tcpdump常用用法+wireshark分析cap包-创新互联

工作中的常用用法
一、tcpdump常用用法：

10余年的云浮网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。成都营销网站建设的优势是能够根据用户设备显示端的尺寸不同，自动调整云浮建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。成都创新互联从事“云浮网站设计”,“云浮网站推广”以来，每个客户项目都认真落实执行。

1，-i 指定网口 -vnn 常用选项，显示详细信息并且不解析IP，端口；
抓取某个网口上发往或来自某个IP的报文
tcpdump -i ethX host 192.168.1.100 -vnn

2，可以用or 或者and 连接多个过滤条件，port前的tcp表示tcp协议，也可为udp；
抓取某个网口上发往或来自某个IP、并且指定端口的报文
tcpdump -i ethX host 192.168.1.100 and tcp port 22(端口号) -vnn

3， -c 指定抓取报文的数量，用 -w 把抓取的数据包写入文件；
抓取某网口50个包并写入dump.cap(为什么是 .cap？因为wireshark识别此扩展名)文件：
tcpdump -i ethX -c 50 -w /root/dump.cap

4，可以用关键字 src 或者 dst 表示源或者目的；
抓取源端口号为22(tcp协议)的报文
tcpdump -i ethX tcp src port 22(端口号) -vnn

以上为常用用法，可以根据实际情况灵活组合。

二、wireshark分析报文：

1，淡紫色数据包为正常数据包，包括数据包和ACK包

2，黑色为异常包，包括丢包ACK、重传等

    2.1 Packet Size limited during capture
   这个标志说明数据包并没被完全抓到，而只是抓到了一部分。这种情况多数是由于抓包方式引起，在某些系统中tcpdump只抓每个帧的前96个字节。我们可以”-s”参数来指定想要的字节数。

   2.2 TCP previous segment not captured
   TCP传输过程中同一台主机发出的数据应该是连续的，即后一个数据包的Sequence应该等一前一个数据包的sequence+len，如果后面捕捉到的数据包不符合这样的规律，即sequence比前一个包的sequence+len大的话，我们就可以认定中间的数据包就没有抓到，导致这个数据包没有按时到达的原因可能有乱序或者丢包导致。

   2.3 TCP ACKed unseen segment
      当WireShark发现被ACK的那个包没被抓到，就会提示[TCP ACKed unseen segment]，这种提示一般没有什么问题，就是WireShark漏抓了。

   2.4 TCP Dup ACK
      当出现乱序或者丢包等情况的时候，本来应该收到的数据包没有收到，反而收到了一些Sequence号比较大的数据包，这时候客户端就会回复一个ACK，ACK本应该收到却没有收到的包，如果后面来的还不是所期望的数据包，那么客户端每收到一个其他数据包就会回复一个ACK，由于这些ACK是重复的，所以就会提示[TCP Dup ACK]。

    2.5 TCP Out-of-Order
      TCP传输过程中数据包的Sequence号应该是持续递增的，也就是说每个数据包之间应该只差一个Len的数据，但是在传输过程中如果Sequence比较大的数据包比Sequence比较小的数据包先到达的话，就会触发[TCP Previous Segment not cpatured]，然后如果在后续收到了“迟到”的数据包，就会被标记[TCP Out-of-order]。

    2.6 TCP Fast Retransmission
      当服务器收到3个或以上的[TCP Dup ACK]后就会判定所ACK的包丢失了，哪怕还没有超过定时器的规定，都会立即重新发送，客户端收到后会标记为[TCP fast retransmission]。

    2.7 TCP Retransmission
      一般来说一个数据包丢失后又没有足够的后续数据包来触发[TCP Fast Retransmission]的话，超过定时器的时限后就会触发超时重传，这时候客户端收到的数据包就会被标记[TCP Retransmission]。

    2.8 TCP Zerowindow
      在TCP数据包中，Info那一栏的中的”win=XX”中XX代表了接收窗口的大小，代表了这个信息的源地址的主机还有多少数据可以接收，或者说缓存区还有多少空间。当win=0的时候就会给相应ACK打上[TCP Zerowindow]的标志，告诉发送方我没有数据可以接收了。

    2.9 TCP window full
      当出现这个标志的时候证明发送方已发送的但还没有确认的数据包已经达到了接收方接收窗口的上限，也就是说这个时候发送方就会停止发送数据，而不是等接收方回复[TCP Zerowindow]后才停止发送。所以[TCP window full]针对的是发送方没法发送数据，而[TCP Zerowindow]指的是接收方没法接收数据，不管出现哪一种情况，都会中断数据的传输，直到缓存区有新的空间存放数据。

3，数据包的标签从左到右依次为：
数据包编号---时间---源地址---目标地址---协议类型---长度---总长度---数据包序号---下一个数据包序号---ACK号---身份识别码---RTT---一些窗口参数

4，再点击一个报文后，我们在WireShark的下端可以看到更为详细的信息：
分别对应OSI七层模型的，数据链路层、网络层、传输层、应用层

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

当前题目：tcpdump常用用法+wireshark分析cap包-创新互联
转载来源：http://cqcxhl.cn/article/dspesd.html

重庆分公司，新征程启航

tcpdump常用用法+wireshark分析cap包-创新互联

其他资讯