الصفحة الرئيسية>المتعلقة بالبرمجة>شفرة المصدر الأخرى
تنزيل

كيفية استخدام tcpdump

يعد أمر Tcpdump أداة مشهورة لتحليل حزم الشبكة تُستخدم لعرض حزم TCPIP وحزم الشبكة الأخرى التي يتم إرسالها عبر الشبكة المتصلة بالنظام الذي تم تثبيت tcpdump عليه. يستخدم Tcpdump مكتبة libpcap لالتقاط حزم الشبكة وهو متاح على جميع إصدارات Linux/Unix تقريبًا.

Linux Tcpdump: قم بتصفية حزم ping ipv6 ntp

Tcpdump: التقاط حزم DHCP وDHCPv6

20 أمثلة متقدمة لـ Tcpdump على Linux

10 أمثلة مفيدة لأوامر tcpdump

تكبدومب

التمهيدي

يعد Tcpdump واحدًا من أفضل أدوات تحليل الشبكات على الإطلاق لمحترفي أمن المعلومات. Tcpdump مخصص للجميع للمتسللين والأشخاص الذين لديهم فهم أقل لـ TCP/IP.

خيارات

فيما يلي بعض خيارات tcpdump (مع أمثلة مفيدة) التي ستساعدك في العمل باستخدام الأداة. من السهل جدًا نسيانها و/أو الخلط بينها وبين أنواع أخرى من المرشحات، أي الأثيرية، لذا نأمل أن تكون هذه المقالة بمثابة مرجع لك، كما فعلت معي :)

  • أولها هو -n، الذي يطلب عدم حل الأسماء، مما يؤدي إلى عناوين IP نفسها.
  • والثاني هو -X، الذي يعرض المحتوى السداسي عشري ومحتوى ascii داخل الحزمة.
  • الخيار الأخير هو -S، والذي يغير عرض الأرقام التسلسلية إلى مطلق وليس نسبي.

إظهار محتويات الحزمة بالصيغة السداسية وascii. 

 tcpdump -X ....

مثل -X، ولكنه يُظهر أيضًا رأس إيثرنت. 

 tcpdump -XX

عرض قائمة الواجهات المتاحة 

 tcpdump -D

إخراج قابل للقراءة (للعرض أثناء الحفظ، أو الإرسال إلى أوامر أخرى) 

 tcpdump -l

كن أقل إسهابا (أكثر هدوءا) مع مخرجاتك. 

 tcpdump -q

إعطاء إخراج الطابع الزمني للقراءة البشرية. 

 tcpdump -t :

إعطاء الحد الأقصى من إخراج الطابع الزمني الذي يمكن قراءته بواسطة الإنسان. 

 tcpdump -tttt :

استمع على واجهة eth0. 

 tcpdump -i eth0

إخراج مطول (المزيد من v يعطي المزيد من الإخراج). 

 tcpdump -vv

احصل على عدد x من الحزم فقط ثم توقف. 

 tcpdump -c

تحديد الطول (الحجم) للالتقاط بالبايت. استخدم -s0 للحصول على كل شيء، إلا إذا كنت تلتقط صورًا أقل عمدًا. 

 tcpdump -s

طباعة أرقام التسلسل المطلقة. 

 tcpdump -S

احصل على رأس إيثرنت أيضًا. 

 tcpdump -e

فك تشفير حركة مرور IPSEC من خلال توفير مفتاح التشفير. 

 tcpdump -E

لمزيد من الخيارات، اقرأ الدليل:

  • ابحث عن جميع الخيارات هنا

  • Linux Tcpdump: قم بتصفية حزم ping ipv6 ntp

  • Tcpdump: التقاط حزم DHCP وDHCPv6

  • 20 أمثلة متقدمة لـ Tcpdump على Linux

  • 10 أمثلة مفيدة لأوامر tcpdump

الاستخدام الأساسي

عرض الواجهات المتاحة 

 tcpdump -D
tcpdump --list-interfaces

لنبدأ بأمر أساسي سيوفر لنا حركة مرور HTTPS: 

 tcpdump -nnSX port 443

البحث عن حركة المرور عن طريق IP 

 tcpdump host 1.1.1.1

التصفية حسب المصدر و/أو الوجهة 

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

البحث عن الحزم عن طريق الشبكة 

 tcpdump net 1.2.3.0/24

انخفاض الناتج: 

 tcpdump -nnvvS

الناتج المتوسط: 

 tcpdump -nnvvXS

الإخراج الثقيل: 

 tcpdump -nnvvXSs 1514

الحصول على الإبداع

  • التعبيرات جميلة جدًا، لكن السحر الحقيقي لـ tcpdump يأتي من القدرة على دمجها بطرق إبداعية من أجل عزل ما تبحث عنه بالضبط.

هناك ثلاث طرق للقيام بالجمع:

و 

 and or &&

أو 

 or or ||

يستثني 

 not or !

مثال الاستخدام:

حركة المرور القادمة من 192.168.1.1 والمتجهة إلى المنافذ 3389 أو 22 

 tcpdump 'src 192.168.1.1 and (dst port 3389 or 22)'

متقدم

أرني جميع حزم URG: 

 tcpdump 'tcp[13] & 32 != 0'

أرني جميع حزم ACK: 

 tcpdump 'tcp[13] & 16 != 0'

أرني جميع حزم PSH: 

 tcpdump 'tcp[13] & 8 != 0'

أرني جميع حزم RST: 

 tcpdump 'tcp[13] & 4 != 0'

أرني جميع حزم SYN: 

 tcpdump 'tcp[13] & 2 != 0'

أرني جميع حزم FIN: 

 tcpdump 'tcp[13] & 1 != 0'

أرني جميع حزم SYN-ACK: 

 tcpdump 'tcp[13] = 18'

إظهار كل حركة المرور مع تعيين علامتي SYN وRST: (لا ينبغي أن يحدث ذلك أبدًا) 

 tcpdump 'tcp[13] = 6'

إظهار كل حركة المرور مع مجموعة "البت الشرير": 

 tcpdump 'ip[6] & 128 != 0'

عرض كل حركة مرور IPv6: 

 tcpdump ip6

طباعة الحزم الملتقطة في ASCII 

 tcpdump -A -i eth0

عرض الحزم الملتقطة في HEX وASCII 

 tcpdump -XX -i eth0

التقاط وحفظ الحزم في ملف 

 tcpdump -w 0001.pcap -i eth0

قراءة ملف الحزم الملتقطة 

 tcpdump -r 0001.pcap

التقاط حزم عنوان IP 

 tcpdump -n -i eth0

التقاط حزم TCP فقط. 

 tcpdump -i eth0 tcp

التقاط الحزمة من منفذ معين 

 tcpdump -i eth0 port 22

التقاط الحزم من IP المصدر 

 tcpdump -i eth0 src 192.168.0.2

التقاط الحزم من IP الوجهة 

 tcpdump -i eth0 dst 50.116.66.139

التقط أي حزم قادمة من xxxx 

 tcpdump -n src host x.x.x.x

التقط أي حزمة قادمة من أو متجهة إلى xxxx 

 tcpdump -n host x.x.x.x

التقط أي حزمة متجهة إلى xxxx 

 tcpdump -n dst host x.x.x.x

التقط أي حزم قادمة من xxxx 

 tcpdump -n src host x.x.x.x

التقط أي حزمة متجهة إلى الشبكة xxx0/24 

 tcpdump -n dst net x.x.x.0/24

التقط أي حزمة قادمة من الشبكة xxx0/24 

 tcpdump -n src net x.x.x.0/24

التقط أي حزمة بمنفذ الوجهة x 

 tcpdump -n dst port x

التقط أي حزمة قادمة من المنفذ x 

 tcpdump -n src port x

التقط أي حزم من أو إلى نطاق المنفذ x إلى y 

 tcpdump -n dst(or src) portrange x-y

التقط أي نطاق من منافذ TCP أو UDP من x إلى y 

 tcpdump -n tcp(or udp) dst(or src) portrange x-y

التقط أي حزم باستخدام dst ip xxxx والمنفذ y 

 tcpdump -n "dst host x.x.x.x and dst port y"

التقط أي حزم باستخدام منافذ dst ip xxxx وdst x وz 

 tcpdump -n "dst host x.x.x.x and (dst port x or dst port z)"

التقاط ICMP، ARP 

 tcpdump -v icmp(or arp)

التقط الحزم على الواجهة eth0 وقم بتفريغها في ملف cap.txt 

 tcpdump -i eth0 -w cap.txt

احصل على محتويات الحزمة باستخدام الإخراج السداسي 

 tcpdump -c 1 -X icmp

إظهار حركة المرور المتعلقة بمنفذ معين 

 tcpdump port 3389 
tcpdump src port 1025

إظهار حركة مرور بروتوكول واحد 

 tcpdump icmp

البحث عن حركة المرور عن طريق IP 

 tcpdump host 1.1.1.1

التصفية حسب المصدر و/أو الوجهة 

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

البحث عن الحزم عن طريق الشبكة 

 tcpdump net 1.2.3.0/24

احصل على محتويات الحزمة باستخدام الإخراج السداسي 

 tcpdump -c 1 -X icmp

إظهار حركة المرور المتعلقة بمنفذ معين 

 tcpdump port 3389 
tcpdump src port 1025

إظهار حركة مرور بروتوكول واحد 

 tcpdump icmp

عرض حركة مرور IP6 فقط 

 tcpdump ip6

ابحث عن حركة المرور باستخدام نطاقات المنافذ 

 tcpdump portrange 21-23

ابحث عن حركة المرور بناءً على حجم الحزمة 

 tcpdump less 32 
 tcpdump greater 64 
 tcpdump <= 128
 tcpdump => 128

قراءة / كتابة اللقطات إلى ملف (pcap) 

 tcpdump port 80 -w capture_file
tcpdump -r capture_file

كل شيء عن المجموعات

عرض الإخراج الخام 

 tcpdump -ttnnvvS

فيما يلي بعض الأمثلة على الأوامر المدمجة.

من IP محدد ومتجه لمنفذ معين 

 tcpdump -nnvvS src 10.5.2.3 and dst port 3389

من شبكة إلى أخرى 

 tcpdump -nvX src net 192.168.0.0/16 and dst net 10.0.0.0/8 or 172.16.0.0/16

حركة مرور غير ICMP تنتقل إلى عنوان IP محدد 

 tcpdump dst 192.168.0.2 and src net and not icmp

حركة المرور من مضيف غير موجود على منفذ محدد 

 tcpdump -vv src mars and not dst port 22

عزل إشارات TCP RST. 

 tcpdump 'tcp[13] & 4!=0'
tcpdump 'tcp[tcpflags] == tcp-rst'

عزل إشارات TCP SYN. 

 tcpdump 'tcp[13] & 2!=0'
tcpdump 'tcp[tcpflags] == tcp-syn'

عزل الحزم التي تحتوي على علامتي SYN وACK. 

 tcpdump 'tcp[13]=18'

عزل إشارات TCP URG. 

 tcpdump 'tcp[13] & 32!=0'
tcpdump 'tcp[tcpflags] == tcp-urg'

عزل إشارات TCP ACK. 

 tcpdump 'tcp[13] & 16!=0'
tcpdump 'tcp[tcpflags] == tcp-ack'

عزل إشارات TCP PSH. 

 tcpdump 'tcp[13] & 8!=0'
tcpdump 'tcp[tcpflags] == tcp-psh'

عزل إشارات TCP FIN. 

 tcpdump 'tcp[13] & 1!=0'
tcpdump 'tcp[tcpflags] == tcp-fin'

الأوامر التي أستخدمها يوميًا تقريبًا

كل من SYN ومجموعة RST 

 tcpdump 'tcp[13] = 6'

