1 应用

Windump是tcpdump的Windows版本,主要的参数如下:

-D 列出所有的接口

-i interface 指定用于抓包的接口

-c packetcount 指定抓包的个数

-w filename 指定用于保存抓到的包的文件名

-C filesize 指定用于保存抓到的包的文件大小

-W filecount 指定保存多少个文件

-m MIB module 指定要load的MIB module

-T snmp 指定抓到的包的类型

-nn 指定不用解析主机名和端口名

-s snaplength 指定抓包的长度,默认为68bytes,若设为0则保存整个包

举例如下,要抓取所有到本机162端口的完整的SNMP包,保存到traps.cap这个文件中,文件大小为100M,最多抓取10个100M,则Windump的命令行为:

windump -nn -s 0 -T snmp -w traps.cap -C 100M -W 10 udp dst port 162

2 Windump参数简介

windump支持相当多的不同参数,如使用-i参数指定Windump监听的网络界面,这在计算机具有多个网络界面时非常有用,使用-c参数指定要监听的数据包数量,使用-w参数指定将监听到的数据包写入文件中保存,等等。

Windump的参数很多,运行windump -h可以看到:

D:\>windump -h

windump version current-cvs.Windump.org, based on Windump version current-cvs.tc

pdump.org

WinPcap version 3.0 alpha, based on libpcap version current-cvs.Windump.org

Usage: windump [-aAdDeflnNOpqRStuvxX] [-B size] [-c count] [ -C file_size ]

[ -F file ] [ -i interface ] [ -r file ] [ -s snaplen ]

[ -T type ] [ -w file ] [ -E algo:secret ] [ expression ]

Windump的参数选项介绍

   -a    将网络地址和广播地址转变成名字;

   -d    将匹配信息包的代码以人们能够理解的汇编格式给出;

   -dd    将匹配信息包的代码以c语言程序段的格式给出;

   -ddd    将匹配信息包的代码以十进制的形式给出;

   -e    在输出行打印出数据链路层的头部信息;

   -f    将外部的Internet地址以数字的形式打印出来;

   -l    使标准输出变为缓冲行形式;如Windump -l>tcpcap.txt

-n    不把网络地址转换成名字;

-N 不打印出默认的域名。

-nn 不进行端口名称的转换。

-O 不进行匹配代码的优化

-t    在输出的每一行不打印时间戳;

-tt 打印原始的、未格式化过的时间。

   -v    输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息;

   -vv    输出详细的报文信息;

   -c    在收到指定的包的数目后,Windump就会停止;

   -F    从指定的文件中读取表达式,忽略其它的表达式;

   -i    指定监听的网络接口;

   -r    从指定的文件中读取包(这些包一般通过-w选项产生);

   -w    直接将包写入文件中,并不分析和打印出来;

-T    将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程调用)和snmp(简单网络管理协议;)

下面存属转载

3 Windump表达式介绍

表达式是一个正则表达式,Windump利用它作为过滤报文的条件,如果一个报文满足表达式的条件,则这个报文将会被捕获。如果没有给出任何条件,则网络上所有的信息包将会被截获。在表达式中一般如下几种类型的关键字。

ü 第一种是关于类型的关键字,主要包括host,net,port, 例如 host 192.168.0.111,指明 192.168.0.111是一台主机,net 192.168.0.0 指明 192.168.0.0是一个网络地址,port 23 指明端口号是23。如果没有指定类型,缺省的类型是host.

ü 第二种是确定传输方向的关键字,主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明,src192.168.0.94 ,指明ip包中源地址是192.168.0.94 , dst net 192.168.0.0 指明目的网络地址是192.168.0.0。如果没有指明方向关键字,则缺省是src or dst关键字。

ü 第三种是协议的关键字,主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议,实际上它是"ether"的别名,fddi和ether具有类似的源地址和目的地址,所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议,则Windump将会监听所有协议的信息包。

除了这三种类型的关键字之外,其他重要的关键字如下:gateway, broadcast,less,greater,还有三种逻辑运算,取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'││';这些关键字可以组合起来构成强大的组合条件来满足人们的需要,下面举几个例子来说明。

A想要截获所有192.168.0.94 的主机收到的和发出的所有的数据包:

#Windump host 192.168.0.94

B想要截获主机192.168.0.94 和主机192.168.0.168 或192.168.0.111的通信,使用命令:(在命令行中适用括号时,一定要

#Windump host 192.168.0.94 and (192.168.0.168 or 192.168.0.111)

C如果想要获取主机192.168.0.94除了和主机192.168.0.111之外所有主机通信的ip包,使用命令:

#Windump ip host 192.168.0.94 and ! 192.168.0.111

D如果想要获取主机192.168.0.94接收或发出的telnet包,使用如下命令:

#Windump tcp port 23 host 192.168.0.94

1.2.4 Windump的输出结果介绍

下面我们介绍几种典型的Windump命令的输出信息

ü A,数据链路层头信息

使用命令

#Windump --e host test100

16:20:51.602645 arp who-has TEST100 tell wh

16:20:51.602931 arp reply TEST100 is-at 0:1:2:9a:d:24

16:20:51.602979 wh.137 > TEST100.137:

16:29:26.397806 TEST100.139 > wh.1226: . 4218060367:4218060368(1) ack 4122708076 win 17223

分析:16:20:51是显示的时间, 602645是ID号,首先主机wh发出arp请求test100的MAC地址,接着test100返回了它的MAC地址,wh的137与test100的137端口发送.test100的139端口向wh的1226端口发送数据, ack 4122708076 表明对序列号是4122708076的包进行响应. win 17223表明发送窗口的大小是17223

ü B,ARP包的WINDUMP输出信息

使用命令

#Windump arp

得到的输出结果是:

22:32:42.802509 arp who-has 192.168.0.168 tell 192.168.0.94

22:32:42.802902 arp reply 192.168.0.168 is-at 0:1:2:9a:d:24

分析: 22:32:42是时间戳, 802509是ID号, arp表明是ARP请求包, who-has 192.168.0.168 tell 192.168.0.94 表示主机192.168.0.94请求主机192.168.0.168的MAC地址.接着arp reply 192.168.0.168 is-at 0:1:2:9a:d:24表示主机192.168.0.168收到请求并返回自己的MAC地址.

Unix下的Tcpdump格式略有不同,如下

22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)

22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)

eth0 <表示从网络接口eth0 接受该数据包,eth0 >表示从网络接口设备发送数据包, 其他与windump一样.

ü C,TCP包的输出信息

用WINDUMP捕获的TCP包的一般输出信息是:

时间戳&ID号 src.port1>dst.port2 : flags data-seqno ack window urgent options

02:53:03是时间戳, 541838是ID号,src > dst:表明从源地址到目的地址, port1,port2代表端口号,flags是TCP包中的标志信息,S 是SYN标志, F (FIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. Options是选项.

ü D,UDP包的输出信息

用WINDUMP捕获的UDP包的一般输出信息是:

时间戳&ID号 src.port1>dst.port2: udp length

UDP十分简单,上面的输出行表明从主机src的port1端口发出的一个UDP数据包到主机dst的port2端口,类型是UDP, 包的长度是length

1.2.5 Windump网络数据的过滤

不带任何参数的Windump将搜索系统中所有的网络接口,并显示它截获的所有数据,这些数据对我们不一定全都需要,而且数据太多不利于分析。所以,我们应当先想好需要哪些数据,Windump提供以下参数供我们选择数据:

Windump后直接跟 数据-链路层上选择协议,包括ip、arp、rarp、ipx都是这一层的。例如:

D:\>Windump arp //将只显示网络中的arp即地址转换协议信息。

-i选择过滤的网络接口,如果是作为路由器至少有两个网络接口,通过这个选项,就可以只过滤指定的接口上通过的数据。例如:

src、dst、port、host、net、ether、gateway这几个选项又分别包含src、dst、port、host、net、ehost等附加选项。他们用来分辨数据包的来源和去向,src host 192.168.0.1指定源主机IP地址是192.168.0.1,dst net 192.168.0.0/24指定目标是网络192.168.0.0。以此类推,host是与其指定主机相关无论它是源还是目的,net是与其指定网络相关的,ether后面跟的不是IP地址而是物理地址,而gateway则用于网关主机。可能有点复杂,看下面例子就知道了:

D:\>Windump src host 192.168.0.1 and dst net 192.168.0.0/24

过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头。

D:\>Windump ether src 00:50:04:BA:9B and dst……

过滤源主机物理地址为XXX的报头(为什么ether src后面没有host或者net?物理地址当然不可能有网络喽)。

D:\>Windump src host 192.168.0.1 and dst port not telnet

过滤源主机192.168.0.1和目的端口不是telnet的报头。

ip icmp arp rarp和tcp、udp、icmp这些选项等都要放到第一个参数的位置,用来过滤数据报的类型。例如:

D:\>Windump ip src……

只过滤数据-链路层上的IP报头。

D:\>Windump udp and src host 192.168.0.1

只过滤源主机192.168.0.1的所有udp报头

-n不进行IP地址到主机名的转换。

1.2.6 Windump实战解析

我经常用的命令是windump –n –S,或者windump –n –S –v 或者windump –n-S-vv.-n表示源地址和目的地址不采用主机名的形式显示而采用IP地址的形式;-S是显示TCP/IP的实际进程数,如果不选择这个选项,可能出现的就是近似值,比如:如果现在的进程数是87334271,下一秒变成了多了一个,就会显示出来是87334272.-v和-vv是让机器显示更加全面的信息,显示诸如存活时间/IP的ID等信息.,上一节1.2.2中已经对各参数的详细功能做了介绍.

