tcpdump和iptables

最新推荐文章于 2024-08-14 17:15:17 发布
原创 最新推荐文章于 2024-08-14 17:15:17 发布 · 744 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#tcpdump #网络 #linux

这里写自定义目录标题


tcpdump :
1 指定网卡抓包
sudo tcpdump -i ens33 -vv
2 将抓到的包保存到文件中
sudo tcpdump -i ens33 -vv -w ./test.pcap
sudo tcpdump -l > mylog & tail -f mylog
sudo tcpdump -i ens33 -vv -l > mylog & tail -f mylog

3 指定主机–host
sudo tcpdump -i ens33 -vv host 192.168.26.33

4 指定源主机或者目的主机: src dst
sudo tcpdump -i ens33 -vv src 192.168.26.33
sudo tcpdump -i ens33 -vv dst 192.168.26.33

5 抓包时指定端口:port
sudo tcpdump -i ens33 -vv port 21

6 抓包的时候指定协议
sudo tcpdump -i ens33 -vv icmp
sudo tcpdump -i ens33 -vv tcp
sudo tcpdump -i ens33 -vv arp

wireshark

过滤条件:
使用协议: tcp udp
使用IP地址过滤: ip.srcxxxx ip.dstxxxx ip.addr==xxxxx
使用端口过滤: tcp.port tcp.srcport tcp.dstport
可以使用逻辑运算符: or and !

如何分析IP TCP UDP协议
1 使用wireshark工具抓包
2 对照TCP IP UDP协议进行分析.

如何让普通用户也具有执行wireshark命令的权限.
修改/bin/wireshark /bin/dumpcap 文件的SUID位
sudo chmod u+s /bin/wireshark
sudo chmod u+s /bin/dumpcap

防火墙:
1 4表 5链 n条规则
表: filter raw managle nat
链: INPUT OUTPUT PREROUTING POSTROUTING FORWARD
规则: 就是条件(放行或者阻止的条件)

2 修改默认规则
sudo iptables -t filter -P INPUT DROP
sudo iptables -t filter -P INPUT ACCEPT
sudo iptables -t filter -P OUTPUT DROP
sudo iptables -t filter -P OUTPUT ACCEPT

3 查看配置的规则
sudo iptables -t filter -L --line-numbers

4 使用端口-dport -sport -p 协议
sudo iptables -t filter -A INPUT -p tcp --dport 21 -j DROP

5 删除配置的规则
sudo iptables -t filter -F
sudo iptables -t filter -D INPUT num

6 在某个规则之前插入一条规则
sudo iptables -t filter -A INPUT -p tcp --dport 23 -j DROP
sudo iptables -t filter -A OUTPUT -p tcp --sport 23 -j DROP
sudo iptables -t filter -I INPUT 1 -p tcp --dport 80 -j DROP

7 替换规则
sudo iptable -t filter -R INPUT 1 -p tcp --dport 22 -j DROP

规则配置常用参数:
1 根据源地址或者目的地址配置规则
-s : 指定源IP地址
-d : 指定目的IP地址
sudo iptables -t filter -A OUTPUT -s 192.168.10.129 -j DROP
sudo iptables -t filter -A INPUT -d 192.168.10.129 -j DROP

sudo iptables -t filter -A OUTPUT -s 192.168.10.0/24 -j DROP 
sudo iptables -t filter -A INPUT  -d 192.168.10.0/24 -j DROP

2 根据协议
tcp
udpUDP
icmp

案例: 限制外界主机ping服务器
sudo iptables -t filter -A INPUT -p icmp -j DROP
sudo iptables -t filter -A OUTPUT -p icmp -j DROP
sudo iptables -t filter -A INTPUT -p icmp --icmp-type 8  -j DROP
sudo iptables -t filter -A OUTPUT -p icmp --icmp-type 0  -j DROP

3 根据网卡配置规则
sudo iptables -t filter -i ens33 -A INPUT -p icmp -j DROP
sudo iptables -t filter -o ens33 -A OUTPUT -p icmp -j DROP

问题: 在同一条链中的规则, 假如有两条或者多条规则有冲突(矛盾), 则配置在最前面的规则有效.
sudo iptables -t filter -A INPUT -p tcp --dport 23 -j DROP
sudo iptables -t filter -A INPUT -p tcp --dport 23 -j ACCEPT

实验一:
1 限制客户端使用ssh服务远程登录服务器
sudo iptables -t filter -A INPUT -p tcp --dport 22 -j DROP
2 允许其中一台主机可以访问
sudo iptables -t filter -I INPUT 1 -s 192.168.10.1 -p tcp --dport 22 -j ACCEPT
3 让一个网段的主机都可以访问
sudo iptables -t filter -I INPUT 1 -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT

4 限制服务器使用ssh服务登录其他的主机
sudo iptables -t filter -A OUTPUT -p tcp --dport 22 -j DROP
sudo iptables -t filter -A INPUT -p tcp --sport 22 -j DROP

方法2:
允许某个主机访问服务器的ssh服务
将默认策略修改为DROP, 然后将某一个主机或者某一个网段加入到白名单中
sudo iptables -t filter -A INPUT -s 192.168.10.1 -p tcp --dport 22 -j ACCEPT
sudo iptables -t filter -A OUTPUT -d 192.168.10.1 -p tcp --sport 22 -j ACCEPT

允许一个网段的主机可以访问服务器:
sudo iptables -t filter -A INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
sudo iptables -t filter -A OUTPUT -d 192.168.10.0/24 -p tcp --sport 22 -j ACCEPT

实验二:
禁止外界主机ping服务器
方法1: 修改配置文件/proc/sys/net/ipv4/icmp_echo_ignore_all
这个配置文件默认是0, 修改为1就可以阻止外界主机ping服务器

方法2: 使用防火墙
sudo iptables -t filter -A INPUT -p icmp --icmp-type echo-request -j DROP
sudo iptables -t filter -A OUTPUT -p icmp --icmp-type echo-reply -j DROP

实验三:
禁止服务器ping其他主机:
sudo iptables -t filter -A OUTPUT -p icmp --icmp-type echo-request -j DROP
sudo iptables -t filter -A INPUT -p icmp --icmp-type echo-reply -j DROP

规则的生效顺序:
规则的次序非常关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的。
牢记以下三点式理解iptables规则的关键：
-Rules包括一个条件和一个目标(target)
-如果满足条件，就执行目标(target)中的规则或者特定值。
-如果不满足条件，就判断下一条Rules。
-如果全部Rules都不匹配， 则执行默认Target (系统默认ACCEPT)

TcpWrapper: 是一个轻量级的防火墙, 可以实现过滤功能, 但是不如iptables能实现更新粒度的过滤.
有关的配置文件:
/etc/hosts.allow
/etc/hosts.deny
过滤的规则:
1 如果hosts.allow文件中有, 则接受, 不再检查hosts.deny
2 如果hosts.allow文件中没有, 则检查hosts.deny文件
–若hosts.deny文件有, 则拒绝
–若hosts.deny文件没有, 则接受
3 如果上述两个文件都没有配置, 则接受.

只有使用了libwrap.so库的才可以使用这个配置;
如: sshd服务, 使用ldd sshd可以查看sshd服务链接了哪些库文件.

实验1: 限制某一个网段的主机访问ssh服务,只允许一个主机访问ssh服务
1 修改/etc/hosts.deny文件, 将一个网段的IP加入到文件中
ssh: 192.168.10.0/24
2 将某个主机的IP加入到/etc/hosts.allow文件中
ssh: 192.168.10.1

实验2: 限制某个网段的主机访问vsftpd服务
1 修改vsftpd的配置文件, /etc/vsftpd.conf
添加: tcp_wrappers=YES
2 修改vsftpd.conf文件之后重启服务.
3 修改/etc/hosts.deny文件, 将一个网段的IP加入到文件中
vsftpd: 192.168.10.0/24
4 将某个主机的IP加入到/etc/hosts.allow文件中
vsftpd: 192.168.10.1

TcpWrapper防火墙的优缺点:
优点: 简单, 使用的时候不用修改代码, 只需修改配置文件即可使用.
修改配置文件之后, 也无需重启服务就可以使用.
缺点: 不是所有的服务都可以使用tcpwrapper进行防火墙的设置.
只有服务的可执行文件中用到了libwrap.so库的才可以使用.

入侵监测分析:
用户账户分析:
1 关注可登录的用户, /etc/passwd文件中每一行的最后一个是否为/bin/bash
2 关注/etc/passwd文件中有没有非法账户
3 查看关注的用户是否在root特权组中
一旦某个用户加入到了特权组, 就意味者拥有了这个组的特权
4 使用lastlog last lastb命令查看用户登录情况, 如果有异常则需要特别关注.

