📄 1066.html
字号:
<td noWrap background="images/bgline.gif" tppabs="http://www.linuxhero.com/docs/images/bgline.gif">
<div align=center><font class=normalfont>搜索文章:
<input type=hidden value=result name=action2>
<input type=radio checked value=title name=type>标题
<input type=radio value=content name=type>内容
<input type=image src="images/button_go.gif" tppabs="http://www.linuxhero.com/docs/images/button_go.gif" border=0 name=image2>
</font></div>
</td>
</tr>
<tr>
<td noWrap>
<div align="center">
<input maxlength=100 size=30 name=keyword2>
</div>
</td>
</tr></tbody>
</table>
</form>
</TD>
<TD rowSpan=2><IMG src="images/header_r1_c7.gif" tppabs="http://www.linuxhero.com/docs/images/header_r1_c7.gif" width=26 border=0 name=header_r1_c7></TD>
<TD><IMG height=83 src="images/spacer.gif" tppabs="http://www.linuxhero.com/docs/images/spacer.gif" width=1 border=0></TD></TR>
<TR>
<TD background="images/bgline.gif" tppabs="http://www.linuxhero.com/docs/images/bgline.gif"><IMG height=22
src="images/header_r2_c1.gif" tppabs="http://www.linuxhero.com/docs/images/header_r2_c1.gif" width=296 border=0
name=header_r2_c1></TD>
<TD background="images/bgline.gif" tppabs="http://www.linuxhero.com/docs/images/bgline.gif" colSpan=5>
<DIV align=right><FONT class=normalfont>当前位置：
<A href="index.html" tppabs="http://www.linuxhero.com/docs/index.html">本站首页</A>
<font color="#FF6699">>></font>
<A href="type15.html" tppabs="http://www.linuxhero.com/docs/type15.html">网络安全</A> | <A href="copyright.html" tppabs="http://www.linuxhero.com/docs/copyright.html">版权说明</A></font></DIV>
</TD>
<TD><IMG height=22 src="images/spacer.gif" tppabs="http://www.linuxhero.com/docs/images/spacer.gif" width=1
border=0></TD></TR></TBODY></TABLE>
<TABLE cellSpacing=10 cellPadding=0 width="100%" bgColor=#ffffff
border=0>
<TR>
<TD>
<TABLE cellSpacing=0 cellPadding=3 width="100%" border=0>
<TR>
<TD vAlign=top align=middle width="60%">
<TABLE cellSpacing=0 cellPadding=0 width="100%"
background="images/back.gif" tppabs="http://www.linuxhero.com/docs/images/back.gif" border=0>
<TBODY>
<TR>
<TD vAlign=top width="80%">
<DIV align=center>
<FORM action="search.html" tppabs="http://www.linuxhero.com/docs/search.html" method=get>
</FORM>
<TABLE cellSpacing=0 cellPadding=0 width="95%"
border=0><TBODY>
<TR>
<TD background="images/bgi.gif" tppabs="http://www.linuxhero.com/docs/images/bgi.gif"
height=30></TD></TR></TBODY></TABLE>
<TABLE cellSpacing=0 cellPadding=3 width="95%"
align=center border=0>
<TBODY>
<TR>
<TD>
<TABLE cellSpacing=0 cellPadding=3 width="100%"
border=0>
<TBODY>
<TR>
<TD vAlign=top>
<p><FONT class=normalfont><B><font color=blue>解析linux网络分析的三大利器</font></B></FONT><BR><FONT class=smallfont color=#ff9900>2004-04-23 15:18 pm</FONT><BR><FONT class=normalfont>作者：作者<br>来自：Linux知识宝库<br>联系方式：无名<br><br>随着Internet的迅猛发展，网络已无处不在，但是，它可能随时受到来自各方的攻击。了解哪些人正在访问资源、哪些人正在享受服务、哪些人正在发送大量垃圾等，对网络管理员来说是非常必要的。利用linux中较常见的网络分析工具Tcpdump、Nmap和Netstat，可以使网络管理工作更加轻松。<br>
<br>
Tcpdump主要是截获通过本机网络接口的数据，用以分析。Nmap是强大的端口扫描工具，可扫描任何主机或网络。Netstat可用来检查本机当前提供的服务及状态。这三者各有所长，结合起来，就可以比较透彻地了解网络状况。<br>
<br>
<br>
Tcpdump<br>
<br>
<br>
Tcpdump能够截获当前所有通过本机网卡的数据包。它拥有灵活的过滤机制，可以确保得到想要的数据。由于Tcpdump只能收集通过本机的数据，因此它的应用受到了一些限制，大多应用在网关或服务器自我检测上。例如，在作为网关的主机上，想知道本地网络中IP地址为192.168.0.5的主机现在与外界通信的情况，就可以使用如下命令：<br>
<br>
tcpdump -i eth0 src host 192.168.0.5<br>
