Linux系统如何使用tcpdump命令(2)

　　监视指定网络的数据包

　　打印本地主机与Berkeley网络上的主机之间的所有通信数据包（nt： ucb-ether， 此处可理解为‘Berkeley网络’的网络地址，此表达式最原始的含义可表达为： 打印网络地址为ucb-ether的所有数据包）

　　tcpdump net ucb-ether

　　打印所有通过网关snup的ftp数据包（注意， 表达式被单引号括起来了， 这可以防止shell对其中的括号进行错误解析）

　　tcpdump ‘gateway snup and （port ftp or ftp-data）’

　　打印所有源地址或目标地址是本地主机的IP数据包

　　（如果本地网络通过网关连到了另一网络， 则另一网络并不能算作本地网络。（nt： 此句翻译曲折，需补充）.localnet 实际使用时要真正替换成本地网络的名字）

　　tcpdump ip and not net localnet

　　监视指定协议的数据包

　　打印TCP会话中的的开始和结束数据包， 并且数据包的源或目的不是本地网络上的主机。（nt： localnet， 实际使用时要真正替换成本地网络的名字））

　　tcpdump ‘tcp［tcpflags］ & （tcp-syn|tcp-fin） ！= 0 and not src and dst net localnet’

　　打印所有源或目的端口是80， 网络层协议为IPv4， 并且含有数据，而不是SYN，FIN以及ACK-only等不含数据的数据包。（ipv6的版本的表达式可做练习）

　　tcpdump ‘tcp port 80 and （（（ip［2:2］ - （（ip［0］&0xf）《《2）） - （（tcp［12］&0xf0）》》2）） ！= 0）’

　　（nt： 可理解为， ip［2:2］表示整个ip数据包的长度， （ip［0］&0xf）《《2）表示ip数据包包头的长度（ip［0］&0xf代表包中的IHL域， 而此域的单位为32bit， 要换算

　　成字节数需要乘以4，　即左移2.　（tcp［12］&0xf0）》》4 表示tcp头的长度， 此域的单位也是32bit，　换算成比特数为 （（tcp［12］&0xf0） 》》 4）　《《　２，

　　即 （（tcp［12］&0xf0）》》2）。　（（ip［2:2］ - （（ip［0］&0xf）《《2）） - （（tcp［12］&0xf0）》》2）） ！= 0　表示： 整个ip数据包的长度减去ip头的长度，再减去

　　tcp头的长度不为0， 这就意味着， ip数据包中确实是有数据。对于ipv6版本只需考虑ipv6头中的‘Payload Length’ 与 ‘tcp头的长度’的差值， 并且其中表达方式‘ip［］’需换成‘ip6［］’。）

　　打印长度超过576字节， 并且网关地址是snup的IP数据包

　　tcpdump ‘gateway snup and ip［2:2］ 》 576’

　　打印所有IP层广播或多播的数据包， 但不是物理以太网层的广播或多播数据报

　　tcpdump ‘ether［0］ & 1 = 0 and ip［16］ 》= 224’

　　打印除‘echo request’或者‘echo reply’类型以外的ICMP数据包（ 比如，需要打印所有非ping 程序产生的数据包时可用到此表达式 。

　　（nt： ‘echo reuqest’ 与 ‘echo reply’ 这两种类型的ICMP数据包通常由ping程序产生））

　　tcpdump ‘icmp［icmptype］ ！= icmp-echo and icmp［icmptype］ ！= icmp-echoreply’。

　　输出信息含义

　　首先我们注意一下，基本上tcpdump总的的输出格式为：系统时间 来源主机。端口 》 目标主机。端口 数据包参数

　　tcpdump 的输出格式与协议有关。以下简要描述了大部分常用的格式及相关例子。

　　链路层头

　　对于FDDI网络， ‘-e’ 使tcpdump打印出指定数据包的‘frame control’ 域， 源和目的地址， 以及包的长度。（frame control域

　　控制对包中其他域的解析）。 一般的包（比如那些IP datagrams）都是带有‘async’（异步标志）的数据包，并且有取值0到7的优先级;

　　比如 ‘async4’就代表此包为异步数据包，并且优先级别为4. 通常认为，这些包们会内含一个 LLC包（逻辑链路控制包）; 这时，如果此包

　　不是一个ISO datagram或所谓的SNAP包，其LLC头部将会被打印（nt：应该是指此包内含的 LLC包的包头）。

　　对于Token Ring网络（令牌环网络）， ‘-e’ 使tcpdump打印出指定数据包的‘frame control’和‘access control’域， 以及源和目的地址，

　　外加包的长度。 与FDDI网络类似， 此数据包通常内含LLC数据包。 不管 是否有‘-e’选项。对于此网络上的‘source-routed’类型数据包（nt：

　　意译为：源地址被追踪的数据包，具体含义未知，需补充）， 其包的源路由信息总会被打印。

　　对于802.11网络（WLAN，即wireless local area network）， ‘-e’ 使tcpdump打印出指定数据包的‘frame control域，

　　包头中包含的所有地址， 以及包的长度。与FDDI网络类似， 此数据包通常内含LLC数据包。

　　（注意： 以下的描述会假设你熟悉SLIP压缩算法 （nt:SLIP为Serial Line Internet Protocol.）， 这个算法可以在

　　RFC-1144中找到相关的蛛丝马迹。）

　　对于SLIP网络（nt:SLIP links， 可理解为一个网络， 即通过串行线路建立的连接， 而一个简单的连接也可看成一个网络），

　　数据包的’direction indicator‘（’方向指示标志‘）（“I”表示入， “O”表示出）， 类型以及压缩信息将会被打印。 包类型会被首先打印。

　　类型分为ip， utcp以及ctcp（nt：未知， 需补充）。 对于ip包，连接信息将不被打印（nt:SLIP连接上，ip包的连接信息可能无用或没有定义。

　　reconfirm）。对于TCP数据包， 连接标识紧接着类型表示被打印。 如果此包被压缩， 其被编码过的头部将被打印。

　　此时对于特殊的压缩包，会如下显示：

　　*S+n 或者 *SA+n， 其中n代表包的（顺序号或（顺序号和应答号））增加或减少的数目（nt | rt:S，SA拗口， 需再译）。

　　对于非特殊的压缩包，0个或更多的’改变‘将会被打印。’改变‘被打印时格式如下：

　　’标志‘+/-/=n 包数据的长度 压缩的头部长度。

　　其中’标志‘可以取以下值：

　　U（代表紧急指针）， W（指缓冲窗口）， A（应答）， S（序列号）， I（包ID），而增量表达’=n‘表示被赋予新的值， +/-表示增加或减少。

　　比如， 以下显示了对一个外发压缩TCP数据包的打印， 这个数据包隐含一个连接标识（connection identifier）; 应答号增加了6，

　　顺序号增加了49， 包ID号增加了6; 包数据长度为3字节（octect）， 压缩头部为6字节。（nt：如此看来这应该不是一个特殊的压缩数据包）。

　　ARP/RARP 数据包

　　tcpdump对Arp/rarp包的输出信息中会包含请求类型及该请求对应的参数。 显示格式简洁明了。 以下是从主机rtsg到主机csam的’rlogin‘

　　（远程登录）过程开始阶段的数据包样例：

　　arp who-has csam tell rtsg

　　arp reply csam is-at CSAM

　　第一行表示：rtsg发送了一个arp数据包（nt：向全网段发送，arp数据包）以询问csam的以太网地址

　　Csam（nt：可从下文看出来， 是Csam）以她自己的以太网地址做了回应（在这个例子中， 以太网地址以大写的名字标识， 而internet

　　地址（即ip地址）以全部的小写名字标识）。

　　如果使用tcpdump -n， 可以清晰看到以太网以及ip地址而不是名字标识：

　　arp who-has 128.3.254.6 tell 128.3.254.68

　　arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

　　如果我们使用tcpdump -e， 则可以清晰的看到第一个数据包是全网广播的， 而第二个数据包是点对点的：

　　RTSG Broadcast 0806 64： arp who-has csam tell rtsg

　　CSAM RTSG 0806 64： arp reply csam is-at CSAM

　　第一个数据包表明：以arp包的源以太地址是RTSG， 目标地址是全以太网段， type域的值为16进制0806（表示ETHER_ARP（nt:arp包的类型标识）），

　　包的总长度为64字节。