как заставить tcpdump отображать ip и номер порта, но не имя хоста и протокол

42

Я использую tcpdump для некоторых тестов, я хочу увидеть IP и номер порта, но вывод tcpdump похож на

IP pl1snu.koren.kr.http > kitch.pl.sophia.inria.fr.dnp: Flags [P.], seq 54:72, ack 1, win 5792, length 18

он показывает только имя хоста и протокол для http, легко узнать, что это 80, но для dnp мне нужно искать

так можно ли заставить tcpdump отображать ip и номер порта, но не имя хоста и протокол, если так, то как? Благодарность

linux networking tcpdump

— misteryes
источник

44

Добавьте -nк своей tcpdumpкомандной строке.

Из справочной страницы tcpdump :

-n Don't convert addresses (i.e., host addresses, port numbers, etc.) to names.

Также следует отметить, что в Fedora (и, возможно, других производных: RHEL, CentOS и т. Д.) Они исправили исходную версию tcpdump, чтобы включить отдельную опцию -nnдля удаления номеров портов. Из справочной страницы :

-n     Don't convert host addresses to names.   This  can  be  used  to
              avoid DNS lookups.

-nn    Don't convert protocol and port numbers etc. to names either.

— heavyd
источник

номер порта по-прежнему преобразуется в имя протокола с помощью-n

— misteryes

"номер порта по-прежнему преобразуется в имя протокола с использованием -n" Не, например, с tcpdump 4.1.1, который поставляется с OS X Mountain Lion или с tcpdump, созданным из верхней части транка Git tcpdump.org. В какой версии tcpdump вы видите -n не подавлять преобразование номеров портов в имена протоколов?

5

Я использую -nnпараметр.

-nnНе разрешайте имена хостов или портов.

Запустите это как:

tcpdump -nn

— ATMC
источник

2

-nработает только для имен хостов, но не работает для номеров портов. -nnделает трюк для обоих. Это работает tcpdump версии 4.5.1 на Fedora 20 GNU / Linux. Пониженный ответ @ATMc является единственно правильным. К сожалению, я не могу ни объявить это, ни написать комментарий под ним из-за низкой кармы.

— Адам Куркевич
источник

1

Я думаю, что лучший подход это:

sudo tcpdump -ni any

Шаги для тестирования:

Откройте консоль и введите:
```
sudo nc -l -p 6666
```
Откройте другую консоль и введите:
```
sudo tcpdump -ni any
```
Если вывод слишком подробный, вы можете отфильтровать его ( | grep -v "patter1n|pattern2")
Откройте третью консоль и введите:
```
telnet localhost 6666
```

Ожидаемый результат:

10:37:13.770997 IP 127.0.0.1.56920 > 127.0.0.1.443: Flags [S], seq 2822288041, win 43690, options [mss 65495,sackOK,TS val 1028779 ecr 0,nop,wscale 7], length 0

Если вы используете, sudo tcpdump -i anyвы увидите что-то вроде этого:

10:38:22.106022 IP localhost.56924 > localhost.https: Flags [S], seq 3147104744, win 43690, options [mss 65495,sackOK,TS val 1045863 ecr 0,nop,wscale 7], length 0

— Хавьер
источник

1

Это то же самое, что и другой ответ - в -i anyэтом нет необходимости, если вы хотите подавить преобразование адреса / порта в имя, важно только -nэто.

-2

tcpdump -i eth0 -p -nn | grep "IP" | awk '{print$3 ,$4 ,$5}' | sed 's/://'

— скоро
источник

1

я не понимаю

— Pierre.Vriens

1

Хотя в вопросе говорится «отображать ip и номер порта, но не имя хоста и протокол», я сомневаюсь, что это означает «отображать ip и номер порта, но не любую другую информацию». (Я могу ошибаться, но, похоже, никто другой не интерпретировал вопрос так, как вы.) Таким образом, ваш ответ сводится к двум частям: (1) использование  -nnдля отображения таких служб, как «http» и «dnp», в качестве порта число вместо имени (которое было представлено в трех предыдущих ответах), и (2) используйте  awkдля отбрасывания данных о содержимом пакета (что, вероятно, нежелательно).

— Скотт