ابحث عن وكلاء مستخدم HTTP 

 tcpdump -vvAls0 | grep 'User-Agent:'
tcpdump -nn -A -s1500 -l | grep "User-Agent:"

باستخدام egrep ومطابقات متعددة يمكننا الحصول على وكيل المستخدم والمضيف (أو أي رأس آخر) من الطلب. 

 tcpdump -nn -A -s1500 -l | egrep -i 'User-Agent:|Host:'

التقط فقط حزم HTTP GET وPOST فقط الحزم التي تطابق GET. 

 tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'

استخراج عناوين URL لطلب HTTP 

 tcpdump -s 0 -v -n -l | egrep -i "POST /|GET /|Host:"

استخراج كلمات مرور HTTP في طلبات POST 

 tcpdump -s 0 -A -n -l | egrep -i "POST /|pwd=|passwd=|password=|Host:"

التقاط ملفات تعريف الارتباط من الخادم ومن العميل 

 tcpdump -nn -A -s0 -l | egrep -i 'Set-Cookie|Host:|Cookie:'

التقاط كافة حزم ICMP 

 tcpdump -n icmp

إظهار حزم ICMP التي ليست ECHO/REPLY (ping قياسي) 

 tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

التقاط البريد الإلكتروني SMTP/POP3 

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

استكشاف أخطاء الاستعلام والاستجابة لـ NTP وإصلاحها 

 tcpdump dst port 123

التقاط بيانات اعتماد وأوامر FTP 

 tcpdump -nn -v port ftp or ftp-data

تدوير ملفات الالتقاط 

 tcpdump  -w /tmp/capture-%H.pcap -G 3600 -C 200

التقاط حركة مرور IPv6 

 tcpdump -nn ip6 proto 6

IPv6 مع UDP والقراءة من ملف الالتقاط المحفوظ مسبقًا. 

 tcpdump -nr ipv6-test.pcap ip6 proto 17

كشف فحص المنفذ في حركة مرور الشبكة 

 tcpdump -nn

مثال الاستخدام

مثال لتصفية يظهر اختبار البرنامج النصي Nmap NSE

  • على الهدف: 

     nmap -p 80 --script=http-enum.nse targetip

  • على الخادم: 

     tcpdump -nn port 80 | grep "GET /"
  
     GET /w3perl/ HTTP/1.1
     GET /w-agora/ HTTP/1.1
     GET /way-board/ HTTP/1.1
     GET /web800fo/ HTTP/1.1
     GET /webaccess/ HTTP/1.1
     GET /webadmin/ HTTP/1.1
     GET /webAdmin/ HTTP/1.1

التقط حزم البداية والنهاية لكل مضيف غير محلي 

 tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

التقاط طلب DNS والاستجابة له

تصفية DNS باستخدام Tcpdump 

 tcpdump -i wlp58s0 -s0 port 53

التقاط حزم بيانات HTTP 

 tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

أفضل المضيفين حسب الحزم 

 tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20

التقاط كافة كلمات المرور النص العادي 

 tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -l -A | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd=|password=|pass:|user:|username:|password:|login:|pass |user '

tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -lA | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd= |password=|pass:|user:|username:|password:|login:|pass |user '

مثال DHCP 

 tcpdump -v -n port 67 or 68

طلبات الحصول على نص واضح 

 tcpdump -vvAls0 | grep 'GET'

ابحث عن رؤوس مضيف HTTP 

 tcpdump -vvAls0 | grep 'Host:'

ابحث عن ملفات تعريف ارتباط HTTP 

 tcpdump -vvAls0 | grep 'Set-Cookie|Host:|Cookie:'

ابحث عن اتصالات SSH 

 tcpdump 'tcp[(tcp[12]>>2):4] = 0x5353482D'

ابحث عن حركة مرور DNS 

 tcpdump -vvAs0 port 53

ابحث عن حركة مرور FTP 

 tcpdump -vvAs0 port ftp or ftp-data

ابحث عن حركة مرور NTP 

 tcpdump -vvAs0 port 123

التقاط البريد الإلكتروني SMTP/POP3 

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

وضع الخط المؤقت 

 tcpdump -i eth0 -s0 -l port 80 | grep 'Server:'

البحث عن حركة المرور مع قليلا الشر 

 tcpdump 'ip[6] & 128 != 0'

تصفية على البروتوكول (ICMP) والحقول الخاصة بالبروتوكول (نوع ICMP)

Tcpdump: تصفية الحزم باستخدام إشارات Tcp

tcpdump -n icmp و 'icmp[0] != 8 و icmp[0] != 0'

يمكن استخدام نفس الأمر مع إزاحة حقل الرأس المحددة مسبقًا (icmptype) وقيم حقل نوع ICMP (icmp-echo وicmp-echoreply): 

 tcpdump -n icmp and icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply

قم بالتصفية في حقل TOS 

 tcpdump -v -n ip and ip[1]!=0

تصفية على حقل TTL 

 tcpdump -v ip and 'ip[8]<2'

التصفية على إشارات TCP (SYN/ACK) 

 tcpdump -n tcp and port 80 and 'tcp[tcpflags] & tcp-syn == tcp-syn'

في المثال أعلاه، يتم التقاط كافة الحزم التي تحتوي على مجموعة علامات TCP SYN. قد يتم أيضًا تعيين إشارات أخرى (ACK، على سبيل المثال). يمكن التقاط الحزم التي تحتوي على إشارات TCP SYN فقط 

 tcpdump tcp and port 80 and 'tcp[tcpflags] == tcp-syn'

التقاط حزم TCP SYN/ACK (عادةً، الاستجابات من الخوادم): 

 tcpdump -n tcp and 'tcp[tcpflags] & (tcp-syn|tcp-ack) == (tcp-syn|tcp-ack)'
tcpdump -n tcp and 'tcp[tcpflags] & tcp-syn == tcp-syn' and 'tcp[tcpflags] & tcp-ack == tcp-ack'

التقاط حزم ARP 

 tcpdump -vv -e -nn ether proto 0x0806

تصفية على طول حزمة IP 

 tcpdump -l icmp and '(ip[2:2]>50)' -w - |tcpdump -r - -v ip and '(ip[2:2]<60)'

ملاحظة: بسبب بعض الأخطاء في tcpdump، لا يلتقط الأمر التالي الحزم كما هو متوقع: 

 tcpdump -v -n icmp and '(ip[2:2]>50)' and '(ip[2:2]<60)'

تصفية المحتوى المغلف (ICMP داخل PPPoE) 

 tcpdump -v -n icmp

أكثر هدوءا 

 tcpdump -q -i eth0
tcpdump -t -i eth0
tcpdump -A -n -q -i eth0 'port 80'
tcpdump -A -n -q -t -i eth0 'port 80'

طباعة الحزم المفيدة فقط من حركة مرور HTTP 

 tcpdump -A -s 0 -q -t -i eth0 'port 80 and ( ((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12:2]&0xf0)>>2)) != 0)'

تفريغ حركة مرور SIP 

 tcpdump -nq -s 0 -A -vvv port 5060 and host 1.2.3.4

التحقق من محتوى الحزمة 

 tcpdump -i any -c10 -nn -A port 80

التحقق من محتوى الحزمة 

 sudo tcpdump -i any -c10 -nn -A port 80

المراجع والويكي رهيبة

التقاط حزم ICMP باستخدام Tcpdump

تصحيح أخطاء حزم SSH باستخدام Tcpdump

استخدام Tcpdump لتصفية حزم DNS

تعلم الدليل السريع لـ tcpdump

تصفية DNS باستخدام Tcpdump

تصفية حزم CDP LLDP باستخدام Tcpdump

ورقة الغش في Tcpdump (أمثلة أساسية متقدمة)

نهاية!

يوسع
معلومات إضافية
تطبيقات ذات صلة
نوصي لك
أخبار ذات صلة الكل