tcpdump命令的使用方法(4)
tcpdump命令的使用方法
連接順序對應，并帶有相應TCP控制標志的數據包如下:
1) 連接發起方(nt:Caller)發送SYN標志的數據包
2) 接收方(nt:Recipient)用帶有SYN和ACK標志的數據包進行回應
3) 發起方收到接收方回應后再發送帶有ACK標志的數據包進行回應
0 15 31
-----------------------------------------------------------------
| source port | destination port |
-----------------------------------------------------------------
| sequence number |
-----------------------------------------------------------------
| acknowledgment number |
-----------------------------------------------------------------
| HL | rsvd |C|E|U|A|P|R|S|F| window size |
-----------------------------------------------------------------
| TCP checksum | urgent pointer |
-----------------------------------------------------------------
一個TCP頭部,在不包含選項數據的情況下通常占用20個字節(nt | rt:options 理解為選項數據，需回譯). 第一行包含0到3編號的字節,
第二行包含編號4-7的字節.
如果編號從0開始算, TCP控制標志位于13字節(nt:第四行左半部分).
0 7| 15| 23| 31
----------------|---------------|---------------|----------------
| HL | rsvd |C|E|U|A|P|R|S|F| window size |
----------------|---------------|---------------|----------------
| | 13th octet | | |
讓我們仔細看看編號13的字節:
| |
|---------------|
|C|E|U|A|P|R|S|F|
|---------------|
|7 5 3 0|
這里有我們感興趣的控制標志位. 從右往左這些位被依次編號為0到7, 從而 PSH位在3號, 而URG位在5號.
提醒一下自己, 我們只是要得到包含SYN標志的數據包. 讓我們看看在一個包的包頭中, 如果SYN位被設置, 到底
在13號字節發生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 0 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
在控制段的數據中, 只有比特1(bit number 1)被置位.
假設編號為13的字節是一個8位的無符號字符型,并且按照網絡字節號排序(nt:對于一個字節來說，網絡字節序等同于主機字節序), 其二進制值
如下所示:
00000010
并且其10進制值為:
0_^7 + 0_^6 + 0_^5 + 0_^4 + 0_^3 + 0_^2 + 1_^1 + 0_^0 = 2(nt: 1 _2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達中的指數7 6 ... 0挪到了下面來表達)
接近目標了, 因為我們已經知道, 如果數據包頭部中的SYN被置位, 那么頭部中的第13個字節的值為2(nt: 按照網絡序, 即大頭方式, 最重要的字節
在前面(在前面,即該字節實際內存地址比較小, 最重要的字節,指數學表示中數的高位, 如356中的3) ).
表達為tcpdump能理解的關系式就是:
tcp[13] 2
從而我們可以把此關系式當作tcpdump的過濾條件, 目標就是監控只含有SYN標志的數據包:
tcpdump -i xl0 tcp[13] 2 (nt: xl0 指網絡接口, 如eth0)
這個表達式是說"讓TCP數據包的第13個字節擁有值2吧", 這也是我們想要的結果.
現在, 假設我們需要抓取帶SYN標志的數據包, 而忽略它是否包含其他標志.(nt:只要帶SYN就是我們想要的). 讓我們來看看當一個含有
SYN-ACK的數據包(nt:SYN 和 ACK 標志都有), 來到時發生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 1 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
13號字節的1號和4號位被置位, 其二進制的值為:
00010010
轉換成十進制就是:
0_^7 + 0_^6 + 0_^5 + 1_^4 + 0_^3 + 0_^2 + 1_^1 + 0_ = 18(nt: 1 _2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達中的指數7 6 ... 0挪到了下面來表達)
現在, 卻不能只用'tcp[13] 18'作為tcpdump的過濾表達式, 因為這將導致只選擇含有SYN-ACK標志的數據包, 其他的都被丟棄.
提醒一下自己, 我們的目標是: 只要包的SYN標志被設置就行, 其他的標志我們不理會.
為了達到我們的目標, 我們需要把13號字節的二進制值與其他的一個數做AND操作(nt:邏輯與)來得到SYN比特位的值. 目標是:只要SYN 被設置
就行, 于是我們就把她與上13號字節的SYN值(nt: 00000010).
00010010 SYN-ACK 00000010 SYN
AND 00000010 (we want SYN) AND 00000010 (we want SYN)
-------- --------
= 00000010 = 00000010
我們可以發現, 不管包的ACK或其他標志是否被設置, 以上的AND操作都會給我們相同的值, 其10進制表達就是2(2進制表達就是00000010).
從而我們知道, 對于帶有SYN標志的數據包, 以下的表達式的結果總是真(true):
( ( value of octet 13 ) AND ( 2 ) ) ( 2 ) (nt: value of octet 13, 即13號字節的值)
靈感隨之而來, 我們于是得到了如下的tcpdump 的過濾表達式
tcpdump -i xl0 'tcp[13] & 2 2'
注意, 單引號或反斜桿(nt: 這里用的是單引號)不能省略, 這可以防止shell對&的解釋或替換.