1 将某个用户加入到某个组中
usermod -aG grpname username

2 sudo提升用户权限
重点关注某个用户是否在/etc/sudoers文件中.

root    ALL=(ALL:ALL) ALL
mytest  ALL=(ALL:ALL) NOPASSWD:ALL   #使用sudo的时候无需输入密码
python  ALL=(ALL:ALL) ALL

3 关注自启服务
/etc/rcx.d目录下的文件需要重点关注, 看是否有非法程序.
x的值是runlevel

4 关注定时任务,crontab
关注/etc/cron /etc/cron.*
加入有些定时任务不是自己添加的, 就需要格外注意.

欢迎使用Markdown编辑器

你好！ 这是你第一次使用 Markdown编辑器 所展示的欢迎页。如果你想学习如何使用Markdown编辑器, 可以仔细阅读这篇文章，了解一下Markdown的基本语法知识。

新的改变

我们对Markdown编辑器进行了一些功能拓展与语法支持，除了标准的Markdown编辑器功能，我们增加了如下几点新功能，帮助你用它写博客：

  1. 全新的界面设计 ，将会带来全新的写作体验；
  2. 在创作中心设置你喜爱的代码高亮样式，Markdown 将代码片显示选择的高亮样式 进行展示；
  3. 增加了 图片拖拽 功能，你可以将本地的图片直接拖拽到编辑区域直接展示；
  4. 全新的 KaTeX数学公式 语法；
  5. 增加了支持甘特图的mermaid语法1 功能；
  6. 增加了 多屏幕编辑 Markdown文章功能；
  7. 增加了 焦点写作模式、预览模式、简洁写作模式、左右区域同步滚轮设置 等功能，功能按钮位于编辑区域与预览区域中间；
  8. 增加了 检查列表 功能。

功能快捷键

撤销：Ctrl/Command + Z
重做：Ctrl/Command + Y
加粗：Ctrl/Command + B
斜体：Ctrl/Command + I
标题：Ctrl/Command + Shift + H
无序列表：Ctrl/Command + Shift + U
有序列表：Ctrl/Command + Shift + O
检查列表：Ctrl/Command + Shift + C
插入代码：Ctrl/Command + Shift + K
插入链接：Ctrl/Command + Shift + L
插入图片：Ctrl/Command + Shift + G
查找：Ctrl/Command + F
替换：Ctrl/Command + G

合理的创建标题，有助于目录的生成

直接输入1次#，并按下space后，将生成1级标题。
输入2次#，并按下space后，将生成2级标题。
以此类推，我们支持6级标题。有助于使用TOC语法后生成一个完美的目录。

如何改变文本的样式

强调文本 强调文本

加粗文本 加粗文本

标记文本

删除文本

引用文本

H2O is是液体。

210 运算结果是 1024.

插入链接与图片

链接: link.

图片: Alt

带尺寸的图片: Alt

居中的图片: Alt

居中并且带尺寸的图片: Alt

当然，我们为了让用户更加便捷，我们增加了图片拖拽功能。

如何插入一段漂亮的代码片

去博客设置页面，选择一款你喜欢的代码片高亮样式，下面展示同样高亮的 代码片.

// An highlighted block
var foo = 'bar';

生成一个适合你的列表

  • 项目
    • 项目
      • 项目
  1. 项目1
  2. 项目2
  3. 项目3
  • 计划任务
  • 完成任务

创建一个表格

一个简单的表格是这么创建的：

项目Value
电脑$1600
手机$12
导管$1

设定内容居中、居左、居右

使用:---------:居中
使用:----------居左
使用----------:居右

第一列第二列第三列
第一列文本居中第二列文本居右第三列文本居左

SmartyPants

SmartyPants将ASCII标点字符转换为“智能”印刷标点HTML实体。例如：

TYPEASCIIHTML
Single backticks'Isn't this fun?'‘Isn’t this fun?’
Quotes"Isn't this fun?"“Isn’t this fun?”
Dashes-- is en-dash, --- is em-dash– is en-dash, — is em-dash

创建一个自定义列表

Markdown
Text-to- HTML conversion tool
Authors
John
Luke

如何创建一个注脚

一个具有注脚的文本。2

注释也是必不可少的

Markdown将文本转换为 HTML。

KaTeX数学公式

您可以使用渲染LaTeX数学表达式 KaTeX:

Gamma公式展示 Γ ( n ) = ( n − 1 ) ! ∀ n ∈ N \Gamma(n) = (n-1)!\quad\forall n\in\mathbb N Γ(n)=(n−1)!∀n∈N 是通过欧拉积分

Γ ( z ) = ∫ 0 ∞ t z − 1 e − t d t   . \Gamma(z) = \int_0^\infty t^{z-1}e^{-t}dt\,. Γ(z)=∫0∞​tz−1e−tdt.

你可以找到更多关于的信息 LaTeX 数学表达式here.

新的甘特图功能，丰富你的文章

Mon 06 Mon 13 Mon 20 已完成 进行中 计划一 计划二 现有任务 Adding GANTT diagram functionality to mermaid
  • 关于 甘特图 语法，参考 这儿,

UML 图表

可以使用UML图表进行渲染。 Mermaid. 例如下面产生的一个序列图：

张三 李四 王五 你好！李四, 最近怎么样? 你最近怎么样，王五？ 我很好，谢谢! 我很好，谢谢! 李四想了很长时间, 文字太长了 不适合放在一行. 打量着王五... 很好... 王五, 你怎么样? 张三 李四 王五

这将产生一个流程图。:

链接
长方形
圆
圆角长方形
菱形
  • 关于 Mermaid 语法，参考 这儿,

FLowchart流程图

我们依旧会支持flowchart的流程图：

Created with Raphaël 2.3.0 开始 我的操作 确认？ 结束 yes no
  • 关于 Flowchart流程图 语法，参考 这儿.

导出与导入

导出

如果你想尝试使用此编辑器, 你可以在此篇文章任意编辑。当你完成了一篇文章的写作, 在上方工具栏找到 文章导出 ，生成一个.md文件或者.html文件进行本地保存。

