12、网络工具与系统审计实用指南

网络工具与系统审计实用指南

1. Tcpdump工具详解

Tcpdump是一款强大的网络包捕获工具，下面将详细介绍其在不同网络协议场景下的使用方法和输出解析。

1.1 特定TCP标志位数据包显示

若要显示仅设置了SYN位或同时设置了SYN和ACK位的数据包，可使用逻辑或运算将两种语法进行关联。示例命令如下：

Linux:~# tcpdump –i xl0 ‘tcp[13] == 2 or tcp[13] == 18’

此命令能让用户看到仅设置SYN标志的数据包，以及同时设置SYN和ACK标志的数据包。

1.2 UDP数据包分析

UDP是一种无连接的协议，其输出相较于TCP输出更易于阅读和解释。以下是一个UDP数据包的示例：

Joey.testdomain.de.1111 > Aj.testdomain.de.1111 : udp 90

从该示例可知，一个包含90字节用户数据的UDP数据包从 Joey.testdomain.de 主机的1111端口发往 Aj.testdomain.de 主机的1111端口。

UDP名称服务器请求的通用格式如下：

src > dst: id op? flags qtype qclass name (len)

示例如下：

h2