpdump:
xx.pcap: Permission denied错误时，添加-Z root选项，以用户root身份执行即可

表达式：指定过滤条件，如地址和端口等。例如抓目的端口为41111的tcp数据包：

tcpdump 'tcp dst port 41111'

说明：抓包不是截获，往来数据收发正常，tcpdump仅复制不私扣；初步观测，tcpdump属轻量级进程，对资源占用微乎其微

示例：

数据量很大的场景下，防止抓包过多耗尽磁盘的方式

◇ 限制时间



「-G 5」指定每「5」秒一个文件，「-W
3」指定文件数的上限为「3」

结果



◇ 限制包个数



「-c 1000」指定抓包的个数为「1000」

结果



◇ 限制文件大小



「-C 10」指定结果文件的大小上限为「10M」，「-W 3」指定文件数的上限为「3」

结果



其它：



若未指定抓包数，则一直抓，直至Ctrl+C退出



退出后自动显示抓包数。

1. 安装tcpdump

yum install tcpdump