Linux 基礎教程 29-tcpdump命令-1

? ? 在Linux中輸入命令man tcpdump給出的定義如下所示：

創新互聯專注于靈石企業網站建設,自適應網站建設,商城建設。靈石網站建設公司,為靈石等地區提供建站服務。全流程按需網站開發，專業設計，全程項目跟蹤，創新互聯專業和態度為您提供的服務

是不是感覺很懵？我們用通俗、形象、學術的表達方式來全方位描述tcpdump:

常用選項如下所示：

1、第一個抓包示例

-i : 指定用來抓包的網絡接口，這個參數在服務器有多個網卡的時候非常有效

-nn : 不轉換協議和端口號，當tcpdump遇到協議號或端口號，不需要將這些數字轉換為對應的協議名稱或端口名稱，如22端口SSH端口，我們希望顯示22，而非SSH

-X : 將協議頭和包內容原原本本的顯示出來,tcpdump會同時以16進制和ASCII的形式進行顯示，在協議分析時非常好用。

'port 22' : 告訴tcpdump要有選擇的顯示所抓到的包，在該示例中，只顯示源端口或目的端口是22的數據包，其他的數據包則不顯示。

-c : 用來指定抓包的個數，示例設置的個數為1，則代表僅抓取一個包之后就退出不再抓包了。

2、-e 增加數據鏈路層的頭部信息

? ? 通過兩個命令的輸出對比，可以看到增加-e選項后，輸出的結果中增加MAC地址信息。而且在輸出內容中會有 oui Unknown ，OUI即Organizationally unique identifier(組織唯一標識符)，在任何一塊網卡中燒錄的6字節MAC地址中，前3個字節體現了OUI，其表明了網卡的制造組織，通常情況下，該標識符是唯一的。在本例中，由于沒有識別出網卡的制造商，因此顯示為Unknown。

3、-l 將輸出變為行緩沖模式

? ? -l的作用是將tcpdump的輸出行為變為 行緩沖 方式，這樣可以保證tcpdump遇到換行符，就立即將緩沖的內容輸出到標準輸出(stdout)，方便利用管道或重定向方式進行后續處理，而不會造成延遲。

? ? 在Linux的標準I/O中提供了 全緩沖 、 行緩沖 、 無緩沖 三種緩沖方式。標準錯誤是不帶緩沖的，而終端設備常為行緩沖，其他默認則為全緩沖。

? ? 在該例中，將tcpdump輸出的內容通過管道提取第5列，可以用來查看詳細的連接信息。而如果不加 -l 選項時，則只有當緩沖區全部占滿時，tcpdump才會將緩沖區中的內容輸出，這樣就有可能導致輸出不連續的，如果強行結束，則會影響下一行的完整性。

4、-t 輸出不加時間戳

? ? 在增加選項 -t 選項后，時間23:48:03.193526就消失了。tcpdump默認情況下是按微秒來計時，因此最一個時間精確到了第6位。

5、 -v 顯示詳細信息

? ? 在增加 -v 選項后，會在輸出的內容中增加 tos 、 ttl 、 id 、 offset 、 協議編號 、 總長度 等，如需要理解這些信息，就需要了解TCP/IP協議中的頭的具體定義了。

6、-F 指定過濾表達式所在的文件

? ? 在第一個示例中，命令行增加了 'port 22' ，而這一項就叫 過濾條件 ，如果設置了過濾條件，則tcpdump只抓取滿足過濾條件的數據包。如需要設置較為復雜的過濾條件或復用過濾條件時，這時可以將過濾條件保存為文件，然后通過-F加載該過濾文件。

7、 -w 將原始數據包信息保存到文件中

? ? 當我們查看保存的文件時，出現的是亂碼。則代表無法直接查看，很有可能是二進制文件。那么怎么查看保存的文件了？請看下一個示例。

7、 -r 從文件中讀取原始數據包

? ? 通過-w和-r選項即可實現抓包的錄制回放功能。

[轉載] 從正在運行的Linux進程中dump出內存內容

最近看到有個CTF題感覺挺有意思，就是從一個bin中找到一個secret key，然后用來簽名session cookies用來懟一個使用go的Web服務器。通常這種類型題的flag都比較直接。可以直接用strings懟這個bin就可以了，然而這次的這個題目中的bin不同，因為有太多雜碎(noise)要過濾了。于是在此我就來展示一下如何用一些基本的Linux命令配合gdb從進程中dump出內存中的信息。

先file一下，

發現是64位的Linux可執行文件。

然后strings一下，

發現字符串太多，還是先不看，再研究深一點吧。

然后先運行一下程序，

然后再另一個終端找到這個進程的PID

然后cat一下它的內存(太長不看TL;DR)

似乎太多了有點可怕，但是不用害怕。

然后啟動gdb，將改進程attach到gdb上。

然后就是gdb命令

解釋一下語法：

然后就是用strings命令找出剛才dump出的文件的字符串，我喜歡最少10個長度的字符串(-n 10)來過濾掉一些無用的信息(noise)。

結果如下：

可以看到好像有個hash值，為了不泄露CTF題的答案，我已經把hash值改了。

總結

好了，你已經找到運行的進程的PID，dump出了那個進程的內存內容，然后用gdb，strings命令找出了有用的數據。

以上翻譯自：

Let’s get your hands dirty

Down to business

于是我也想試一下啊，然而我想找一個執行命令之后不退出的進程還蠻難的，最終我想到了apache，然而必須要有客戶端與apache建立TCP長連接，如果是那種5xx的錯誤，比如這個，

就會發現TCP連接建立之后馬上又斷開了。

于是只能弄一個TCP長連接吧。返回200的那種應該可以。

結果發現還是不行。

于是通過htop漫無目的地找吧，于是還是找apache的主進程吧。

通過htop發信apache的主進程的PID為6900，

于是

(注意：要以root的身份啟動，否則可能沒有權限。)

然后gdb就開始調試6900進程了，一頓輸出啊，幾秒之后到達gdb的命令行。

然后dump出heap中的內容。

然后在/root目錄找到了那兩個dump出來的文件，

從任意一個dump中找出10個字符以上的字符串吧。

————————————————

原文鏈接：

Linux dump命令

Linux dump命令用于備份文件系統。

dump為備份工具程序，可將目錄或整個文件系統備份至指定的設備，或備份成一個大文件。

語法：

dump[-cnu][-0123456789][-b

區塊大小][-B區塊數目][-d密度][-f設備名稱][-h層級][-s磁帶長度][-T日期][目錄或文件系統]或dump[-wW]

參數：

-0123456789 備份的層級

-b區塊大小 指定區塊的大小，單位為KB

-B區塊數目 指定備份卷冊的區塊數目

-c 修改備份磁帶預設的密度與容量

-d密度 設置磁帶的密度，單位為BPI

-f設備名稱 指定備份設備

-h層級 當備份層級等于或大于指定的層級時，將不備份用戶標示為nodump的文件

-n 當備份工作需要管理員介入時，向所有operator群組中的使用者發出通知

-s磁帶長度 備份磁帶的長度，單位為英尺

-T日期 指定開始備份的時間與日期

-u 備份完畢后，在/etc/dumpdates中記錄備份的文件系統，層級，日期與時間等

-w 與-W類似，但僅顯示需要備份的文件

-W 顯示需要備份的文件及其最后一次備份的層級，時間與日期。