ITPub博客

首页 > Linux操作系统 > Linux操作系统 > snoop 抓包 分析端口接收信息

snoop 抓包 分析端口接收信息

原创 Linux操作系统 作者:Naviler 时间:2009-02-19 11:14:21 0 删除 编辑
snoop 抓包 
[color=Red]solaris自带snoop抓包工具,抓所有数据流[/color] 

# snoop 
Using device /dev/pcn0 (promiscuous mode) 
192.168.8.18 -> 192.168.255.255 [color=Red]NBT [/color]NS Query Request for WORKGROUP[1c], Success 
192.168.253.35 -> solaris      [color=Red]TELNET [/color]C port=1246 
     solaris -> 192.168.253.35 TELNET R port=1246 Using device /dev/pc 
     solaris -> 192.168.253.35 TELNET R port=1246 Using device /dev/pc 
192.168.4.150 -> (broadcast)  [color=Red]ARP [/color]C Who is 192.168.4.200, 192.168.4.200 ? 
192.168.4.200 -> (broadcast)  ARP C Who is 192.168.4.150, 192.168.4.150 ? 


[color=Red]抓源地址或目的为 202.101.98.55的数据流:[/color] 

# snoop 202.101.98.55 
Using device /dev/pcn0 (promiscuous mode) 
192.168.253.35 -> dns.fz.fj.cn DNS C www.163.com. Internet Addr ? 
dns.fz.fj.cn -> 192.168.253.35 DNS R www.163.com. Internet CNAME www.cache.split.netease.com. 



说明:internet cname 后的为解析www.163.com的名字时,代表www.163.com回答的主机的域名。 

[color=Red]抓 192.168.253.35和202.101.98.55之间的数据流(双向都抓)[/color] 

# snoop 192.168.253.35 202.101.98.55 
Using device /dev/pcn0 (promiscuous mode) 
192.168.253.35 -> dns.fz.fj.cn DNS C www.google.com. Internet Addr ? 
dns.fz.fj.cn -> 192.168.253.35 DNS R www.google.com. Internet CNAME www.l.google.com. 


[color=Red]抓完存在当前目录下的cap文件中并查看[/color] 

# snoop -o cap1 -P      -P表示处在非混杂模式抓数据,只抓广播、主播、目的为本机的数据 
Using device /dev/pcn0 ([color=Blue]non promiscuous[/color]) 
15 ^C                           15的含义是:显示目前抓了多少个数据流 


# snoop -i cap1 
  1   0.00000 192.168.253.35 -> solaris      TELNET C port=1246 
  2   0.18198 192.168.253.35 -> solaris      TELNET C port=1246 
  3   0.37232 192.168.4.199 -> 192.168.255.255 NBT Datagram Service Type=17 Source=WB-200[20] 
  4   0.00016            ? -> (multicast)  ETHER Type=EF08 (Unknown), size = 180bytes 
  5   0.62546 192.168.253.35 -> solaris      TELNET C port=1246 
  6   0.13822            ? -> (multicast)  ETHER Type=0000 (LLC/802.3), size = 52 bytes 
  7   0.06283 192.168.253.35 -> solaris      TELNET C port=1246 
  8   0.90301 192.168.253.35 -> solaris      TELNET C port=1246 
  9   0.19781 192.168.253.35 -> solaris      TELNET C port=1246 
10   0.81493            ? -> (multicast)  ETHER Type=0000 (LLC/802.3), size = 52 bytes 
11   0.07018 192.168.253.35 -> solaris      TELNET C port=1246 
12   0.19939 192.168.253.35 -> solaris      TELNET C port=1246 
13   0.90151 192.168.253.35 -> solaris      TELNET C port=1246 
14   0.18904 192.168.253.35 -> solaris      TELNET C port=1246 
15   0.68422            ? -> (multicast)  ETHER Type=0000 (LLC/802.3), size = 52 bytes 
#snoop -i cap1 -p 10,12            只看10-12条记录 

#snoop -i cap1 -p10                  只看第10条记录 

# snoop -i cap1 -v -p101            查看第10条数据流的包头的详细内容 

#snoop -i cap1 -v -x 0 -p101   查看第10条数据流的全部的详细内容 

[color=Red]抓主机192.168.253.35和202.101.98.55之间的tcp或者udp端口53的数据[/color] 

# snoop 192.168.253.35 and 202.101.98.55 and \(tcp or udp\) and port 53 

[color=Blue]输入(的时候要加转义符号\[/color] 


[color=Red]snoop的详细参数[/color] 
Snoop 是Solaris 系统中自带的工具, 是一个用于显示网络通讯的程序, 它可捕获IP 包并将其显示或保存到指定文件. (限超级用户使用snoop) 
Snoop 可将捕获的包以一行的形式加以总结或用多行加以详细的描述(有调用不同的参数–v -V来实现). 在总结方式下(-V ) , 将仅显示最高层的相关协议, 例如一个NFS 包将仅显示NFS 信息, 其低层的RPC, UDP, IP, Ethernet 帧信息将不会显示, 但是当加上相应的参数(-v ), 这些信息都能被显示出来. 

-C 

-D 

-N 

-P 在非混杂模式下抓包 

-S 抓包的时候显示数据包的大小 

-V 半详细的显示抓的数据的信息 

-t [ r | a | d ] 显示时间戳,-ta显示当前系统时间,精确到毫秒 

-v 最详细的显示数据的信息 

-x offset [ , length] 以16进制或ACSII方式显示某数据的部分内容,比如 -x 0,10 只显示0-10字节 

#snoop -i cap1 -v -x 0 -p101 查看被抓获的第101个数据流的全部内容 


[color=Red]表达式:[/color] 

根据地址: 

#snoop x.x.x.x         IPV4的IP 

#snoop 0XX:XX:XX:XX    ETHERNET的MAC地址 

数据的方向: 

from x.x.x.x 或者 src x.x.x.x 

to x.x.x.x 或者 dst x.x.x.x 

可用的数据类型的关键词: 

ip, ip6, arp, rarp, pppoed, pppoes,pppoe,broadcast,multicast,apple,decnet 

udp, tcp, icmp, icmp6, ah, esp 

greater length 
      True if the packet is longer than length. 

less length 
      True if the packet is shorter than length. 

net net 

# snoop from net 192.168.1.0 抓来自192.168.1.0/24的数据 

# snoop from net 192.168.0.0 抓来自192.168.0.0/16的数据 

port xx XX为TCP或者UDP的端口号或者 /etc/services里定义的名字 

#snoop to udp and port 53    抓到UDP53的数据 

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/17074730/viewspace-555631/,如需转载,请注明出处,否则将追究法律责任。

上一篇: 神奇的GroovySQL
下一篇: CPATH
请登录后发表评论 登录
全部评论

注册时间:2009-01-15

  • 博文量
    16
  • 访问量
    53641