一、tcpdump
對於本機中程序的系統行為呼叫跟蹤，strace是乙個很好的工具，而在網路問題的除錯中，tcpdump應該說是乙個必不可少的工具，和大部分linux下優秀工具一樣，它的特點就是簡單而強大。
二、linux下抓包原理
linux下的抓包是通過註冊一種虛擬的底層網路協議來完成對網路報文(準確的說是網路裝置)訊息的處理權。當網絡卡接收到乙個網路報文之後，它會遍歷系統中所有已經註冊的網路協議，例如乙太網協議、x25協議處理模組來嘗試進行報文的解析處理，這一點和一些檔案系統的掛載相似，就是讓系統中所有的已經註冊的檔案系統來進行嘗試掛載，如果哪乙個認為自己可以處理，那麼就完成掛載。
當抓包模組把自己偽裝成乙個網路協議的時候，系統在收到報文的時候就會給這個偽協議一次機會，讓它來對網絡卡收到的報文進行一次處理，此時該模組就會趁機對報文進行窺探，也就是把這個報文完完整整的複製乙份，假裝是自己接收到的報文，匯報給抓包模組。
先看一下網路層對於接收到的報文的處理方法
static int process_backlog(struct net_device *backlog_dev, int*budget)---netif_receive_skb
list_for_each_entry_rcu(ptype, &
ptype_all, list)
}三、協議族的註冊
對於這種協議，也只有在需要的時候才註冊，因為它畢竟增加了系統報文的處理速度並且會消耗大量的系統skb。當抓包開始的時候，它會建立乙個對應的網路套介面，這種套介面的型別就是af_packet型別。相關實現為
linux-2.6.21\net\packet\af_packet.c
static int packet_create(struct socket *sock, intprotocol)
sk->sk_family = pf_packet;
po->num=
proto;
……po->prot_hook.func =
packet_rcv;
……if (proto)
當乙個網絡卡上真正有報文到來的時候，它就會呼叫這裡註冊的packet_rcv函式
……res=
run_filter(skb, sk,snaplen);
如果說filter過濾失敗，說明是抓包不關心的報文，直接放行，返回值非零表示不關心。
if(!res)
gotodrop_n_restore;
……if(skb_shared(skb))
kfree_skb(skb);
skb =nskb;
}四、filter的執行
run_filter--->>sk_run_filter
……for (pc = 0;pc < flen; pc++)
這個函式是執行了乙個自己定義的指令集和。使用者通過sockopt來註冊這段指令，核心在核心態執行這些指令，完成匹配，其中包含了報文某些欄位的載入，條件跳轉、加減乘除以及返回等指令。當轉包套介面接收到報文之後，對這個報文執行這段虛擬程式，直到遇到ret指令作為自己的返回值。通過tcpdump-d 可以顯示出編譯之後生成的指令，下面是乙個測試輸出
[root@harry bash-4.1]# tcpdump -d host 1.2.3.4
tcpdump: warning: eth0: no ipv4 address assigned
(000)ldh
[12]
(001)jeq
#0x800
jt 2
jf6(002)ld
[26]
載入接收到報文的第26個位元組開始的乙個int型別，
(003)
jeq
#0x1020304
jt 12
jf4如果和0x1234相等，跳轉到12跳指令，不等繼續第四條指令。
(004)ld
[30]
(005)jeq
#0x1020304
jt 12
jf13
(006)jeq
#0x806
jt 8
jf7(007)jeq
#0x8035
jt 8
jf13
(008)ld
[28]
(009)jeq
#0x1020304
jt 12
jf10
(010)ld
[38]
(011)jeq
#0x1020304
jt 12
jf13
(012)ret
#65535
(013)ret
#0[root@harry bash-4.1]#
五、tcpdump的處理
對於tcpdump來說，命令列輸入中除了選項之外的引數都將作為乙個語法檔案來處理。libcap中定義了自己的詞法分析器和語法分析器。其詞法分析器為scanner.l，語法分析檔案為scanner.l，可見該語言的定義使用了通用的bison和flex的幫助。但是如果使用了這些工具，就意味著乙個配置檔案就可以寫的很複雜，例如syslog-ng配置、ld連線配置指令碼、bash指令碼等各種語法。
這個語法檔案如果感興趣可以看看說明文件即可。
其中pcap庫中沒有對網絡卡的配置，而且tcpdump的命令處理對於-i是覆蓋的，所以一次tcpdump只能偵聽乙個埠。如果命令列沒有指定網路裝置，pcap會列舉系統中所有的網路裝置，然後取出第乙個裝置(這個順序在不通的系統有不同排列順序，看一下tcpdump的輸出即可確定是在那個埠)
六、本地報文處理
if (res.type==
rtn_local)
struct net_device loopback_dev = {
.name
="lo",
linux下TCPDUMP抓包工具
非圖形化介面的時候，只能用命令列下面的 一般來說是安裝好了的 直接在shell介面下輸入tcpdump 每一行顯示的都是乙個資料報 預設情況下不儲存資料只顯示 tcpdump c 10 只抓取10個資料報 tcpdump c 10 w linux cap.log w為寫入linux cap.log，...
linux下tcpdump的使用簡介
簡介 用簡單的話來定義tcpdump，就是 dump the traffic on a network，根據使用者的定義對網路上的資料報進行截獲的包分析工具。tcpdump可以將網路中傳送的資料報的 頭 完全截獲下來提供分析。它支 持針對網路層 協議 主機 網路或埠的過濾，並提供and or not...
linux下tcpdump的抓包
tcpdump中最常見的幾個引數 首先檢視網絡卡名稱 ifconfig 最常用的配置和檢視網路介面資訊的命令 i 指定要抓取資料報的網絡卡名稱 tcpdump i eth0 c 10 抓取eth0網絡卡的資料報 不設數量10，會一直監聽下去 w 把抓取到的資料存放到檔案中使用wireshark檢視,...