夫運(yùn)維者、善假于物也、形如 Sniffer（嗅探器）。Sniffer 在網(wǎng)絡(luò)安全領(lǐng)域是一把雙刃劍、或被黑客作為網(wǎng)絡(luò)攻擊工具、或協(xié)助運(yùn)維診斷網(wǎng)絡(luò)故障，本文以 Linux 平臺下三個(gè)常用的網(wǎng)絡(luò)嗅探器 Tcpdump、Ethereal 和 EtherApe 為例，介紹如何借助 Sniffer 來診斷網(wǎng)絡(luò)故障，從而保障網(wǎng)絡(luò)高效安全地運(yùn)行，但由于 Sniffer 實(shí)在太強(qiáng)大、本文也只是入門性的做些介紹、有興趣的朋友可進(jìn)一步學(xué)習(xí)。

　　● Tcpdump是一個(gè)命令行方式的網(wǎng)絡(luò)流量監(jiān)測工具。它誕生的時(shí)間較早，是許多圖形化嗅探器的雛形

　　● Ethereal是一個(gè)圖形化的網(wǎng)絡(luò)流量監(jiān)測工具，比命令行方式的Tcpdump友好很多，可以實(shí)時(shí)地觀看捕獲過程

　　● EtherApe也是一個(gè)圖形化的網(wǎng)絡(luò)流量監(jiān)測工具、與Ethereal不同，EtherApe可以通過對主機(jī)間的連接進(jìn)行檢測

　　㈠ Tcpdump

　　在網(wǎng)絡(luò)性能急劇下降的時(shí)候，可以通過 Tcpdump 來分析原因，找出造成網(wǎng)絡(luò)阻塞的根源，Tcpdump 能截獲網(wǎng)卡上收到的數(shù)據(jù)包，并能夠協(xié)助網(wǎng)絡(luò)管理員對其中的內(nèi)容進(jìn)行相應(yīng)的分析。

　　對于運(yùn)維人員、了解如何使用 Tcpdump 來捕獲感興趣的數(shù)據(jù)包是一項(xiàng)必須掌握的基本功。

　?、?Tcpdump 安裝

　　GNU/Linux 發(fā)行版缺省都會安裝、如果沒有可到：http://www.tcpdump.org 下載。

⑵ Tcpdump 命令行選項(xiàng)

　　Tcpdump是一個(gè)命令行方式的網(wǎng)絡(luò)嗅探器、如果不進(jìn)行過濾，過多數(shù)量的包會使運(yùn)維人員很難理清頭緒。

　　Tcpdump 常用命令行選項(xiàng)：

　　-a  ： 將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成容易識別的名字

　　-d  ： 將已截獲的數(shù)據(jù)包的代碼以人容易理解的格式輸出

　　-dd ：將已截獲的數(shù)據(jù)包的代碼以C程序的格式輸出

　　-ddd：將已截獲的數(shù)據(jù)包的代碼以十進(jìn)制格式輸出

　　-e  ：輸出數(shù)據(jù)鏈路層的頭部信息

　　-f  ： 將internet地址以數(shù)字形式輸出

　　-l  ： 將標(biāo)準(zhǔn)輸出變?yōu)樾芯彌_方式

　　-n  ：不將網(wǎng)絡(luò)地址轉(zhuǎn)換成易識別的主機(jī)名，只以數(shù)字形式列出主機(jī)地址(如IP地址)，這樣可以避免DNS查詢

　　-t  ： 不輸出時(shí)間戳

　　-v  ： 輸出較詳細(xì)的信息，例如IP包中的TTL和服務(wù)類型信息

　　-vv ：輸出詳盡的報(bào)文信息

　　-c  ： 在捕獲指定個(gè)數(shù)的數(shù)據(jù)包后退出

　　-F  ：從指定的文件中讀取過濾規(guī)則，忽略命令行中指定的其它過濾規(guī)則

　　-i  ：  指定監(jiān)聽的網(wǎng)絡(luò)接口

　　-r  ： 從指定的文件中讀取數(shù)據(jù)包(該文件一般通過-w選項(xiàng)產(chǎn)生)

　　-w  ：將截獲的數(shù)據(jù)包直接寫入指定的文件中，不對其進(jìn)行分析和輸出

　　-T  ： 將截獲的數(shù)據(jù)包直接解釋為指定類型的報(bào)文

　?、?例子

　?、?從指定的網(wǎng)絡(luò)接口截獲5個(gè) ARP 數(shù)據(jù)包，并且不將網(wǎng)絡(luò)地址轉(zhuǎn)換成主機(jī)名

　　[plain] view plaincopy
　　[root@Rocky ~]# tcpdump arp -i eth0 -c 5 -n
　　tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
　　listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
　　10:59:46.728425 arp who-has 192.168.1.1 tell 192.168.1.110
　　11:00:17.315719 arp who-has 192.168.1.1 tell 192.168.1.111
　　11:00:17.317911 arp who-has 192.168.1.1 tell 192.168.1.111
　　11:00:17.418271 arp who-has 192.168.1.1 tell 192.168.1.111
　　11:00:17.418980 arp who-has 192.168.1.1 tell 192.168.1.111
　　5 packets captured
　　5 packets received by filter
　　0 packets dropped by kernel

　　10:59:46：為截獲數(shù)據(jù)包的時(shí)間

　　728425  ：為毫秒數(shù)

　　arp：表明該數(shù)據(jù)包時(shí) ARP 請求

　　who-has 192.168.1.1 tell 192.168.1.110：表示 110 請求 1 的 MAC 地址

　　② 截獲主機(jī)“9.185.10.57”所有收到和發(fā)出的數(shù)據(jù)包

　　tcpdump host 9.185.10.57

　?、?截獲在主機(jī)“9.185.10.57”和主機(jī)“9.185.10.58”或“9.185.10.59”之間傳遞的數(shù)據(jù)包

　　tcpdump host 9.185.10.57 and \>\(9.185.10.58 or 9.185.10.59\)

　?、?截獲主機(jī)“9.185.10.57”和除主機(jī)“9.186.10.58”外所有其它主機(jī)之間通信的IP數(shù)據(jù)包

　　tcpdump ip host 9.185.10.57 and ! 9.185.10.58

　　⑤ 截獲主機(jī)“9.185.10.57”接收或發(fā)出的FTP(端口號為21)數(shù)據(jù)包

　　tcpdump tcp port 21 host 9.185.10.57

　　⑥ 如果懷疑系統(tǒng)正受到(DoS)攻擊，可通過截獲發(fā)往本機(jī)的所有ICMP包，確定目前是否有大量的ping流向服務(wù)器

　　tcpdump icmp -n -i eth0

　　㈡ Ethereal

　?、?下載并安裝

　　***請確認(rèn) libpcap 包已經(jīng)安裝****

　　# cp ethereal-0.9.9.tar.bz2 /usr/local/src/
　　# cd /usr/local/src/
　　# bzip2 -d ethereal-0.9.9.tar.bz2
　　# tar xvf ethereal-0.9.9.tar
　　# cd ethereal-0.9.9
　　# ./configure
　　# make
　　# make install

⑵ 簡單的捕獲過程

　　大概可分 2 步：

　?、?點(diǎn)擊 "filter":可直接在預(yù)置的條件里選擇、也可自己新建、比如：

　　Filter name:Rocky

　　Filter string: host 124.127.185.106

　?、?點(diǎn)擊 "capture "、在 "capture filter"選項(xiàng)框里面填上過濾條件

　　㈢ EtherApe

　　⑴ 安裝

　　# gunzip etherape-0.9.11.tar.gz
　　# tar vxf etherape-0.9.11.tar
　　# cd etherape-0.9.11
　　# ./configure
　　# make
　　# make install

⑵ 簡單的捕獲過程

　　大致如下：

　　Ⅰ 單擊“Pref.”按鈕，打開“Preferences”，在“Capture”屬性頁中“Capture filter”

　　Ⅱ 如果對IP數(shù)據(jù)包感興趣，這時(shí)可以將EtherApe切換到IP模式。單擊“Capture”菜單，選擇“Mode”菜單項(xiàng)