熱搜:win11繞過硬件限制安裝 一鍵重裝Win10系統(tǒng) 最干凈的u盤啟動盤 真正純凈版的win7系統(tǒng)
時間:2015-04-13 16:53:07 作者:qipeng 來源:系統(tǒng)之家 1. 掃描二維碼隨時看資訊 2. 請使用手機瀏覽器訪問: https://m.xitongzhijia.net/xtjc/20150413/45061.html 手機查看 評論 反饋
提醒一下自己, 我們只是要得到包含SYN標志的數(shù)據(jù)包。 讓我們看看在一個包的包頭中, 如果SYN位被設(shè)置, 到底
在13號字節(jié)發(fā)生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 0 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
在控制段的數(shù)據(jù)中, 只有比特1(bit number 1)被置位。
假設(shè)編號為13的字節(jié)是一個8位的無符號字符型,并且按照網(wǎng)絡(luò)字節(jié)號排序(nt:對于一個字節(jié)來說,網(wǎng)絡(luò)字節(jié)序等同于主機字節(jié)序), 其二進制值
如下所示:
00000010
并且其10進制值為:
0*2^7 + 0*2^6 + 0*2^5 + 0*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2^0 = 2(nt: 1 * 2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達中的指數(shù)7 6 。。. 0挪到了下面來表達)
接近目標了, 因為我們已經(jīng)知道, 如果數(shù)據(jù)包頭部中的SYN被置位, 那么頭部中的第13個字節(jié)的值為2(nt: 按照網(wǎng)絡(luò)序, 即大頭方式, 最重要的字節(jié)
在前面(在前面,即該字節(jié)實際內(nèi)存地址比較小, 最重要的字節(jié),指數(shù)學(xué)表示中數(shù)的高位, 如356中的3) )。
表達為tcpdump能理解的關(guān)系式就是:
tcp[13] 2
從而我們可以把此關(guān)系式當作tcpdump的過濾條件, 目標就是監(jiān)控只含有SYN標志的數(shù)據(jù)包:
tcpdump -i xl0 tcp[13] 2 (nt: xl0 指網(wǎng)絡(luò)接口, 如eth0)
這個表達式是說“讓TCP數(shù)據(jù)包的第13個字節(jié)擁有值2吧”, 這也是我們想要的結(jié)果。
現(xiàn)在, 假設(shè)我們需要抓取帶SYN標志的數(shù)據(jù)包, 而忽略它是否包含其他標志。(nt:只要帶SYN就是我們想要的)。 讓我們來看看當一個含有
SYN-ACK的數(shù)據(jù)包(nt:SYN 和 ACK 標志都有), 來到時發(fā)生了什么:
|C|E|U|A|P|R|S|F|
|---------------|
|0 0 0 1 0 0 1 0|
|---------------|
|7 6 5 4 3 2 1 0|
13號字節(jié)的1號和4號位被置位, 其二進制的值為:
00010010
轉(zhuǎn)換成十進制就是:
0*2^7 + 0*2^6 + 0*2^5 + 1*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2 = 18(nt: 1 * 2^6 表示1乘以2的6次方, 也許這樣更
清楚些, 即把原來表達中的指數(shù)7 6 。。. 0挪到了下面來表達)
現(xiàn)在, 卻不能只用’tcp[13] 18‘作為tcpdump的過濾表達式, 因為這將導(dǎo)致只選擇含有SYN-ACK標志的數(shù)據(jù)包, 其他的都被丟棄。
提醒一下自己, 我們的目標是: 只要包的SYN標志被設(shè)置就行, 其他的標志我們不理會。
為了達到我們的目標, 我們需要把13號字節(jié)的二進制值與其他的一個數(shù)做AND操作(nt:邏輯與)來得到SYN比特位的值。 目標是:只要SYN 被設(shè)置
就行, 于是我們就把她與上13號字節(jié)的SYN值(nt: 00000010)。
00010010 SYN-ACK 00000010 SYN
AND 00000010 (we want SYN) AND 00000010 (we want SYN)
-------- --------
= 00000010 = 00000010
我們可以發(fā)現(xiàn), 不管包的ACK或其他標志是否被設(shè)置, 以上的AND操作都會給我們相同的值, 其10進制表達就是2(2進制表達就是00000010)。
從而我們知道, 對于帶有SYN標志的數(shù)據(jù)包, 以下的表達式的結(jié)果總是真(true):
。 ( value of octet 13 ) AND ( 2 ) ) ( 2 ) (nt: value of octet 13, 即13號字節(jié)的值)
靈感隨之而來, 我們于是得到了如下的tcpdump 的過濾表達式
tcpdump -i xl0 ’tcp[13] & 2 2‘
注意, 單引號或反斜桿(nt: 這里用的是單引號)不能省略, 這可以防止shell對&的解釋或替換。
上面就是Linux下tcpdump命令的用法介紹了,本文主要通過實例對tcpdump命令做了簡單的介紹,以便你能更好的理解tcpdump命令。
發(fā)表評論
共0條
評論就這些咯,讓大家也知道你的獨特見解
立即評論以上留言僅代表用戶個人觀點,不代表系統(tǒng)之家立場