DSAS開発者の部屋

tcpdumpについて

Ethereal には CUI 版の tethereal というのもあります。

まずはオプション

-i

パケットを拾うネットワークインターフェースをデバイス名 (Linux だと eth0 とか) で指定します。Linux の kernel 2.2 以上の場合は、"any" で全てのインターフェースのパケットをキャプチャできます。

windump の場合は少し違っていて、まず、windump -D で有効なデバイスの一覧を表示させて、キャプチャするデバイスを確認します。デバイスの指定は tcpdump と同じように -i オプションなのですが、windump -D で表示された番号か名前で指定します。名前は長いので番号で指定した方がよいでしょう。

-n

IP アドレスやポート番号を名前に変換せずに数値のまま表示します。このオプションを指定しないと、いちいち IP アドレスを DNS に問い合わせるので表示が遅くなります。

-x

パケットの中身を 16 進で表示してくれます。

-X

パケットの中身で ASCII で表示可能なものを ASCII で表示してくれます。

-s 長さ

-x や -X を指定した場合、パケットの先頭数十バイトだけが表示されますが、-s オプションでダンプ表示する長さを指定できます。ethernet 上でパケットダンプする際は -s 1600 で十分でしょう。

-e

ethernet フレームのヘッダを表示します。

こんなときどーする?

HTTP を見たい

tcpdump -i eth0 -n tcp port 80

tcpdump -i eth0 -n host 210.253.244.195 and tcp port 80

tcpdump -i eth0 -nxXs 1600 port 53

TCP のハンドシェイクを見たい

tcpdump -i eth0 -n host 10.10.0.2 and port 80

telnet 10.10.0.2 80

SYN パケットを相手に送って、        ↓ココの "S" が SYN

  IP 10.10.2.4.56708 > 10.10.0.2.80: S 3693760150:3693760150(0) win 5840 



SYN+ACK が返ってきて、              ↓ココの "S" と ココの "ack"↓

  IP 10.10.0.2.80 > 10.10.2.4.56708: S 3033576079:3033576079(0) ack 3693760151 win 5792 



最後に ACK を返している                ↓ココの "ack"

  IP 10.10.2.4.56708 > 10.10.0.2.80: . ack 1 win 1460 

icmp を見たい

  tcpdump -i eth0 -n icmp

or

  tcpdump -i eth0 -n ip proto \\icmp

arp を見たい

  tcpdump -i eth0 -n  arp

or

  tcpdump -i eth0 -n  ether proto \\arp

or

  tcpdump -i eth0 -ne arp

vrrp を見たい

  tcpdump -i eth0 -n vrrp

or

  tcpdump -i eth0 -n ip proto \\vrrp

or

  tcpdump -i eth0 -n ip proto 112

マルチキャストを見たい

tcpdump -i eth0 -n ip multicast

tcpdump -i eth0 -n multicast だと、ether multicast つまり IPv4 のブロードキャストなどもダンプされちゃいます。

stp を見たい

tcpdump -i eth0 -n stp

IPv6を見たい

tcpdump -i eth0 -n ip6

tcpdump -i eth0 -n ip6 and port 80

やっぱり GUI が好き

# tcpdump -i eth0 -n -s 1600 -w ~/test.dmp

# tcpdump -i eth0 -n -s 1600 -w ~/test.dmp port 80