接着我们对TCP握手过程进行嗅探分析,在windows命令行界面下,运行windump,如下:

D:\>windump –n

windump: listening on\Device\Packet_{9D9A4413-7F41-463A-BA3C-B17145F4A626}

02:53:03.541838 192.168.0.194.4423 > 192.168.0.168.80: S 4057648491:4057648491(0) win 16384 <mss 1460,nop,nop,sackOK> (DF)

/*

这此TCP第一次握手过程,所表示的含义是IP地址为192.168.0.194的电脑向IP地址为192.168.0.168的电脑发起一个TCP的连接请求。

其中02:53:03.541838表示时间戳与ID号;192.168.0.194为源IP地址,端口4423;192.168.0.168是目的地址,端口80,我们可以判断这是连接在远程主机的WEB服务上;S 4057648491:4057648491(0)表示IP194主机主动发起了一个SYN请求,这是第一步握手,4057648491是请求端的初始序列号;win 16384 表示发端通告的窗口大小;mss 1460表示由发端指明的最大报文段长度。

*/

02:53:03.542005 192.168.0.168.1234 > 192.168.0.194.4423: S 1391008532:1391008532(0) ack 4057648492 win 17520 <mss 1460,nop,nop,sackOK> (DF)

/*

同上一样,时间戳&ID号为02:53:03.542005;源IP地址为192.168.0.168端口80,而目的IP地址变为192.168.0.194端4423;接着是S 1391008532:1391008532(0) ack 4057648492,这是第二步握手,1391008532是服务器端所给的初始序列号,ack 4057648492是确认序号,是对第一次握手中客户端发起请求的初始序列号加1。该行表示服务器端接受客户端发起的TCP连接请求,并发出自己的初始序列号。

*/

02:53:03.542167 192.168.0.194.4423 > 192.168.0.168.1234: . ack 1 win 17520 (DF)

/*

这是三步握手的最后一步,客户端发送ack 1,表示三步握手已经正常结束,下面就可以传送数据了。

*/

当TCP三次握手不成功又是怎么样的呢?接着telnet到一台没有开telnet服务的计算机上面,插看windump抓获的数据包

C:\Documents and Settings\wh>telnet 192.168.0.194

Connecting To 192.168.0.194...Could not open a connection to host on port 23 : Connect failed

/*

上面说明从192.168.0.168 telnet192.168.0.194 失败.

*/

D:\>windump –n

windump: listening on\Device\Packet_{9D9A4413-7F41-463A-BA3C-B17145F4A626}

18:19:45.278916 arp who-has 192.168.0.194 tell 192.168.0.168

/*

上面的信息说明192.168.0.168因为不知道192.168.0.194的MAC地址,所以首先向网络种发送ARP广播包

*/

18:19:45.279090 arp reply 192.168.0.194 is-at 0:d0:f8:38:de:ab

/*

接着192.168.0.194回应192.168.0.168的请求,告诉192.168.0.168它的MAC地址是0:d0:f8:38:de:ab

*/

18:19:45.279108 192.168.0.168.1148 > 192.168.0.194.23: S 2869223552:2869223552(0) win 16384 <mss 1460,nop,nop,sackOK> (DF)

/*

然后192.168.0.168向192.168.0.194发起SYN请求

*/

18:19:45.279269 192.168.0.194.23 > 192.168.0.168.1148: R 0:0(0) ack 2869223553 win 0

/*

上面这行信息表示目标主机拒绝了这一请求,故发送R 0:0(0)的响应,表示不接受192.168.0.168的请求。在接下面的几行中我们看见192.168.0.168连续向192.168.0.194发送SYN请求,一共三次请求,但都被目标主机拒绝

*/

18:19:45.769542 192.168.0.168.1148 > 192.168.0.194.23: S 2869223552:2869223552(0) win 16384 <mss 1460,nop,nop,sackOK> (DF)

18:19:45.769757 192.168.0.194.23 > 192.168.0.168.1148: R 0:0(0) ack 1 win 0

18:19:46.316397 192.168.0.168.1148 > 192.168.0.194.23: S 2869223552:2869223552(0) win 16384 <mss 1460,nop,nop,sackOK> (DF)

18:19:46.316636 192.168.0.194.23 > 192.168.0.168.1148: R 0:0(0) ack 1 win 0

以上是利用Windump对TCP的三次握手过程进行分析,Windump的参数很多,功能也非常强大,实际运用中根据实际的需求,来设置参数,获得你所需要的信息.相信每次使用都会有不同的收获.

Windump教程-参数介绍的更多相关文章

  1. Apache Solr 初级教程(介绍、安装部署、Java接口、中文分词)

    Python爬虫视频教程零基础小白到scrapy爬虫高手-轻松入门 https://item.taobao.com/item.htm?spm=a1z38n.10677092.0.0.482434a6E ...

  2. Python爬虫教程-07-post介绍(百度翻译)(上)

    Python爬虫教程-07-post介绍(百度翻译)(上) 访问网络两种方法 get: 利用参数给服务器传递信息 参数为dict,使用parse编码 post :(今天给大家介绍的post) 一般向服 ...

  3. SQLMAP参数介绍

    转自:http://zhan.renren.com/bugpower?gid=3602888498044629629&checked=true SQLMAP参数介绍 sqlmap的使用方式:p ...

  4. G++ 参数介绍(转载)

    g++参数介绍 From: http://www.cnblogs.com/lidan/archive/2011/05/25/2239517.html gcc and g++分别是gnu的c & ...

  5. pentaho cde 画图参数介绍

    初步接触pentaho,由于在国内的资料很少,唯有看英文文档,做了N次反复尝试,挖掘了pentaho CDE中画图的一些基本参数. 下面就列出来了一些常用参数介绍: crosstabMode:表明如果 ...

  6. mysql性能优化学习笔记-参数介绍及优化建议

    MySQL服务器参数介绍 mysql参数介绍(客户端中执行),尽量只修改session级别的参数. 全局参数(新连接的session才会生效,原有已经连接的session不生效) set global ...

  7. 【体系结构】Oracle参数介绍

    [体系结构]Oracle参数介绍 1  BLOG文档结构图 2  前言部分 2.1  导读和注意事项 各位技术爱好者,看完本文后,你可以掌握如下的技能,也可以学到一些其它你所不知道的知识,~O(∩_∩ ...

  8. Bootstrap Paginator 分页插件参数介绍及使用

    Bootstrap Paginator是一款基于Bootstrap的js分页插件,功能很丰富,个人觉得这款插件已经无可挑剔了.它提供了一系列的参数用来支持用户的定制,提供了公共的方法可随时获得插件状态 ...

  9. Apache中 RewriteRule 规则参数介绍

    Apache中 RewriteRule 规则参数介绍 摘要: Apache模块 mod_rewrite 提供了一个基于正则表达式分析器的重写引擎来实时重写URL请求.它支持每个完整规则可以拥有不限数量 ...

随机推荐

  1. IIS 7上导入SSL证书

    1.将SSL证书文件上传至服务器 2.导入证书 1)在IIS设置项中,打开‘服务器证书’ 2)选择导入 3)将网站绑定SSL证书

  2. DES算法,JAVA,遇到的问题

    (1)使用Based64编码时出现的问题. java.lang.IllegalArgumentException 这中情况出现在解密时,主要原因是based64加密时用了sun的内部包sun.misc ...

  3. 20155208徐子涵 2016-2017-2 《Java程序设计》第3周学习总结

    20155208徐子涵 2016-2017-2 <Java程序设计>第3周学习总结 教材学习内容总结 第四章 认识对象 4.1 类与对象 •对象(Object):存在的具体实体,具有明确的 ...

  4. bulma入门

    http://www.ruanyifeng.com/blog/2017/10/bulma.html

  5. Linux配置java环境变量 【随手记】

    JAVA环境变量 1. PATH环境变量.作用是指定命令搜索路径,在shell下面执行命令时,它会到PATH变量所指定的路径中查找看是否能找到相应的命令程序. 2. CLASSPATH环境变量.作用是 ...

  6. hdu2461 Rectangles 线段树--扫描线

    You are developing a software for painting rectangles on the screen. The software supports drawing s ...

  7. C# 的AOP实现

    闲来无事,做了一个AOP示例,此示例只能捕获方法调用事件,无法动态阻止方法调用的执行.因为取消后构造返回值成了难题,返回null貌似会报错.如果不需要这个功能,其实还是很完美的. 缺点是没有以接口方式 ...

  8. 【点击项目属性】Target runtime Apache Tomcat v7.0 is not defined

    这个项目是去年用同一个eclipse做的,但是今年原封不动导入的时候,确发现这个东西 tomcat选成我们本地的tomcat8就可以了 泼菲解决.

  9. linux常见系统调用函数列表

    以下是Linux系统调用的一个列表,包含了大部分常用系统调用和由系统调用派生出的的函数.这可能是你在互联网上所能看到的唯一一篇中文注释的Linux系统调用列表,即使是简单的字母序英文列表,能做到这么完 ...

  10. Embedded SW uses STL or not

    As the complexity increasing of embedded software, more and more projects/products use C++ as the im ...