导入

如果你想加载一篇你写过的.md文件，在上方工具栏可以选择导入功能进行对应扩展名的文件导入，
继续你的创作。

  1. mermaid语法说明 ↩︎

  2. 注脚的解释 ↩︎

Kernel之Tcpdump和Netfilter
weixin_42271802的博客
02-13 1090
Netfilter 是 Linux 内核中的一个框架，用于对网络数据包进行过滤、修改和重定向。它提供了多个钩子点（hook points），允许用户在不同的网络层插入自定义逻辑。它可以用于捕获不同 ISO模型中的多个层次的数据包，具体取决于过滤条件和抓包配置。验证成功（无法连接）
Linux防火墙-Netfilter和iptables
flytalei的博客
07-11 819
防火墙（FireWall ) ：隔离功能，工作在网络或主机边缘，对进出网络或主机的数据包基于一定的规则检查，并在匹配某规则时由规则定义的行为进行处理的一组功能的组件，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略,会将希望外网访问的主机放在DMZ(demilitarized zone)网络中.
tcpdump与iptables关系
jiayu的博客
03-07 1203
iptables与tcpdump PREROUTING # 设置所有流量DROP iptables -t raw -A PREROUTING -j DROP # 设置截取流量 [root@localhost ~]# tcpdump -i ens33 -nvv tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 65535 bytes 07:30:30.928282 IP (tos 0x0, ttl 128, id
【树莓派不吃灰】网络篇 Tcpdump & iptables
单片机菜鸟爱学习的博客
12-26 1161
Tcpdump & iptables
Linux之iptables详解及tcpdump
cici_new_1987的专栏
03-20 816
https://www.jianshu.com/p/ed001ae61c58 原文有几处写的不明白的地方加以重整: 作者一共在内核空间中选择了5个位置 这五个位置也被称为五个钩子函数(hook functions),也叫五个内置规则链 对应关系 PREROUTING(路由前) 进入/离开本机的外网接口 | 进入/离开本机的内网接口 INPUT(数据包流流入入...
linux-tcpdump-iptables抓包
qq_45206551的博客
02-29 1075
文章目录iptables iptables
centos7 tcpdump和iptables对应OSI哪一层
02-07
CentOS 7中的tcpdump和iptables对应OSI模型中的网络层(Network Layer)和传输层(Transport Layer)。 tcpdump是一个网络嗅探工具，可以抓取网络数据包并分析其内容。它可以捕获网络层的数据包，如IP数据包，并可以...
centos7 tcpdump能否抓到iptables过滤的数据包,原理是什么
08-12
### 回答1： CentOS7 的 tcpdump 可以抓到 iptables 过滤的数据包，原理是在网络数据包在网卡中的数据链路层传输时，...同时，我们也可以根据tcpdump捕获到的数据包信息，结合iptables过滤规则进行网络安全分析和优化。
Iptables防火墙SNAT和DNAT
最新发布
weixin_56770318的博客
08-14 1814
DNAT原理与应用: DNAT应用环境:在Internet中发布位于局域网内的服务器 DNAT原理:目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映谢。DNAT：destination NAT 支持PREROUTING , OUTPUT，把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP,请求报文：修改目标IP。DNAT：nat表的target，适用于端口映射，即可重定向到本机，也可以支持重定向至不同主机的不同端。
iptables及tcpdump实战应用案例
weixin_33928467的博客
08-17 194
█ 企业办公网络常见拓扑架构 （如图缩小了，可双击看原图）  要求：                                                                 1.实现普通PC-C可经过Linux网关B，上因特网浏览网页。                                                                ...
tcpdump能抓到被iptables drop掉的包吗？
qd89zzx的博客
12-25 955
上一篇文章，在调查跨节点访问pod的时候用到了tcpdump和iptables两个工具。地址如下在调查的过程中，也引发了我的思考。iptables明明已经把一些包给drop丢弃掉了，tcpdump为什么还能抓到包？tcpdump与iptables相比谁离的网卡驱动更近一些？
tcpdump 与 iptables
weixin_34168880的博客
04-20 640
一、抓包工具，分析工具 抓包工具 ： tcpdump 格式 ： tcpdump [-AennqX] [-i 接口] [-w 储存档名] [-c 次数] [-r 档案] [所欲撷取的封包数据格式] 常用选项 ： -A ：封包的内容以 ASCII 显示，通常用来捉取 WWW 的网页封包资料。 -e ：使用资料连接层 (OSI 第二层) ...
[LINUX使用] iptables/tcpdump/wireshark/tshark
高性价比服务器就选：蓝易云
03-24 228
过滤数据包主要是根据数据包的源地址、目的地址、源端口、目的端口等信息对数据包进行过滤。统计数据包主要是对捕获的数据包进行统计，显示数据包的数量、大小等信息。wireshark的主要功能包括抓取数据包、过滤数据包、解析数据包和统计数据包。过滤数据包主要是根据数据包的源地址、目的地址、源端口、目的端口等信息对数据包进行过滤。统计数据包主要是对捕获的数据包进行统计，显示数据包的数量、大小等信息。过滤数据包主要是根据数据包的源地址、目的地址、源端口、目的端口等信息对数据包进行过滤。
tcpdump能否抓到被iptable封禁的包？
CherishL_的专栏
06-17 591
当收包的时候，驱动中实现的igb_poll函数最终会调用到_netif_receive_skb_core，这个函数会在将包发送到协议栈函数(ip_recv、arp_recv等)之前，将包先发送到ptype_all抓包点。tcpdump工作在网络设备层，将包发送到IP层以前就能处理，netfilter工作在IP、ARP层，所以iptable封禁规则不影响tcpdump的抓包。tcpdump工作在设备层，是通过虚拟协议的方式工作的。netfilter主要是在IP、ARP等层实现的。
计算机网络--tcpdump和iptable设置、内核参数优化策略
qq_40872103的博客
07-10 1207
tcpdump命令： 选项字段：过滤表达式： netstat命令 netstat -a 命令可以显⽰所有⽹络连接-t：TCP -u：UDP-l ：哪些端口正在监听连接-p ：显⽰与每个⽹络连接关联的进程ID和进程名 端口号 ⽤于查看指定端口的占⽤情况-a：所有socket-n：直接显⽰数字类型的IP和端口-p：显⽰正在使⽤连接的进程ID和进程名称 隔几秒执行几次，如果有上升的趋势，说明当前存在半连接队列溢出的现象。 ss命令：主要⽤于获取socket统计信息，它可以显⽰和 netstat 命令类似的输出
tcpdump 和 iptables(netfilter) 处理数据包的先后顺序
余情幽梦
09-19 1827
验证数据进站/出站时 iptables、tcpdump 对其的处理顺序
tcpdump抓包与iptables过滤的关系
kakaweb的博客
07-30 776
null
iptable和tcpdump的先后顺序
blog
07-18 839
tcpdump在Linux系统防火墙规则的外
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值