TCPDump介紹
責編：admin ｜2014-12-31 10:03:35TcpDump可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾，并提供and、or、not等邏輯語句來幫助你去掉無用的信息。tcpdump就是一種免費的網絡分析工具，尤其其提供了源代碼，公開了接口，因此具備很強的可擴展性，對于網絡維護和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系統中，由于它需要將網絡界面設置為混雜模式，普通用戶不能正常執行，但具備root權限的用戶可以直接執行它來獲取網絡上的信息。因此系統中存在網絡分析工具主要不是對本機安全的威脅，而是對網絡上的其他計算機的安全存在威脅。
我們用盡量簡單的話來定義tcpdump，就是：dump the traffice on anetwork.，根據使用者的定義對網絡上的數據包進行截獲的包分析工具。作為互聯網上經典的的系統管理員必備工具，tcpdump以其強大的功能，靈活的截取策略，成為每個高級的系統管理員分析網絡，排查問題等所必備的東西之一。tcpdump提供了源代碼，公開了接口，因此具備很強的可擴展性，對于網絡維護和入侵者都是非常有用的工具。
TcpDump的使用
普通情況下，直接啟動tcpdump將監視第一個網絡界面上所有流過的數據包。
tcpdump支持相當多的不同參數，如使用-i參數指定tcpdump監聽的網絡界面，這在計算機具有多個網絡界面時非常有用，使用-c參數指定要監聽的數據包數量，使用-w參數指定將監聽到的數據包寫入文件中保存，等等。
然而更復雜的tcpdump參數是用于過濾目的，這是因為網絡中流量很大，如果不加分辨將所有的數據包都截留下來，數據量太大，反而不容易發現需要的數據包。使用這些參數定義的過濾規則可以截留特定的數據包，以縮小目標，才能更好的分析網絡中存在的問題。tcpdump使用參數指定要監視數據包的類型、地址、端口等，根據具體的網絡問題，充分利用這些過濾規則就能達到迅速定位故障的目的。請使用man tcpdump查看這些過濾規則的具體用法。
如何屏蔽網絡分析軟件：
顯然為了安全起見，不用作網絡管理用途的計算機上不應該運行這一類的網絡分析軟件，為了屏蔽它們，可以屏蔽內核中的bpfilter偽設備。一般情況下網絡硬件和TCP/IP堆棧不支持接收或發送與本計算機無關的數據包，為了接收這些數據包，就必須使用網卡的混雜模式，并繞過標準的TCP/IP堆棧才行。在FreeBSD下，這就需要內核支持偽設備bpfilter。因此，在內核中取消bpfilter支持，就能屏蔽tcpdump之類的網絡分析工具。
有操作就會有痕跡：
并且當網卡被設置為混雜模式時，系統會在控制臺和日志文件中留下記錄，提醒管理員留意這臺系統是否被用作攻擊同網絡的其他計算機的跳板。
May 15 16：27：20 host1 /kernel： fxp0： promiscuous mode enabled
雖然網絡分析工具能將網絡中傳送的數據記錄下來，但是網絡中的數據流量相當大，如何對這些數據進行分析、分類統計、發現并報告錯誤卻是更關鍵的問題。網絡中的數據包屬于不同的協議，而不同協議數據包的格式也不同。因此對捕獲的數據進行解碼，將包中的信息盡可能的展示出來，對于協議分析工具來講更為重要。昂貴的商業分析工具的優勢就在于它們能支持很多種類的應用層協議，而不僅僅只支持tcp、udp等低層協議。
從上面tcpdump的輸出可以看出，tcpdump對截獲的數據并沒有進行徹底解碼，數據包內的大部分內容是使用十六進制的形式直接打印輸出的。顯然這不利于分析網絡故障，通常的解決辦法是先使用帶-w參數的tcpdump 截獲數據并保存到文件中，然后再使用其他程序進行解碼分析。當然也應該定義過濾規則，以避免捕獲的數據包填滿整個硬盤。
除了tcpdump之外，FreeBSD的PackagesCollecion中還提供了Ethereal和Sniffit兩個網絡分析工具，以及其他一些基于網絡分析方式的安全工具。其中Ethereal運行在X Window 下，具有不錯的圖形界面，Sniffit使用字符窗口形式，同樣也易于操作。然而由于tcpdump對過濾規則的支持能力更強大，因此系統管理員仍然更喜歡使用它。對于有經驗的網絡管理員，使用這些網絡分析工具不但能用來了解網絡到底是如何運行的，故障出現在何處，還能進行有效的統計工作，如那種協議產生的通信量占主要地位，那個主機最繁忙，網絡瓶頸位于何處等等問題。因此網絡分析工具是用于網絡管理的寶貴系統工具。為了防止數據被濫用的網絡分析工具截獲，關鍵還是要在網絡的物理結構上解決。常用的方法是使用交換機或網橋將信任網絡和不信任網絡分隔開，可以防止外部網段竊聽內部數據傳輸，但仍然不能解決內部網絡與外部網絡相互通信時的數據安全問題。如果沒有足夠的經費將網絡上的共享集線器升級為以太網交換機，可以使用FreeBSD系統執行網橋任務。這需要使用option BRIDGE編譯選項重新定制內核，此后使用bridge命令啟動網橋功能。（項目）