【转】tcpdump使用手册

作者：易隐者发布于：2012-6-16 17:35 Saturday 分类：参考资料

Linux下使用最广泛的就是tcpdump，下面是tcpdump的使用手册：

总览 (SYNOPSIS)

tcpdump [ -adeflnNOpqStvx ] [ -c count ] [ -F file ] [ -i interface ] [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ] [ expression ]

描述 (DESCRIPTION)

Tcpdump显示网络接口上符合布尔表达式expression的报头.
对于SunOS的nit或 bpf 界面: 要运行tcpdump，你必须有/dev/nit或/dev/bpf*的读访问权限.
对于Solaris 的dlpi:你必须有网络仿真设备(network pseudo device)，如/dev/le的读访问权限
对于HP-UX的dlpi:你必须是 root，或者把它安装成root的setuid程序.
对于IRIX的snoop: 你必须是 root，或者把它安装成root的setuid 程序. 对于Linux:你必须是root，或者把它安装成 root的setuid程序.
对于Ultrix和Digital UNIX: 一旦超级用户用pfconfig(8)开放了杂凑模式(promiscuous-mode)，任何用户都可以运行tcpdump.
对于BSD: 你必须有/dev/bpf*的读访问权限.

选项 (OPTIONS)

-a
试着把网络和广播地址转换成名称.
-c
当收到count个报文后退出.
-d
把编译好的报文匹配模板 (packet-matching code) 翻译成可读形式，传往标准输出，然后退出.
-dd
把报文匹配模板(packet-matching code)以C程序片断的形式输出.
-ddd
把报文匹配模板(packet-matching code)以十进制数形式输出(前面加上总数).
-e
每行都显示链路层报头.
-f
用数字形式显示“外部的”互联网地址，而不是字符形式(这个选项用来绕开脑壳坏掉的SUN黄页服务器的问题——一般说来，它翻译外部网络数字地址的时候会长期挂起).
-F
指定文件file的内容为过滤表达式. 忽略命令行上的表达式.
-i
监听interface接口.如果不指定接口，tcpdump在系统的接口清单中，寻找号码最小，已经配置好的接口(loopback除外).选中的时候会中断连接.
-l
行缓冲标准输出.可用于捕捉数据的同时查看数据. 例如，
``tcpdump -l | tee dat'' or’`tcpdump -l > dat & tail -f dat''.
-n
不把地址转换成名字 (如主机地址，端口号等)
-N
不显示主机名字中的域名部分. 例如，如果使用这个选项， tcpdump 只显示’`nic''，而不是’`nic.ddn.mil''.
-O
禁止运行报文匹配模板的优化器. 当怀疑优化器含有 bug 时，这个选项才有用.
-p
禁止把接口置成 promiscuous 模式. 注意，接口有可能因其他原因而处于 promiscuous 模式; 因此， '-p' 不能作为’ether host {local-hw-addr} 或 ether broadcast' 的简写.
-q
快速输出. 显示较少的协议信息，输出行将短一点点.
-r
从 file 中读入数据报 (文件是用 -w 选项创建的). 如果 file 是’`-''，就读标准输入.
-s
从每个报文中截取 snaplen 字节的数据，而不是缺省的 68 (如果是 SunOS 的 NIT，最小值是 96). 68 个字节适用于 IP， ICMP， TCP 和 UDP，但是有可能截掉名字服务器和 NFS 报文的协议信息 (见下面). 输出时如果指定’`[|proto]''， tcpdump 可以指出那些捕捉量过小的数据报，这里的 proto 是截断发生处的协议层名称. 注意，采用更大的捕捉范围既增加了处理报文的时间，又相应的减少了报文的缓冲数量，可能导致报文的丢失. 你应该把 snaplen 设的尽量小，只要能够容纳你需要的协议信息就可以了.

-T
把通过 "expression" 挑选出来的报文解释成指定的 type. 目前已知的类型有: rpc (远程过程调用 Remote Procedure Call)， rtp (实时应用协议 Real-Time Applications protocol)， rtcp (实时应用控制协议 Real-Time Applications control protocol)， vat (可视音频工具 Visual Audio Tool)，和 wb (分布式白板 distributed White Board).
-S
显示绝对的，而不是相对的 TCP 序列号.
-t
禁止显示时戳标志.
-tt
显示未格式化的时戳标志.
-v
(稍微多一点) 繁琐的输出. 例如，显示 IP 数据报中的生存周期和服务类型.
-vv
更繁琐的输出. 例如，显示 NFS 应答报文的附加域.
-w
把原始报文存进 file，不分析也不显示. 它们可以以后用 -r 选项显示. 如果 file 是’`-''，就写到标准输出.
-x
以十六进制数形式显示每一个报文 (去掉链路层报头后) . 可以显示较小的完整报文，否则只显示 snaplen 个字节 .
expression
用来选择要转储的数据报. 如果没有指定 expression ，就转储网络的全部报文. 否则，只转储相对 expression 为’true' 的数据报.
expression 由一个或多个原语 (primitive) 组成. 原语通常由一个标识 (id，名称或数字)，和标识前面的一个或多个修饰子(qualifier) 组成. 修饰子有三种不同的类型:

type
类型修饰子指出标识名称或标识数字代表什么类型的东西. 可以使用的类型有 host， net 和 port. 例如，’host foo'，’net 128.3'，’port 20'. 如果不指定类型修饰子，就使用缺省的 host .

dir
方向修饰子指出相对于标识的传输方向 (数据是传入还是传出标识). 可以使用的方向有 src， dst， src or dst 和 src and dst. 例如，’src foo'，’dst net 128.3'，’src or dst port ftp-data'. 如果不指定方向修饰子，就使用缺省的 src or dst . 对于’null' 链路层 (就是说象 slip 之类的点到点协议)，用 inbound 和 outbound 修饰子指定所需的传输方向.
proto
协议修饰子要求匹配指定的协议. 可以使用的协议有: ether， fddi， ip， arp， rarp， decnet， lat， sca， moprc， mopdl， tcp 和 udp. 例如，’ether src foo'，’arp net 128.3'，’tcp port 21'. 如果不指定协议修饰子，就使用所有符合类型的协议. 例如，’src foo' 指’(ip or arp or rarp) src foo' (注意后者不符合语法)，’net bar' 指’(ip or arp or rarp) net bar'，’port 53' 指’(tcp or udp) port 53'.
[`fddi' 实际上是’ether' 的别名; 分析器把它们视为’`用在指定网络接口上的数据链路层.'' FDDI 报头包含类似于以太协议的源目地址，而且通常包含类似于以太协议的报文类型，因此你可以分析FDDI域，就象分析以太协议一样.FDDI报头也包含其他域，但是你不能在过滤器表达式里显式描述.]
1.2.4 原语关键字
作为上述的补充，有一些特殊的“原语” 关键字，它们不同于上面的模式: gateway，broadcast，less，greater和数学表达式. 这些在后面有叙述.
更复杂的过滤器表达式可以通过and，or和not连接原语来组建. 例如，“host foo and not port ftp and not port ftp-data”.为了少敲点键，可以忽略相同的修饰子. 例如，“tcp dst port ftp or ftp-data or domain” 实际上就是“tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain”。

允许的原语有:
dst host host
如果报文中IP的目的地址域是host，则逻辑为真. host 既可以是地址，也可以是主机名.
src host host
如果报文中IP的源地址域是host，则逻辑为真.
host host
如果报文中 IP的源地址域或者目的地址域是host，则逻辑为真.上面所有的 host表达式都可以加上ip，arp，或rarp关键字做前缀，就象:
ip host host
它等价于:
ether proto \ip and host host
如果 host 是拥有多个 IP 地址的主机名，它的每个地址都会被查验.

ether dst ehost
如果报文的以太目的地址是ehost，则逻辑为真. Ehost 既可以是名字 (/etc/ethers 里有)，也可以是数字 (有关数字格式另见ethers(3N)).
ether src ehost
如果报文的以太源地址是 ehost，则逻辑为真.
ether host ehost
如果报文的以太源地址或以太目的地址是 ehost，则逻辑为真.
gateway host
如果报文把 host 当做网关，则逻辑为真. 也就是说，报文的以太源或目的地址是 host，但是 IP 的源目地址都不是 host. host 必须是个主机名，而且必须存在 /etc/hosts 和 /etc/ethers 中. (一个等价的表达式是
ether host ehost and not host host

对于 host / ehost，它既可以是名字，也可以是数字.)
dst net net
如果报文的 IP 目的地址属于网络号 net，则逻辑为真. net 既可以是名字 (存在 /etc/networks 中)，也可以是网络号. (详见 networks(4)).
src net net
如果报文的 IP 源地址属于网络号 net，则逻辑为真.
net net
如果报文的 IP 源地址或目的地址属于网络号 net，则逻辑为真.
net net mask mask
如果 IP 地址匹配指定网络掩码(netmask) 的 net，则逻辑为真. 本原语可以用 src 或 dst 修饰.
net net/len
如果 IP 地址匹配指定网络掩码的 net，则逻辑为真，掩码的有效位宽为 len. 本原语可以用 src 或 dst 修饰.
dst port port
如果报文是 ip/tcp 或 ip/udp，并且目的端口是 port，则逻辑为真. port 是一个数字，也可以是 /etc/services 中说明过的名字 (参看 tcp(4P) 和 udp(4P)). 如果使用名字，则检查端口号和协议. 如果使用数字，或者有二义的名字，则只检查端口号 (例如， dst port 513 将显示 tcp/login 的数据和 udp/who 的数据，而 port domain 将显示 tcp/domain 和 udp/domain 的数据).
src port port
如果报文的源端口号是 port，则逻辑为真.
port port
如果报文的源端口或目的端口是 port，则逻辑为真. 上述的任意一个端口表达式都可以用关键字 tcp 或 udp 做前缀，就象:
tcp src port port

它只匹配源端口是 port 的 TCP 报文.
less length
如果报文的长度小于等于 length，则逻辑为真. 它等同于:
len <= length.

greater length
如果报文的长度大于等于 length，则逻辑为真. 它等同于:
len >= length.

ip proto protocol
如果报文是 IP 数据报(参见 ip(4P))，其内容的协议类型是 protocol，则逻辑为真. Protocol 可以是数字，也可以是下列名称中的一个: icmp， igrp， udp， nd，或 tcp. 注意这些标识符 tcp， udp，和 icmp 也同样是关键字，所以必须用反斜杠(\) 转义，在 C-shell 中应该是 \\ .
ether broadcast
如果报文是以太广播报文，则逻辑为真. 关键字 ether 是可选的.
ip broadcast
如果报文是 IP广播报文，则逻辑为真. Tcpdump 检查全0 和全1 广播约定，并且检查本地的子网掩码.
ether multicast
如果报文是以太多目传送报文(multicast)，则逻辑为真. 关键字 ether 是可选的. 这实际上是’ether[0] & 1 != 0' 的简写.
ip multicast
如果报文是 IP多目传送报文，则逻辑为真.
ether proto protocol
如果报文协议属于以太类型的 protocol，则逻辑为真. Protocol 可以是数字，也可以是名字，如 ip， arp，或 rarp. 注意这些标识符也是关键字，所以必须用反斜杠(\) 转义. [如果是 FDDI (例如，’fddi protocol arp')，协议标识来自 802.2 逻辑链路控制(LLC)报头，它通常位于 FDDI 报头的顶层. 当根据协议标识过滤报文时， Tcpdump 假设所有的 FDDI 报文含有 LLC 报头，而且 LLC 报头使用 SNAP 格式.]

decnet src host
如果 DECNET 的源地址是 host，则逻辑为真，该主机地址的形式可能是’`10.123''，或者是 DECNET 主机名. [只有配置成运行 DECNET 的 Ultrix 系统支持 DECNET 主机名.]
decnet dst host
如果 DECNET 的目的地址是 host，则逻辑为真.
decnet host host
如果 DECNET 的源地址或目的地址是 host，则逻辑为真.
ip， arp， rarp， decnet
是:
ether proto p

的简写形式，其中 p 为上述协议的一种.
lat， moprc， mopdl
是:
ether proto p

的简写形式，其中 p 为上述协议的一种. 注意 tcpdump 目前不知道如何分析这些协议.
tcp， udp， icmp
是:
ip proto p的简写形式，其中 p 为上述协议的一种.
expr relop expr
如果这个关系成立，则逻辑为真，其中 relop 是 >， <， >=， <=， =， != 之一， expr 是数学表达式，由常整数(标准C语法形式)，普通的二进制运算符 [+， -， *， /， &， |]，一个长度运算符，和指定的报文数据访问算符组成. 要访问报文内的数据，使用下面的语法:
proto [ expr : size ]

Proto 是 ether， fddi， ip， arp， rarp， tcp， udp， or icmp 之一，同时也指出了下标操作的协议层. expr 给出字节单位的偏移量，该偏移量相对于指定的协议层. Size 是可选项，指出感兴趣的字节数; 它可以是 1， 2， 4，缺省为 1 字节. 由关键字 len 给出的长度运算符指明报文的长度.
例如，’ether[0] & 1 != 0' 捕捉所有的多目传送报文. 表达式’ip[0] & 0xf != 5' 捕捉所有带可选域的 IP 报文. 表达式’ip[6:2] & 0x1fff = 0' 只捕捉未分片和片偏移为0 的数据报. 这种检查隐含在 tcp 和 udp 下标操作中. 例如， tcp[0] 一定是 TCP 报头的第一个字节，而不是其中某个 IP片的第一个字节.

原语可以用下述方法结合使用:

园括弧括起来的原语和操作符 (园括弧在 Shell 中有特定含义，所以必须转义).
取反操作 (“!” or“not”).
连结操作 (“&&” or“and”).
或操作 (“||” or“or”).
取反操作有最高优先级. 或操作和连结操作有相同的优先级，运算时从左到右结合. 注意连结操作需要显式的 and 算符，而不是并列放置.

如果给出标识符，但没给关键字，那么暗指最近使用的关键字. 例如，
not host vs and ace
作为
not host vs and host ace
的简写形式，不应该和
not ( host vs or ace )
混淆.
表达式参数可以作为单个参数传给 tcpdump，也可以作为复合参数，后者更方便一些. 一般说来，如果表达式包含 Shell 元字符(metacharacter)，传递单个括起来的参数要容易一些. 复合参数在被解析前用空格联接一起.

示例(EXAMPLES)

显示所有进出 sundown 的报文:
tcpdump host sundown
显示 helios 和主机 hot， ace 之间的报文传送:
tcpdump host helios and \( hot or ace \)
显示 ace 和除了 helios 以外的所有主机的 IP报文:
tcpdump ip host ace and not helios
显示本地主机和 Berkeley主机之间的网络数据:
tcpdump net ucb-ether
显示所有通过网关 snup 的 ftp 报文 (注意这个表达式被单引号括起，防止 shell 解释园括弧):
tcpdump 'gateway snup and (port ftp or ftp-data)'
显示既不是来自本地主机，也不是传往本地主机的网络数据 (if you gateway to one other net， this stuff should never make it onto your local net).

tcpdump ip and not net localnet

显示每个 TCP会话的起始和结束报文 (SYN 和 FIN 报文)，而且会话方中有一个远程主机.

tcpdump 'tcp[13] & 3 != 0 and not src and dst net localnet'

显示经过网关 snup 中大于 576 字节的 IP 数据报:

tcpdump 'gateway snup and ip[2:2] > 576'

显示 IP 广播或多目传送的数据报，这些报文不是通过以太网的广播或多目传送形式传送的:

tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'

显示所有不是回响请求/应答的 ICMP 报文 (也就是说，不是 ping 报文):

tcpdump 'icmp[0] != 8 and icmp[0] != 0"

输出格式 (OUTPUT FORMAT)
tcpdump 的输出格式取决于协议. 下面的描述给出大多数格式的简要说明和范例.

链路层报头 (Link Level Headers)

如果给出 '-e' 选项就显示链路层报头. 在以太网上，显示报文的源目地址，协议和报文长度.

在 FDDI 网络上， '-e' 选项导致 tcpdump 显示出’帧控制(frame control)' 域，源目地址和报文长度. (`帧控制' 域负责解释其余的报文. 普通报文 (比如说载有 IP数据报) 是’异步' 报文，优先级介于 0 到 7; 例如，’async4'. 这些被认为载有 802.2 逻辑链路控制(LLC) 报文; 如果它们不是 ISO 数据报或者所谓的 SNAP 报文，就显示出 LLC 报头.

(注意: 以下描述中假设你熟悉 RFC-1144 中说明的 SLIP 压缩算法.)

在 SLIP 链路上， tcpdump 显示出方向指示 (``I'' 指 inbound，’`O'' 指 outbound)，报文类型和压缩信息. 首先显示的是报文类型. 有三种类型 ip， utcp 和 ctcp. 对于 ip 报文不再显示更多的链路信息. 对于 TCP 报文，在类型后面显示连接标识. 如果报文是压缩过的，就显示出编码的报头. 特殊情形以 *S+n 和 *SA+n 的形式显示，这里的 n 是顺序号 (或顺序号及其确认) 发生的改变总和. 如果不是特殊情形，就显示 0 或多少个改变. 改变由 U (urgent pointer)， W (window)， A (ack)， S (sequence number) 和 I (packet ID) 指明，后跟一个变化量(+n or -n)，或另一个值(=n). 最后显示报文中的数据总和，以及压缩报头的长度.

例如，下面一行显示了一个传出的压缩的 TCP 报文，有一个隐含的连接标识; 确认(ack)的变化量是 6，顺序号是 49，报文ID 是 6; 有三个字节的数据和六个字节的压缩报头:

O ctcp * A+6 S+49 I+6 3 (6)

ARP/RARP 报文

Arp/rarp 报文的输出显示请求类型及其参数. 输出格式倾向于能够自我解释. 这里是一个简单的例子，来自主机 rtsg 到主机 csam 的 'rlogin' 开始部分:

arp who-has csam tell rtsg
arp reply csam is-at CSAM

第一行说明 rtsg 发出一个 arp 报文询问 internet 主机 csam 的以太网地址. Csam 用它的以太地址作应答 (这个例子中，以太地址是大写的， internet 地址为小写).
如果用 tcpdump -n 看上去要清楚一些:

arp who-has 128.3.254.6 tell 128.3.254.68
arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

如果用 tcpdump -e，可以看到实际上第一个报文是广播，第二个报文是点到点的:

RTSG Broadcast 0806 64: arp who-has csam tell rtsg
CSAM RTSG 0806 64: arp reply csam is-at CSAM

这里第一个报文指出以太网源地址是 RTSG，目的地址是以太网广播地址，类型域为 16进制数 0806 (类型 ETHER_ARP)，报文全长 64 字节.
TCP 报文

(注意: 以下的描述中假设你熟悉 RFC-793 中说明的 TCP 协议，如果你不了解这个协议，无论是本文还是 tcpdump 都对你用处不大)

一般说来 tcp 协议的输出格式是:

src > dst: flags data-seqno ack window urgent options

Src 和 dst 是源目IP地址和端口. Flags 是 S (SYN)， F (FIN)， P (PUSH) 或 R (RST) 或单独的’.'(无标志)，或者是它们的组合. Data-seqno 说明了本报文中的数据在流序号中的位置 (见下例). Ack 是在这条连接上信源机希望下一个接收的字节的流序号 (sequence number). Window 是在这条连接上信源机接收缓冲区的字节大小. Urg 表明报文内是’紧急(urgent)' 数据. Options 是 tcp 可选报头，用尖括号括起 (例如， <mss 1024>).
Src， dst 和 flags 肯定存在. 其他域依据报文的 tcp 报头内容，只输出有必要的部分.

下面是从主机 rtsg rlogin 到主机 csam 的开始部分.

rtsg.1023 > csam.login: S 768512:768512(0) win 4096 <mss 1024>
csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096 <mss 1024>
rtsg.1023 > csam.login: . ack 1 win 4096
rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096
csam.login > rtsg.1023: . ack 2 win 4096
rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096
csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077
csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1
csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1

第一行是说从 rtsg 的 tcp 端口 1023 向 csam 的 login 端口发送报文. S 标志表明设置了 SYN 标志. 报文的流序号是 768512，没有数据. (这个写成’first:last(nbytes)'，意思是’从流序号 first 到 last，不包括 last，有 nbytes 字节的用户数据'.) 此时没有捎带确认(piggy-backed ack)，有效的接收窗口是 4096 字节，有一个最大段大小(max-segment-size) 的选项，请求设置 mss 为 1024 字节.
Csam 用类似的形式应答，只是增加了一个对 rtsg SYN 的捎带确认. 然后 Rtsg 确认 csam 的 SYN.’.' 意味着没有设置标志. 这个报文不包含数据，因此也就没有数据的流序号. 注意这个确认流序号是一个小整数(1). 当 tcpdump 第一次发现一个 tcp 会话时，它显示报文携带的流序号. 在随后收到的报文里，它显示当前报文和最初那个报文的流序号之差. 这意味着从第一个报文开始，以后的流序号可以理解成数据流中的相对位移 (第一个字节是’1').’-S' 选项能够改变这个特性，直接显示原始的流序号.

在第六行， rtsg 传给 csam 19 个字节的数据 (字节 2 到 20). 报文中设置了 PUSH 标志. 第七行 csam 表明它收到了 rtsg 的数据，字节序号是 21，但不包括第21个字节. 显然大多数数据在 socket 的缓冲区内，因为 csam 的接收窗口收到的数据小于 19 个字节. 同时 csam 向 rtsg 发送了一个字节的数据. 第八和第九行显示 csam 发送了两个字节的紧急数据到 rtsg.

如果捕捉区设置的过小，以至于 tcpdump 不能捕捉到完整的 TCP 报头， tcpdump 会尽可能的翻译已捕获的部分，然后显示’`[|tcp]''，表明无法翻译其余部分. 如果报头包含一个虚假选项 (如长度过短，或者超出了报头范围)， tcpdump 显示’`[bad opt]'' 并且不再翻译其他选项部分 (因为它不可能判断出从哪里开始). 如果报头长度表明存在选项，但是 IP 数据报长度不足以真的存放选项， tcpdump 就显示’`[bad hdr length]''.

UDP 报文

UDP 格式就象这个 rwho 报文显示的:
actinide.who > broadcast.who: udp 84
就是说把一个 udp 数据报从主机 actinide 的 who 端口发送到 broadcast， Internet 广播地址的 who 端口. 报文包含 84字节的用户数据.
某些 UDP 服务能够识别出来(从源目端口号上)，因而显示出更高层的协议信息. 特别是域名服务请求(RFC-1034/1035) 和 NFS 的 RPC 调用(RFC-1050).

UDP 域名服务请求 (Name Server Requests)

(注意: 以下的描述中假设你熟悉 RFC-1035 说明的域名服务协议. 如果你不熟悉这个协议，下面的内容就象是天书.)

域名服务请求的格式是
src > dst: id op? flags qtype qclass name (len)
h2opolo.1538 > helios.domain: 3+ A? ucbvax.berkeley.edu. (37)

主机 h2opolo 访问 helios 上的域名服务，询问和 ucbvax.berkeley.edu. 关联的地址记录(qtype=A). 查询号是’3'.’+' 表明设置了递归请求标志. 查询长度是 37 字节，不包括 UDP 和 IP 头. 查询操作是普通的 Query 操作，因此 op 域可以忽略. 如果 op 设置成其他什么东西，它应该显示在’3' 和’+' 之间. 类似的， qclass 是普通的 C_IN 类型，也被忽略了. 其他类型的 qclass 应该在’A' 后面显示.
Tcpdump 会检查一些不规则情况，相应的结果作为补充域放在方括号内: 如果某个查询包含回答，名字服务或管理机构部分，就把 ancount， nscount，或 arcount 显示成’[na]'，’[nn]' 或’[nau]'，这里的 n 代表相应的数量. 如果在第二和第三字节中，任何一个回答位(AA， RA 或 rcode) 或任何一个’必须为零' 的位被置位，就显示’[b2&3=x]'，这里的 x 是报头第二和第三字节的 16进制数.

UDP 名字服务回答

名字服务回答的格式是

src > dst: id op rcode flags a/n/au type class data (len)

helios.domain > h2opolo.1538: 3 3/3/7 A 128.32.137.3 (273)
helios.domain > h2opolo.1537: 2 NXDomain* 0/1/0 (97)

第一个例子里， helios 回答了 h2opolo 发出的标识为3 的询问，一共是 3 个回答记录， 3 个名字服务记录和 7 个管理结构记录. 第一个回答纪录的类型是 A (地址)，数据是 internet 地址 128.32.137.3. 回答的全长为 273 字节，不包括 UDP 和 IP 报头. 作为 A 记录的 class(C_IN) 可以忽略 op (询问) 和 rcode (NoError).
在第二个例子里， helios 对标识为2 的询问作出域名不存在 (NXDomain) 的回答，没有回答记录，一个名字服务记录，而且没有管理结构.
`*' 表明设置了权威回答(authoritative answer). 由于没有回答记录，这里就不显示 type， class 和 data.

其他标志字符可以显示为’-' (没有设置递归有效(RA)) 和’|' (设置消息截短(TC)). 如果’问题' 部分没有有效的内容，就显示’[nq]'.

注意名字服务的询问和回答一般说来比较长， 68 字节的 snaplen 可能无法捕捉到足够的报文内容. 如果你的确在研究名字服务的情况，可以使用 -s 选项增大捕捉缓冲区.’-s 128' 应该效果不错了.

NFS 请求和响应

Sun NFS (网络文件系统) 的请求和响应显示格式是:

src.xid > dst.nfs: len op args
src.nfs > dst.xid: reply stat len op results
sushi.6709 > wrl.nfs: 112 readlink fh 21，24/10.73165
wrl.nfs > sushi.6709: reply ok 40 readlink "../var"
sushi.201b > wrl.nfs:144 lookup fh 9，74/4096.6878 "xcolors"
wrl.nfs > sushi.201b:reply ok 128 lookup fh 9，74/4134.3150

在第一行，主机 sushi 向 wrl 发送号码为 6709 的交易会话 (注意源主机后面的数字是交易号，不是端口). 这项请求长 112 字节，不包括 UDP 和 IP 报头. 在文件句柄 (fh) 21，24/10.731657119 上执行 readlink (读取符号连接) 操作. (如果运气不错，就象这种情况，文件句柄可以依次翻译成主次设备号， i 节点号，和世代号(generation number). ) Wrl 回答’ok' 和连接的内容.
在第三行， sushi 请求 wrl 在目录文件 9，74/4096.6878 中查找’xcolors'. 注意数据的打印格式取决于操作类型. 格式应该是可以自我说明的.

给出 -v (verbose) 选项可以显示附加信息. 例如:

sushi.1372a > wrl.nfs:148 read fh 21，11/12.195 8192 bytes @ 24576
wrl.nfs > sushi.1372a: reply ok 1472 read REG 100664 ids 417/0 sz 29388

(-v 同时使它显示 IP 报头的 TTL， ID，和分片域，在这个例子里把它们省略了.) 在第一行， sushi 请求 wrl 从文件 21，11/12.195 的偏移位置 24576 开始，读取 8192 字节. Wrl 回答’ok'; 第二行显示的报文是应答的第一个分片，因此只有 1472 字节 (其余数据在后续的分片中传过来，但由于这些分片里没有 NFS 甚至 UDP 报头，因此根据所使用的过滤器表达式，有可能不显示). -v 选项还会显示一些文件属性 (它们作为文件数据的附带部分传回来): 文件类型 (普通文件’`REG'')，存取模式 (八进制数)， uid 和 gid，以及文件大小.
如果再给一个 -v 选项 (-vv)，还能显示更多的细节.

注意 NFS 请求的数据量非常大，除非增加 snaplen，否则很多细节无法显示. 试一试’-s 192' 选项.

NFS 应答报文没有明确标明 RPC 操作. 因此 tcpdump 保留有’`近来的'' 请求记录，根据交易号匹配应答报文. 如果应答报文没有相应的请求报文，它就无法分析.

KIP Appletalk (UDP 上的 DDP)

Appletalk DDP 报文封装在 UDP 数据报中，解包后按 DDP 报文转储 (也就是说，忽略所有的 UDP 报头信息). 文件 /etc/atalk.names 用来把 appletalk 网络和节点号翻译成名字. 这个文件的行格式是

number name

1.254           ether
16.1            icsd-net
1.254.110       ace

前两行给出了 appletalk 的网络名称. 第三行给出某个主机的名字 (主机和网络依据第三组数字区分 - 网络号一定是两组数字，主机号一定是三组数字.) 号码和名字用空白符(空格或tab) 隔开. /etc/atalk.names 文件可以包含空行或注释行(以`#'开始的行).
Appletalk 地址按这个格式显示

net.host.port

144.1.209.2 > icsd-net.112.220
office.2 > icsd-net.112.220
jssmag.149.235 > icsd-net.2

(如果不存在 /etc/atalk.names ，或者里面缺少有效项目，就以数字形式显示地址.) 第一个例子里，网络 144.1 的 209 节点的 NBP (DDP 端口 2) 向网络 icsd 的 112 节点的 220 端口发送数据. 第二行和上面一样，只是知道了源节点的全称 (`office'). 第三行是从网络 jssmag 的 149 节点的 235 端口向 icsd-net 的 NBP 端口广播 (注意广播地址 (255) 隐含在无主机号的网络名字中 - 所以在 /etc/atalk.names 中区分节点名和网络名是个好主意).
Tcpdump 可以翻译 NBP (名字联结协议) 和 ATP (Appletalk 交互协议) 的报文内容. 其他协议只转储协议名称 (或号码，如果还没给这个协议注册名称) 和报文大小.

NBP 报文的输出格式就象下面的例子:

icsd-net.112.220 > jssmag.2: nbp-lkup 190: "=:LaserWriter@*"
jssmag.209.2 > icsd-net.112.220: nbp-reply 190: "RM1140:LaserWriter@*" 250
techpit.2 > icsd-net.112.220: nbp-reply 190: "techpit:LaserWriter@*" 186

第一行是网络 icsd 的 112 主机在网络 jssmag 上的广播，对名字 laserwriter 做名字查询请求. 名字查询请求的 nbp 标识号是 190. 第二行显示的是对这个请求的回答 (注意它们有同样的标识号)，主机 jssmag.209 表示在它的 250 端口注册了一个 laserwriter 的资源，名字是 "RM1140". 第三行是这个请求的其他回答，主机 techpit 的 186 端口有 laserwriter 注册的 "techpit".
ATP 报文格式如下例所示:

jssmag.209.165 > helios.132: atp-req 12266<0-7> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:0 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:1 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:2 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:4 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:6 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp*12266:7 (512) 0xae040000
jssmag.209.165 > helios.132: atp-req 12266<3，5> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
jssmag.209.165 > helios.132: atp-rel 12266<0-7> 0xae030001
jssmag.209.133 > helios.132: atp-req* 12267<0-7> 0xae030002

Jssmag.209 向主机 helios 发起 12266 号交易，请求 8 个报文(`<0-7>'). 行尾的十六进制数是请求中’userdata' 域的值.
Helios 用 8 个 512字节的报文应答. 跟在交易号后面的’:digit' 给出了交易过程中报文的序列号，括弧内的数字是报文的数据量，不包括 atp 报头. 报文 7 的’*' 表明设置了 EOM 位.

然后 Jssmag.209 请求重传第 3 & 5 报文. Helios 做了重传后 jssmag.209 结束这次交易. 最后， jssmag.209 发起下一次交易请求. 请求中的’*' 表明没有设置 XO (只有一次) 位.

IP 分片

分片的 Internet 数据报显示为
(frag id:size@offset+)
(frag id:size@offset)

(第一种形式表明还有更多的分片. 第二种形式表明这是最后一片.)
Id 是分片标识号. Size 是分片大小 (字节)，不包括 IP 报头. Offset 是该分片在原数据报中的偏移 (单位是字节).

每一个分片的信息都可以打印出来. 第一个分片包含了高层协议报头，显示协议信息后显示分片的信息. 第一个分片以后的分片不再含有高层协议报头，所以在源目地址后面只显示分片信息. 例如，下面是从 arizona.edu 到 lbl-rtsg.arpa 的一部分 ftp 传输，途经的 CSNET 看上去处理不了 576 字节的数据报:

arizona.ftp-data > rtsg.1170: . 1024:1332(308) ack 1 win 4096 (frag 595a:328@0+)
arizona > rtsg: (frag 595a:204@328)
rtsg.1170 > arizona.ftp-data: . ack 1536 win 2560

这里有几点需要注意: 首先，第二行的地址不包括端口号.这是因为TCP 协议信息全部装到了第一个分片内，所以显示后续分片的时候不可能知道端口或流序号.其次，第一行的tcp流序号部分看上去有308字节的用户数据，实际上是512字节(第一个分片的308和第二个分片的204 字节). 如果你正在寻找流序号中的空洞，或者试图匹配报文的确认(ack)，那你上当了.
如果报文的IP标有不要分片标志，显示时在尾部加上(DF).

时戳

缺省情况下，所有输出行的前面都有时戳.时戳就是当前时间，显示格式为
hh:mm:ss.frac

精度和内核时钟一样.时戳反映了内核收到报文的时间.从以太接口收到报文到内核响应'报文就绪'中断有一个滞后，该滞后不被考虑.

标签: TCP tcpdump UDP 抓包 Linux 报文