<br>
<br>
在默认情况下，Tcpdump会将数据输出到屏幕。如果数据量太大，可能根本看不清具体的内容，这时我们可以把它重定向到文件再进行分析。如果眼神不错，就可以清楚地了解这位仁兄刚才的一举一动：<br>
<br>
访问了新浪网主页<br>
20:05:32.473388 192.168.0.5.1872 > www.sina.com.http:<br>
S 1372301404:1372301404(0) win 64240 <mss<br>
1460,nop,nop,sackOK> (DF)<br>
……<br>
进行了netbios广播进行名字查询<br>
20:05:33.823388 192.168.0.5.netbios-dgm ><br>
192.168.0.255.netbios-dgm: NBT UDP PACKET(138)<br>
……<br>
到新华网POP3服务器收信<br>
20:05:41.953388 192.168.0.5.1878 > pop.xinhuanet.com.pop3: S<br>
1374956462:1374956462(0) win 64240 <mss 1460,nop,nop,sackOK> (DF)<br>
……<br>
到深圳963收信<br>
20:05:45.633388 192.168.0.5.1881 > szptt154.szptt.net.cn.pop3:<br>
P 34:40(6) ack 146 win 64095 (DF)<br>
……<br>
<br>
<br>
例如，上面这条信息表明了在20:05:45的时候，192.168.0.5通过1881源端口连接到963电子邮局的POP3端口。对于普通的网络分析，这些信息已经足够了。这就是Tcpdump的基本功能，其它高级功能都是在这一基础上的细化和增强。<br>
<br>
例如，我只想知道192.168.0.5当前正在访问哪些Web站点，可以用下面这条命令：<br>
<br>
tcpdump -i eth0 src host 192.168.0.5 and dst port 80<br>
<br>
<br>
该命令的目的是截获所有由eth0进入、源地址(src)为192.168.0.5的主机(host)，并且(and)目标(dst)端口(port)为80的数据包。得到的数据如下：<br>
<br>
20:05:32.473388 192.168.0.5.1872 > www.sina.com.http:<br>
S 1372301404:1372301404(0) win 64240 <mss 1460,nop,nop,sackOK> (DF)<br>
……<br>
20:06:33.42344 192.168.0.5.1873 > www.sohu.com.http:<br>
S 1374301404:1374301404(0) win 64245 <mss 1460,nop,nop,sackOK> (DF)<br>
……<br>
20:07:31.343248 192.168.0.5.1874 > www.21cn.com.http:<br>
S 1377301404:1377301404(0) win 64241 <mss 1460,nop,nop,sackOK> (DF)<br>
……<br>
<br>
<br>
显然，通过and或者not这些逻辑组合，就可以得到特定的数据。Tcpdump还可以监听不同的数据类型（如TCP、UDP），以用不同的网络范围（如Host主机、Net网络），甚至用Ether直接指定物理地址。<br>
<br>
用Tcpdump在网络中获取信息如此清晰，是不是有一种一览无余的感觉。正是因为Tcpdump功能过于强大，连个人隐私和敏感数据的保护都成了问题，所以通常只有root用户能够使用这一工具。<br>
<br>
<br>
Nmap<br>
<br>
<br>
Nmap设计的初衷是系统管理员可以方便地了解自己的网络运行情况，例如有多少台主机在运行、分别提供什么样的服务。因此，它扫描的速度非常快，尤其适合大型网络。在对网络进行扫描时，Nmap主要利用ICMP echo探测主机是否开启。凡是了解TCP/IP协议的都知道，对于一个TCP端口，无论是否使用防火墙进行过滤，该主机都会对该端口发出的请求做出一定响应。所以即使配置了严格的防火墙规则，nmap照样可以找到这些主机。例如，在一台IP地址为192.168.0.1的linux主机上执行下列命令：<br>
<br>
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all<br>
<br>
<br>
它的作用就是对所有ICMP echo不予理睬，也就是让通常用来测试网络的Ping命令失效。这样至少可以抵挡POD(Ping of Death)的攻击。在任何一台机器上Ping这台主机，得到的都会是请求超时，如：<br>
<br>
Pinging 192.168.0.1 with 32 bytes of data:<br>
Request timed out.<br>
Request timed out.Request timed out.Request timed out.<br>
Ping statistics for 192.168.0.1:<br>
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss)<br>
<br>
<br>
这台主机是否下线了？用Nmap探测试试看：<br>
<br>
nmap -sP 192.168.0.1<br>
Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )<br>
Host gw.somewhere.net (192.168.0.1) appears to be up.<br>
<br>
<br>
探测结果好像该主机还开着呢！这里，-sP指定使用Ping echo 进行扫描(Scan)。<br>
<br>
利用这一特点，可以很快知道目的网络究竟有多少主机处于运行状态：<br>
<br>
nmap -sP 192.168.0.0/24 //24表明目标是一个网络而非单个主机<br>
Starting nmap V. 2.54BETA22 ( www.insecure.org/nmap/ )<br>
Host (192.168.0.2) appears to be up.<br>
Host www.somesite.net (192.168.0.5) appears to be up.<br>
Host (192.168.0.8) appears to be up.<br>
……<br>
Host (192.168.0.253) appears to be up.<br>
Host fake.somesite.net (192.168.0.254) appears to be up.<br>
Nmap run completed -- 256 IP addresses (19 hosts up) scanned in 6 seconds<br>
<br>
<br>
既然已经知道了哪些主机还开着，就可以进一步探测这些主机的信息，如开启的端口、提供的服务及操作系统类型等。从上面扫描的结果可以知道，192.168.0.5这台机器正在运行。想要了解该主机的详细信息，可以执行：<br>
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -