Tcpdump grundlagen - Versionsgeschichte

Thomas.will: /* Optionen */

2026-04-16T07:01:06Z

Optionen

Thomas.will: /* Optionen */

2026-04-16T06:59:28Z

Optionen

Thomas.will: /* Optionen */

2025-05-10T08:55:42Z

Optionen

Thomas.will am 10. Mai 2025 um 08:55 Uhr

2025-05-10T08:55:07Z

Thomas.will: /* Optionen */

2025-05-10T08:54:21Z

Optionen

Thomas.will am 10. Mai 2025 um 08:54 Uhr

2025-05-10T08:54:12Z

Thomas.will: /* Beispiele: */

2025-05-10T08:53:42Z

Beispiele:

Thomas.will am 10. Mai 2025 um 08:53 Uhr

2025-05-10T08:53:26Z

Thomas.will am 10. Mai 2025 um 08:50 Uhr

2025-05-10T08:50:58Z

Änderungen zeigen

Thomas.will am 10. Mai 2025 um 08:30 Uhr

2025-05-10T08:30:02Z

Änderungen zeigen

@@ Zeile 97: / Zeile 97: @@
 |-
 |icmp
-|Pakete vom Typ ICMP
+|Protokoll ICMP
 |}

@@ Zeile 95: / Zeile 95: @@
 |<nowiki>||</nowiki> oder or
 |Oder Verknüpfung
 |}

@@ Zeile 33: / Zeile 33: @@
 |'''i'''nterface
 |Hört das angegebene Interface ab.
-|}
+|-
 |'''-A'''
 |'''A'''SCII

@@ Zeile 1: / Zeile 1: @@
 =Benutzung=
 Standartmäßig fängt tcpdump alle Pakete ab die von der niedrigst nummerierten Netzwerkschnittstelle irgendwohin gehen oder empfangen werden mit einer maximalgröße von 96 bytes bis man es mit STRG+C abbricht:
 Da tcpdump viel zuviele Pakete aufzeichnet um in Echtzeit etwas damit anfangen zu können muss man es über Optionen steuern.
-==Standartoptionen==
+==Optionen==
 {| Border=1 Cellpadding=2
 |'''-s'''

← Nächstältere Version		Version vom 10. Mai 2025, 08:54 Uhr
Zeile 108:		Zeile 108:
	\|Oder Verknüpfung		\|Oder Verknüpfung
	\|}		\|}
−
−	==

← Nächstältere Version		Version vom 10. Mai 2025, 08:54 Uhr
Zeile 109:		Zeile 109:
	\|}		\|}

−	==~~=Nach IP-Adressen/Domains filtern===~~	+	==
−
−	~~Um nach einer bestimmten IP-Adresse oder Domain zu filtern muss man sie mit mit '''host''' angeben~~
−
−	~~root@zero:~# tcpdump -nts 1500 '''host''' '''192.168.247.222'''~~
−
−	~~Tcpdump filtert nun den Verkehr so das entweder der Sender oder der Empfänger unsere IP-Adresse ist.~~
−
−	~~Man kann aber auch diese 2 getrennt festlegen mit '''src''' und '''dst''' vor dem jeweiligen host, man muss sie alerdings wie alle Filter-Optionen mit z.B. '''and''' voneinander abgrenzen.~~
−
−	~~root@zero:~# tcpdump -nts 1500 '''src''' host 192.168.247.222 '''and''' '''dst''' host www.google.de~~
−
−	~~Jetzt sehen wir nurnoch Pakete die von uns an den bestimmten host gesendet werden.~~
−
−	~~===Nach Ports filtern===~~
−
−	~~Will man darüber hinaus den Traffic auf einen bestimmten Port begrenzen, so kann man das mit '''port''' (welches auch dem src/dst prinzip folgt):~~
−
−	~~root@zero:~# tcpdump -nts 1500 src host 192.168.247.222 and dst host www.google.de and '''port 80'''~~
−
−	~~Wenn Sie ein anderes Protokoll, als das standardmäßig eingesetzte TCP verwenden möchten, können Sie dies ebenfalls angeben mit :~~
−
−	~~root@zero:~# tcpdump -nts 1500 src host 192.168.247.222 and dst host www.google.de and '''udp''' port 80~~
−
−	~~Jetzt sehen wir nurnoch den Traffic der von uns an www.google.de über den HTTP-Port geht und das sieht dann so aus:~~
−
−	~~root@zero:~# tcpdump -nts 1500 src host 192.168.247.222 and dst host www.google.de and port 80~~
−	~~tcpdump: verbose output suppressed, use -v or -vv for full protocol decode~~
−	~~listening on eth0, link-type EN10MB (Ethernet), capture size 1500 bytes~~
−	~~IP 192.168.247.222.58031 > 209.85.227.147.80: P 3171948303:3171948924(621) ack 4293284400 win 1002 <nop,nop,timestamp 46815127 2256160305>~~
−	~~IP 192.168.247.222.58031 > 209.85.227.147.80: . ack 1419 win 1002 <nop,nop,timestamp 46815155 2256167438>~~
−
−	~~Soll der Traffic auf einer Reihe von Ports beobachtet werden, so kann man dies mit '''portrange'''~~
−	~~root@zero:~# tcpdump -ni eth0 portrange 25-40~~
−
−	~~Für vereinzelte Ports genügt~~
−	~~root@zero:~# tcpdump -ni eth0 port \( 80 or 8080 \)~~
−
−	~~===Nach Netzen filtern===~~
−	~~Hier werden die Netze 192.168.200.0 bis 192.168.207.255 angezeigt~~
−	~~root@zero:~# tcpdump -ni eth0 net 192.168.200.0/21~~
−
−	~~Hier werden die Ziel Netze 192.168.200.0 bis 192.168.207.255 angezeigt~~
−	~~root@zero:~# tcpdump -ni eth0 dst net 192.168.200.0/21~~
−
−	~~===Nach Flags filtern===~~
−
−	~~Um die Filter jetzt noch zu vertiefen sollte man sich mit den Protokoll Headern auskennen.~~
−
−	~~Wenn man jetzt z.B. nur die Pakete sehen will in denen Daten gesendet werden, muss man sie nach dem PUSH-Flag filtern, und das geht mit dem Zusatz:~~
−
−	~~'''tcp[13] == 8'''~~
−
−	~~Das bedeutet tcpdump soll ein Paket nur anzeigen wenn das 13te Oktet den Wert 8 hat.~~
−
−	~~Da das aber bedeuten würde das keine Pakete angezeigt werden bei denen PUSH mit irgendwelche anderen Flags aktiv ist, müssen wir das Oktett mit 8 verUNDen um das gewünschte Ergebnis zu erzielen:~~
−
−	~~'tcp[13] '''& 8''' == 8'~~
−
−	~~Man beachte die ' Zeichen um den Filter die dazu dienen das tcpdump das & auch anerkennt.~~
−
−	~~=Fallbeispiel=~~
−
−	~~Wir wollen jetzt versuchen herauszufinden nach welchen Worten denn so gegoogelt auf unserem Rechner.~~
−	~~Also fangen wir an den Verkehr beliebig lange in einer Datei zu speichern damit wir ihn anschließend ohne viel Stress filtern können.~~
−
−	~~root@zero:~# tcpdump -s 1500 -w beispiel.cap~~
−	~~tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 1500 bytes~~
−	~~199 packets captured~~
−	~~199 packets received by filter~~
−	~~0 packets dropped by kernel~~
−
−	~~Nachdem wir jetz nach ein paar Worten gegoogelt haben machen wir uns an die Arbeit. Zuerst einmal stellen wir mit dem Host-Filter klar das wir Pakete die von uns kommen sehen wollen.~~
−
−	~~root@zero:~# tcpdump -ntr beispiel.cap '''src host 192.168.247.222'''~~
−
−	~~Das sind aber noch viel zu viele Pakete deswegen addieren wir die Ziel-Adresse~~
−
−	~~root@zero:~# tcpdump -ntr beispiel.cap src host 192.168.247.222 and '''dst host www.google.de'''~~
−
−	~~Das sollte das Ergebnis schon einigermaßen eingegrenzt haben.~~
−
−	~~Als nächstes fügen wir noch hinzu das wir Pakete die Daten enthalten suchen, durch den Flag-Filter~~
−
−	~~root@zero:~# tcpdump -ntr beispiel.cap src host 192.168.247.222 and dst host www.google.de and''' 'tcp[13] & 8 == 8' '''~~
−
−	~~Wir sehen nurnoch die Pakete die Daten enthalten in der Ausgabe. Aber noch nicht die Daten. Das ist machbar mit der Option '''-A''', die die Pakete in ASCII anzeigt.~~
−
−	~~root@zero:~# tcpdump -'''A'''ntr beispiel.cap src host 192.168.247.222 and dst host www.google.de and 'tcp[13] & 8 == 8'~~
−
−	~~Damit sind wir unserem Ziel greifbar Nahe.~~
−
−	~~Wenn man sich das Ergebnis ansieht kann man schon ein Muster und unsere gesuchten Worte erkennen kann.~~
−
−	~~Jetzt nurnoch unsere tcpdump Ausgabe mit einer Pipe durch grep laufen lassen und wir haben was wir wollten:~~
−
−	~~root@zero:~# tcpdump ... '''\| grep search'''~~
−	~~reading from file beispiel.cap, link-type EN10MB (Ethernet)~~
−	~~......U(GET /search?hl=de&q='''baum'''&btnG=Suche&meta= HTTP/1.1~~
−	~~Referer: http://www.google.de/search?hl=de&q='''auto'''&btnG=Suche&meta=~~
−	~~Referer: http://www.google.de/search?hl=de&q='''baum'''&btnG=Suche&meta=~~
−	~~......X2GET /search?hl=de&q='''haus'''&btnG=Suche&meta= HTTP/1.1~~
−	~~Referer: http://www.google.de/search?hl=de&q='''baum'''&btnG=Suche&meta=~~
−	~~Referer: http://www.google.de/search?hl=de&q='''haus'''&btnG=Suche&meta=~~
−	~~......`.GET /search?hl=de&q='''auto'''&btnG=Suche&meta= HTTP/1.1~~
−	~~Referer: http://www.google.de/search?hl=de&q='''haus'''&btnG=Suche&meta=~~
−	~~Referer: http://www.google.de/search?hl=de&q='''auto'''&btnG=Suche&meta=~~
−
−	~~Hier sieht man deutlich die benutzten Worte heraus.~~

← Nächstältere Version		Version vom 10. Mai 2025, 08:53 Uhr
Zeile 43:		Zeile 43:
	\|}		\|}

−	~~==Beispiele:==~~

−	~~Schreiben aller Pakete in eine Datei:~~
−
−	~~root@zero:~# tcpdump '''-w''' traffic.cap~~
−	~~tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes~~
−
−	~~Schreiben von 100 Paketen mit einer maximalen Größe von 1500 byte in eine Datei:~~
−
−	~~root@zero:~# tcpdump '''-c 100 -s 1500''' -w traffic.cap~~
−	~~tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 1500 bytes~~
−
−	~~Lesen der Datei:~~
−
−	~~root@zero:~# tcpdump '''-r''' traffic.cap~~
−	~~reading from file traffic.cap, link-type EN10MB (Ethernet)~~
−	~~14:02:53.324049 IP zero.alpha.quadrant.48309 > 192.168.255.255.netbios-ns: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST~~
−	~~14:02:53.597526 IP zero.alpha.quadrant.48309 > 192.168.255.255.netbios-ns: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST~~
−
−	~~Gefiltertes Lesen der Datei:~~
−
−	~~root@zero:~# tcpdump '''-nt'''r traffic.cap~~
−	~~reading from file traffic.cap, link-type EN10MB (Ethernet)~~
−	~~IP 192.168.242.12.43045 > 192.168.255.255.137: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST~~
−	~~IP 192.168.242.12.43045 > 192.168.255.255.137: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST~~
−
−	~~===Weitere Optionen===~~

	{\| Border=1 Cellpadding=2		{\| Border=1 Cellpadding=2