shell &amp;&amp; tupdump学习笔记

发布时间：2014-09-05 13:39:27作者：知识屋

shell && tupdump学习笔记

一、理解如何写入记录

if [ -z "$IN_INITLOG" -a -x /sbin/initlog ]; then

// 条件是：如果 IN_INITLOG 变量的值不为空，且 /sbin/initlog 可执行

exec /sbin/initlog -r /etc/rc.d/rc.sysinit

//为了将rc.sysinit的运行信息记到syslog里（/var/log/messages），使用了进程替代

二、windows下使用awk的访求

在windows下使用awk命令，先加入过滤条件

awk "/TCP/{print $0}"

三、windump的使用方法

windump -d

可以列出当前的设备列表。

我在windows7 下有时候会出现只能列出一个的问题，这时候需要把不可见的设备Disable后再次Enable

然后再次 windump -d 就可以看到了。

windump -i x x是第几个设备，注意是 1Base ，不是0Base

windump host 10.9.16.88 and(10.9.16.254) 可以监听 10.9.16.88 和 10.9.16.254 之间的对话

Windump具有通过详细标准过滤已记录数据的能力详细的网络协议，主机或端口通常在命令列中有详细说明。其中的语法相当复杂。在程序文件中有详细解释，这有一些例子:

　　windump -i 2 port 80

　　通过端口80从界面#2记录所有流量

　　windump -i 2 host im-chat.com

　　记录所有从the host im-chat.com.或来或到界面#2的流量

　　windump -i 1 net 127

1、windump –D 列出本机可供抓包的全部接口。

这个命令在本机有多个网卡时非常有用。比如，我的机器装有3块网卡，而我只抓第二块网卡上的包，那么我用windump –D列出机器上所有的网卡，再指定只抓第二块网卡的包，方法如下：

windump –D

windump –i 2(网卡序号)

2、windump –n 不解析主机名，直接显示抓包的主机IP地址。

3、windump –n host 192.168.1.2 只抓关于192.168.1.2主机的包（不管包的方向）。

4、windump –n host 192.168.1.2 and udp port 514 只抓关于主机192.168.1.2上udp协议端口为514的包。

同理，我也可以抓所有tcp协议23端口的包，命令如下：

windump –n host 192.168.1.2 and tcp port 23

或者，我只抓udp 514端口的包，不管ip是多少，命令如下：

windump –n udp port 514

5、windump –n net 133.160 抓133.160网段的包，不管包的方向。

同理，我也可以抓所有133.160网段的且tcp端口为3389的包，命令如下：

windump –n net 133.160 and tcp port 3389

6、windump –n host ! 133.191.1.1 抓所有非133.191.1.1有关的包。

同理，我要抓除了133.191.1.1之外的所有机器的tcp端口为3389的包，命令如下：

windump –n host ! 133.191.1.1 and tcp port 3389

7、windump –n dst host 133.191.1.1 抓所有发送到133.191.1.1的包。

同理，可以用and 或or参数，如：

windump –n dst host 133.191.1.1 ort src host 101.1.1.1

四、LINUX 下配置行命令配置路由

方法一：

vi /etc/sysconfig/network-scripts/route-eth0 #默认不存在此文件

加入如下内容：

192.168.1.0/24 via 192.168.1.1

提示：写到配置里，重启网络服务和重启系统都会生效！

方法二：

vi /etc/sysconfig/static-routes #默认不存在此文件

加入如下内容:

any net 192.168.1.0/24 gw 192.168.1.1

提示：写到配置里，重启网络服务和重启系统都会生效！

方法三：

vi /etc/rc.local

加入如下内容：

route add -net 192.168.1.0/24 gw 192.168.1.1

PS: 方法一推荐生产环境使用

提示：方法三写到/etc/rc.local里只在开机时加载，当手工重启网络后会失效，但是重启系统后会生效！

如果是配置默认路由网关可以再网卡配置里：

[root@oldboy ~]# grep GATEWAY /etc/sysconfig/network-scripts/ifcfg-eth0

GATEWAY=10.0.0.254

c.主机路由：就是去往某个主机地址如何配置路由

/sbin/route add -host 192.168.2.13 dev eth2

/sbin/route add -host 202.81.11.91 dev lo

例如：keepalived或heartbeat高可用服务器对之间的使用单独网卡接心跳线通信就会用到以上主机路由。

route命令拓展：

删除一条默认路由：

route del default gw 10.0.0.254

删除一条静态路由：

route del –net 目标网络 netmask

如：route del -net 192.168.1.0/24 或route del -net 192.168.1.0 netmask 255.225.255.0

删除一条主机路由：

route del -host 192.168.1.10 dev eth0

五、tcpdump 命令举例

tcpdump -nn -tttt 'tcp[13] & 7 != 0' -r output.dmp

which does not resolve host/port names (-nn), arranges the

date/time in a pretty format (-tttt), only captures TCP SYN/FIN/RST

flags ('tcp[13] & 7 != 0'),

六、shell 命令举例

redhat 提取磁盘使用情况

df -k | sed '/%/!{N;s//n/ /}' | awk '{print $5}'

df -k |awk 'NF==7||NF==6{print $5}NF==5{print $4}'

HTTP

sudo tcpdump -i en1 -n -s 0 -w - | grep -a -o -E "Host/: .*|GET //.*"

提取日期可做文件名

date +%Y%m%d

#!/bin/bash

today=`date +%Y%m%d`

tcpdump -i eth0 -s -w ${today}.cap

exit

# date +%m%d%k%M%N

09061658960514249

# date +%m%d%k%M%N

09061658996844940

# date +%m%d%k%M%S

0906165844

# date +%m%d%k%M%S

去字符串头尾的空格

grep -o "[^ ]/+/(/+[ ^]/+/)*"

例子：cat filenmae.txt|awk -v RS="*" '{print}'|grep -o "[^ ]/+/(/+[ ^]/+/)*"|grep "string"|sort|uniq -c|sort -rn|result.txt

（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）

上一篇:CentOS 6安装WPS

下一篇:linux网络之dns初学

软件推荐

更多 >

游戏推荐

更多 >

精选栏目

手机游戏

手机软件

电脑软件

猜你喜欢

系统传奇恋爱奇迹射击塔防铃声医疗抖音阅读放置解谜低息角色抢票三国借钱视频小说抢红包挂机导航财经摄影角色扮演母婴剧情换装卡牌办公棋牌 360 竞技吃鸡社交闯关经营动作魔幻钱包联机健康辅助关卡网贷借钱投屏 RPG 直播运动影音

shell &amp;amp;&amp;amp; tupdump学习笔记

相关知识

软件推荐

游戏推荐

精选栏目

win10

YLMF—OS

Win—XP

windows8

linux

windows7

热门推荐

手机游戏

手机软件

电脑软件

猜你喜欢

shell && tupdump学习笔记