Kali Linux 抓包工具:Tcpdump 使用教程(3) |
您所在的位置:网站首页 › kali工具大全视频教程 › Kali Linux 抓包工具:Tcpdump 使用教程(3) |
Kali Linux自带Wireshark,但一般的Linux系统是不带的,需要自行下载,并且过程略复杂; 而纯字符界面的Linux系统无法使用Wireshark; 但是,所有Linux系统都会安装TCPDUMP:一种基于命令行的抓包工具。
注意:Tcpdump默认只抓68字节,能够获得基本信息,但无法做到完整分析; 一、Tcpdump 开始抓包 -i 参数:eth0网卡,-s 0 表示抓取全部,-w a.cap 表示把抓到的内容放在a.cap文件中 随意打开一个网站,然后Ctrl+c结束,发现抓了370个包 root@kali:/# tcpdump -i eth0 -s 0 -w a.cap二、Tcpdump 总览信息 接下来我们看看抓取的包: 总览信息: root@kali:/# tcpdump -r a.cap三、Tcpdump 详细查看 这里的-A 意思是以ASCII码解析 root@kali:/# tcpdump -A -r a.cap
还可以用十六进制的方式查看(-X): root@kali:/# tcpdump -X -r a.cap四、Tcpdump 过滤器 刚才是抓取所有的包,类似Wireshark,TCPDUMP也有过滤器: 比如我这里只抓80端口的数据包: root@kali:/# tcpdump -i eth0 -s 0 tcp port 80五、Tcpdump 显示筛选器 除了抓包筛选器,还可以显示筛选(抓到之后筛选自己需要的数据包)
第一种方法:通过Linux系统手动筛选 -n 的意思是不解析域名,awk分隔开只看其中的某一列,sort -u 去重 root@kali:/# tcpdump -n -r a.cap | awk '{print $3}' sort -u
第二种方法:用TCPDUMP的方法 这里我只抓取来源是222.199.191.32的数据包; root@kali:/# tcpdump -n src host 222.199.191.32 -r a.cap
不止来源,这里设置只抓目的IP为:222.199.191.32的数据包; root@kali:/# tcpdump -n dst host 222.199.191.32 -r a.cap
再比如:只抓域名解析数据包: root@kali:/# tcpdump -n udp port 53 -r a.cap
这些是基础筛选,还有高级筛选:
TCP包头结构如下,8个位为一个字节,每一行为四个字节,一共是32个位 源端口占了前面的16个位,两个字节;目的端口一样;第四行第三列是标签位 0 1 2 3 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Source Port | Destination Port | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Sequence Number | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Acknowledgment Nuber | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Date | |C|E|U|A|P|R|A|F| | | Offset | Res.|W|C|R|C|S|S|Y|I| Windwos | | | |R|E|G|K|H|T|N|N| | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Checksum | Urgent Pointer | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Options | Padding | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | data | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
根据这张图,我需要查ACK和PSH标志位,是第14个字节第00110000(24)位 这样写即可: root@kali:/# tcpdump -A -n 'tcp[13]=24' -r a.cap试试: |
今日新闻 |
推荐新闻 |
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |