Linux有问必答:如何使用tcpdump来捕获TCP SYN,ACK和FIN包
2023-03-14 22:29:18 时间
Linux有问必答:如何使用tcpdump来捕获TCP SYN,ACK和FIN包
问题:我想要监控TCP连接活动(如,建立连接的三次握手,以及断开连接的四次握手)。要完成此事,我只需要捕获TCP控制包,如SYN,ACK或FIN标记相关的包。我怎样使用tcpdump来仅仅捕获TCP SYN,ACK和/或FYN包?
作为业界标准的捕获工具,tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则,如基于5重包头的过滤(如基于源/目的IP地址/端口和IP协议类型)。
tcpdump/libpcap的包过滤规则也支持更多通用分组表达式,在这些表达式中,包中的任意字节范围都可以使用关系或二进制操作符进行检查。对于字节范围表达,你可以使用以下格式:
- proto [ expr : size ]
“proto”可以是熟知的协议之一(如ip,arp,tcp,udp,icmp,ipv6),“expr”表示与指定的协议头开头相关的字节偏移量。有我们熟知的直接偏移量如tcpflags,也有取值常量如tcp-syn,tcp-ack或者tcp-fin。“size”是可选的,表示从字节偏移量开始检查的字节数量。
使用这种格式,你可以像下面这样过滤TCP SYN,ACK或FIN包。
只捕获TCP SYN包:
- # tcpdump -i <interface> "tcp[tcpflags] & (tcp-syn) != 0"
只捕获TCP ACK包:
- # tcpdump -i <interface> "tcp[tcpflags] & (tcp-ack) != 0"
只捕获TCP FIN包:
- # tcpdump -i <interface> "tcp[tcpflags] & (tcp-fin) != 0"
之捕获TCP SYN或ACK包:
- # tcpdump -r <interface> "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0"
原文发布时间:2014-10-08
本文来自云栖合作伙伴“linux中国”
相关文章
- 2022年企业应避免的十个大数据错误
- 用 git log 命令显示在特定日期的提交记录
- 如何清理 Snap 版本以释放磁盘空间
- 注意:雪花算法并不是ID的唯一选择!
- 如何检查: 是 Xorg 还是 Wayland 显示服务器?
- 12 个对新手很重要的 Linux 命令
- 华为开发者大会2022看点直击,多项创新技术发布,鸿蒙真有料
- 我偷偷学了这五个命令,打印Linux环境变量那叫一个“丝滑”
- 12 个关于 vim 的编辑技巧
- Linux 中如何获取文件的绝对路径
- 如何检查 Linux 服务器的运行时间
- Linux 中如何使用 id 命令,它是做什么用的呢?
- 什么是 Azure Synapse,它与 Azure Data Bricks 有何不同?
- 定价模型,该如何做分析?
- 浅谈我所见识的数据治理项目
- 跟着小白一起学鸿蒙--]简单Http客户端(十二)
- 三方库移植之NAPI开发--异步调用:Callback&Promise(四)
- 你了解 Linux 文件权限和所有权吗?
- 2022年数据治理和运营安全领域的发展趋势
- 使用 useradd 命令在 Linux 中添加新用户