• / 13
  • 下载费用:10 金币  

l003002018-tcpdump工具使用与udp数据包分析.docx

关 键 词:
l003002018 tcpdump 工具 使用 udp 数据包 分析
资源描述:
课程编写类别内容实验课题名称TCPDUMP工具使用与UDP数据包分析实验目的与要求1、了解网络数据包分析工具TCPDUMP使用;2、熟悉UDP数据包结构实验环境VPC1虚拟PC)操作系统类型LINUX,网络接口ETH0VPC1连接要求PC网络接口,本地连接与实验网络直连软件描述1、学生机要求安装JAVA环境2、VPC安装LINUX实验环境描述1、学生机与实验室网络直连2、VPC1与实验室网络直连3、学生机与VPC1物理链路连通;预备知识LINUX作为网络服务器,特别是作为路由器和网关时,数据的采集和分析是必不可少的。TCPDUMP是一个用于截取网络分组,并输出分组内容的工具。TCPDUMP凭借强大的功能和灵活的截取策略,使其成为类UNIX系统下用于网络分析和问题排查的首选工具。TCPDUMP提供了源代码,公开了接口,因此具备很强的可扩展性,对于网络维护和入侵者都是非常有用的工具。TCPDUMP存在于基本的LINUX系统中,由于它需要将网络界面设置为混杂模式,普通用户不能正常执行,但具备ROOT权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁,而是对网络上的其他计算机的安全存在威胁。顾名思义,TCPDUMP可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供AND、OR、NOT等逻辑语句来帮助你去掉无用的信息。LINUX平台中提供了强大的网络数据采集分析工具TCPDUMP,TCPDUMP可以在网卡混杂模式下将网络中传送的数据包信息完全截获下来并提供简要分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供AND、OR、NOT等逻辑语句来实现条件截获。作为互联网上经典的的系统管理员必备工具,TCPDUMP以其强大的功能,灵活的截取策略,成为每个高级的系统管理员分析网络,排查问题等所必备的工具。用户数据包协议UDPUSERDATAGRAMPROTOCOL),它是OSI参考模型中一种无连接的传输层协议,提供面向事务的简单不可靠信息传送服务。是一个简单的面向数据报的传输层协议,UDP协议基本上是IP协议与上层协议的接口。实验内容1、学习TCPDUMP工具使用2、学习UDP数据包结构3、使用TCPDUMP分析UDP数据包实验步骤1、学生单击实验拓扑按钮,进入实验场景,进入目标主机,(第一次启动目标主机,还需要安装JAVA空间),如图所示2、打开LINUX按钮即可打开虚拟机,输入密码为123456即可进入到实验环境。如图所示3、使用命令TCPDUMP–H命令或者用MANTCPDUMP命令可以获得TCPDUMP命令的帮助说明。这里我们使用MANTCPDUMP。如图所示学习UDP数据包协议UDP协议是英文USERDATAGRAMPROTOCOL的缩写,即用户数据报文协议,与我们所熟知的TCP(传输控制协议)协议的一样,UDP协议直接位于IP(网际协议)协议的顶层。根据OSI(开放系统互连)参考模型,UDP和TCP都属于传输层协议。如图所示UDP报头由4个域组成,其中每个域名占用2个字节,即源端口、目的端口、UDP长度、UDP校验和头部结构。如图所示UDP协议使用报头中的校验和保证数据的安全。校验和首先在数据发送方通过特殊的算法计算得出,在传递到接收方之后,还需要再重新计算。如果某个数据报在传输过程中被第三方篡改或者由于线路噪音等原因受到损坏,发送和接收方的校验计算值将不会相符,由此UDP协议可以检测是否出错。这与TCP协议是不同的,后者要求必须具有校验值。由于UDP是基于IP协议的,在利用TCPDUMP分析中,通常可以看到的UDP头和IP头结构组成。如图所示UDP是一种不可靠的网络协议,在有些情况下UDP协议可能会变得非常有用。因为UDP具有TCP所望尘莫及的速度优势。虽然TCP协议中植入了各种安全保障功能,但是在实际执行的过程中会占用大量的系统开销,无疑使速度受到严重的影响。反观UDP由于排除了信息可靠传递机制,将安全和排序等功能移交给上层应用来完成,极大降低了执行时间,使速度得到了保证。使用TCPDUMP分析UDP数据包配置TCPDUMP捕捉UDP数据包,分析数据包内容;输入命令TCPDUMPUDPS0XNNIETH0。通过该命令可以捕捉到网络中UDP数据包,并以16进制及ASCII字符打印呈现出来。由于实验环境的不同,可以设置更加复杂的TCPDUMP参数,来过滤更多的无用信息,如地址,端口等。TCPDUMP详细使用方法1、TCPDUMP选项介绍引用A以ASCII格式打印出所有分组,并将链路层的头最小化。C在收到指定的数量的分组后,TCPDUMP就会停止。C在将一个原始分组写入文件之前,检查文件当前的大小是否超过了参数FILE_SIZE中指定的大小。如果超过了指定大小,则关闭当前文件,然后在打开一个新的文件。参数FILE_SIZE的单位是兆字节(是1,000,000字节,而不是1,048,576字节)。D将匹配信息包的代码以人们能够理解的汇编格式给出。DD将匹配信息包的代码以C语言程序段的格式给出。DDD将匹配信息包的代码以十进制的形式给出。D打印出系统中所有可以用TCPDUMP截包的网络接口。E在输出行打印出数据链路层的头部信息。E用SPIIPADDRALGOSECRET解密那些以ADDR作为地址,并且包含了安全参数索引值SPI的IPSECESP分组。F将外部的INTERNET地址以数字的形式打印出来。F从指定的文件中读取表达式,忽略命令行中给出的表达式。I指定监听的网络接口。L使标准输出变为缓冲行形式,可以把数据导出到文件。L列出网络接口的已知数据链路。M从文件MODULE中导入SMIMIB模块定义。该参数可以被使用多次,以导入多个MIB模块。M如果TCP报文中存在TCPMD5选项,则需要用SECRET作为共享的验证码用于验证TCPMD5选选项摘要(详情可参考RFC2385)。B在数据链路层上选择协议,包括IP、ARP、RARP、IPX都是这一层的。N不把网络地址转换成名字。NN不进行端口名称的转换。N不输出主机名中的域名部分。例如,‘NICDDNMIL‘只输出’NIC‘。T在输出的每一行不打印时间戳。O不运行分组分组匹配(PACKETMATCHING)代码优化程序。P不将网络接口设置成混杂模式。Q快速输出。只输出较少的协议信息。R从指定的文件中读取包这些包一般通过W选项产生。S将TCP的序列号以绝对值形式输出,而不是相对值。S从每个分组中读取最开始的SNAPLEN个字节,而不是默认的68个字节。T将监听到的包直接解释为指定的类型的报文,常见的类型有RPC远程过程调用)和SNMP(简单网络管理协议;)。T不在每一行中输出时间戳。TT在每一行中输出非格式化的时间戳。TTT输出本行和前面一行之间的时间差。TTTT在每一行中输出由DATE处理的默认格式的时间戳。U输出未解码的NFS句柄。V输出一个稍微详细的信息,例如在IP包中可以包括TTL和服务类型的信息。VV输出详细的报文信息。W直接将分组写入文件中,而不是不分析并打印出来。2、TCPDUMP的表达式介绍表达式是一个正则表达式,TCPDUMP利用它作为过滤报文的条件,如果一个报文满足表达式的条件,则这个报文将会被捕获。如果没有给出任何条件,则网络上所有的信息包将会被截获。在表达式中一般如下几种类型的关键字引用第一种是关于类型的关键字,主要包括HOST,NET,PORT,例如HOST19216812,指明19216812是一台主机,NET202000指明202000是一个网络地址,PORT23指明端口号是23。如果没有指定类型,缺省的类型是HOST。第二种是确定传输方向的关键字,主要包括SRC,DST,DSTORSRC,DSTANDSRC,这些关键字指明了传输的方向。举例说明,SRC19216812,指明IP包中源地址是19216812,DSTNET202000指明目的网络地址是202000。如果没有指明方向关键字,则缺省是SRCORDST关键字。第三种是协议的关键字,主要包括FDDI,IP,ARP,RARP,TCP,UDP等类型。FDDI指明是在FDDI分布式光纤数据接口网络上的特定的网络协议,实际上它是”ETHER”的别名,FDDI和ETHER具有类似的源地址和目的地址,所以可以将FDDI协议包当作ETHER的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议,则TCPDUMP将会监听所有协议的信息包。除了这三种类型的关键字之外,其他重要的关键字如下GATEWAY,BROADCAST,LESS,GREATER,还有三种逻辑运算,取非运算是‘NOT''‘,与运算是’AND’,’或运算是’OR’;这些关键字可以组合起来构成强大的组合条件来满足人们的需要。第二种是确定传输方向的关键字,主要包括SRC,DST,DSTORSRC,DSTANDSRC,这些关键字指明了传输的方向,如果没有指明方向关键字,则缺省是SRCORDST关键字。指明IP包中源地址是19216812SRC19216812指明目的网络地址是202000DSTNET202000第三种是协议的关键字,主要包括FDDI,IP,ARP,RARP,TCP,UDP,ICMP,ICMP6,IGMP,IGRP,PIM,AH,ESP,VRRP等类型。FDDI指明是在FDDI分布式光纤数据接口网络上的特定的网络协议,实际上它是“ETHER“的别名,FDDI和ETHER具有类似的源地址和目的地址,所以可以将FDDI协议包当作ETHER的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议,则TCPDUMP将会监听所有协议的信息包。除了这三种类型的关键字之外,其他重要的关键字如下VLAN,PROTO,GATEWAY,BROADCAST,LESS,GREATER,还有三种逻辑运算,取非运算是'NOT''',与运算是'AND','或运算是'OR','││'3、输出结果介绍下面我们介绍几种典型的TCPDUMP命令的输出信息1数据链路层头信息使用命令TCPDUMPEHOSTICEICE是一台装有LINUX的主机。它的MAC地址是0902758AF1AH219是一台装有SOLARIS的SUN工作站。它的MAC地址是8020795B46;上一条命令的输出结果如下所示引用215012847509ETH0ICETELNET000ACK22535WIN8760DF215012是显示的时间,847509是ID号,ETH0表示从网络接口设备发送分组,8020795B46是主机H219的MAC地址,它表明是从源地址H219发来的分组0902758AF1A是主机ICE的MAC地址,表示该分组的目的地址是ICE。IP是表明该分组是IP分组,60是分组的长度,H21933357ICETELNET表明该分组是从主机H219的33357端口发往主机ICE的TELNET23端口。ACK22535表明对序列号是222535的包进行响应。WIN8760表明发送窗口的大小是8760。2ARP包的TCPDUMP输出信息使用命令TCPDUMPARP得到的输出结果是引用223242802509ETH0ARPWHOHASROUTETELLICE0902758AF1A223242802902ETH0表明从主机发出该分组,ARP表明是ARP请求包,WHOHASROUTETELLICE表明是主机ICE请求主机ROUTE的MAC地址。0902758AF1A是主机ICE的MAC地址。3TCP包的输出信息用TCPDUMP捕获的TCP包的一般输出信息是引用SRCDSTFLAGSDATASEQNOACKWINDOWURGENTOPTIONSSRCDST表明从源地址到目的地址,FLAGS是TCP报文中的标志信息,S是SYN标志,FFIN,PPUSH,RRST““没有标记DATASEQNO是报文中的数据的顺序号,ACK是下次期望的顺序号,WINDOW是接收缓存的窗口大小,URGENT表明报文中是否有紧急指针。OPTIONS是选项。4UDP包的输出信息用TCPDUMP捕获的UDP包的一般输出信息是引用ROUTEPORT1ICEPORT2UDPLENTHUDP十分简单,上面的输出行表明从主机ROUTE的PORT1端口发出的一个UDP报文到主机ICE的PORT2端口,类型是UDP,包的长度是LENTH。4、举例1想要截获所有19216811的主机收到的和发出的所有的分组TCPDUMPHOST192168112想要截获主机19216811和主机19216812或19216813的通信,使用命令(注意括号前的反斜杠是必须的)TCPDUMPHOST19216811AND\19216812OR19216813\3如果想要获取主机19216811除了和主机19216812之外所有主机通信的IP包,使用命令TCPDUMPIPHOST19216811AND192168124如果想要获取主机192168228246接收或发出的SSH包,并且不转换主机名使用如下命令TCPDUMPNNNSRCHOST192168228246ANDPORT22ANDTCP5获取主机192168228246接收或发出的SSH包,并把MAC地址也一同显示TCPDUMPESRCHOST192168228246ANDPORT22ANDTCPNNN6过滤的是源主机为19216801与目的网络为19216800的报头TCPDUMPSRCHOST19216801ANDDSTNET19216800/247过滤源主机物理地址为XXX的报头TCPDUMPETHERSRC005004BA9BANDDST(为什么ETHERSRC后面没有HOST或者NET物理地址当然不可能有网络喽)。8过滤源主机19216801和目的端口不是TELNET的报头,并导入到TESTTXT文件中TCPDUMPSRCHOST19216801ANDDSTPORTNOTTELNETLTESTTXTIPICMPARPRARP和TCP、UDP、ICMP这些选项等都要放到第一个参数的位置,用来过滤数据报的类型。9指明192000是一个网络地址TCPDUMPNET19200010PORT指明端口号是23。TCPDUMPPORT2311数据链路层头信息TCPDUMPEHOSTICEICE是一台装有LINUX的主机,她的MAC地址是0902758AF1AH219是一台装有SOLARIC的SUN工作站,它的MAC地址是8020795B46;上一条命令的输出结果如下所示215012847509ETH0ICETELNET000ACK22535WIN8760DF分析215012是显示的时间,847509是ID号,ETH0表示从网络接口设备发送数据包,8020795B46是主机H219的MAC地址,它表明是从源地址H219发来的数据包0902758AF1A是主机ICE的MAC地址,表示该数据包的目的地址是ICEIP是表明该数据包是IP数据包,60是数据包的长度,H21933357ICETELNET表明该数据包是从主机H219的33357端口发往主机ICE的TELNET23端口ACK22535表明对序列号是222535的包进行响应WIN8760表明发送窗口的大小是876012想要截获所有19216812的主机收到的和发出的所有的数据包TCPDUMPHOST1921681213想要截获主机19216812和主机19216812或19216813的通信,使用命令TCPDUMPHOST19216812AND\19216812OR19216813\14如果想要获取主机19216812除了和主机19216812之外所有主机通信的IP包,使用命令TCPDUMPIPHOST19216812AND1921681215如果想要获取主机19216812接收或发出的TELNET包,使用如下命令TCPDUMPTCPPORT23HOST1921681216对本机的UDP123端口进行监视123为NTP的服务端口TCPDUMPUDPPORT12317UDP包的输出信息用TCPDUMP捕获的UDP包的一般输出信息是ROUTEPORT1ICEPORT2UDPLENTHUDP十分简单,上面的输出行表明从主机ROUTE的PORT1端口发出的一个UDP数据包到主机ICE的PORT2端口,类型是UDP,包的长TCP包的输出信息用TCPDUMP捕获的TCP包的一般输出信息是SRCDSTFLAGSDATASEQNOACKWINDOWURGENTOPTIONSSRCDST表明从源地址到目的地址,FLAGS是TCP包中的标志信息,S是SYN标志,FFIN,PPUSH,RRST““没有标记DATASEQNO是数据包中的数据的顺序号,ACK是下次期望的顺序号,WINDOW是接收缓存的窗口大小,URGENT表明数据包中是否有紧急指针OPTIONS是选项18ARP包的TCPDUMP输出信息使用命令TCPDUMPARP得到的输出结果是223242802509ETH0ARPWHOHASROUTETELLICE0902758AF1A223242802902ETH0表明从主机发出该数据包,ARP表明是ARP请求包,WHOHASROUTETELLICE表明是主机ICE请求主机ROUTE的MAC地址。0902758AF1A是主机ICE的MAC地址。实验完毕,关闭虚拟机和所有窗口。
展开阅读全文
  麦档网所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
0条评论

还可以输入200字符

暂无评论,赶快抢占沙发吧。

关于本文
本文标题:l003002018-tcpdump工具使用与udp数据包分析.docx
链接地址:https://www.maidoc.com/p-1560.html

当前资源信息

lo****j

编号: 20180301224559718129

类型: 共享资源

格式: DOCX

大小: 126.32KB

上传时间: 2018-03-01

关于我们 - 网站声明 - 网站地图 - 资源地图 - 友情链接 - 网站客服 - 联系我们

[email protected] 2018-2020 maidoc.com版权所有  文库上传用户QQ群:3303921 

麦档网为“文档C2C模式”,即用户上传的文档所得金币直接给(下载)用户,本站只是中间服务平台,本站所有文档下载所得的金币归上传人(含作者)所有。
备案号:蜀ICP备17040478号-3  
川公网安备:51019002001290号 

本站提供办公文档学习资料考试资料文档下载


收起
展开