준호씨의 블로그

tcpdump 파일로 저장한 내용 tcpdump 로 읽기 본문

개발이야기

tcpdump 파일로 저장한 내용 tcpdump 로 읽기

준호씨 2016. 4. 3. 23:59
반응형
tcpdump 에서 -w 옵션을 이용하면 패킷덤프한 내용을 파일로 저장 할 수 있다. 보통 wireshark 등의 프로그램으로 불러 와서 보는 편인데 shell 환경에서 그냥 열어 보고 싶을 수도 있다.

그럴 때는 -r 옵션을 이용하면 된다.

우선 아래와 같이 test.pcap 이라는 파일로 패킷을 저장 한다.
sudo tcpdump -i any -s 0 port 80 -w test.pcap

wireshark 로 열어 보면 다음과 같이 나온다.

tcpdump -r 파일명을 입력하면 다음과 같이 캡쳐 한 내용이 나온다.
tcpdump -r test.pcap
reading from PCAP-NG file test.pcap
23:49:20.020425 IP 183.110.25.18.http > junekimui-mbp.kornet.59350: Flags [F.], seq 3579892103, ack 364471381, win 1015, options [nop,nop,TS val 4239603904 ecr 1067983808], length 0
23:49:20.020472 IP junekimui-mbp.kornet.59350 > 183.110.25.18.http: Flags [.], ack 1, win 4108, options [nop,nop,TS val 1068008864 ecr 4239603904], length 0
23:49:21.465928 IP junekimui-mbp.kornet.59350 > 183.110.25.18.http: Flags [F.], seq 1, ack 1, win 4108, options [nop,nop,TS val 1068010303 ecr 4239603904], length 0
23:49:21.470700 IP 183.110.25.18.http > junekimui-mbp.kornet.59350: Flags [.], ack 2, win 1015, options [nop,nop,TS val 4239605377 ecr 1068010303], length 0
23:49:23.484308 IP junekimui-mbp.kornet.59418 > ns2.daum.net.http: Flags [S], seq 1265409560, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 1068012280 ecr 0,sackOK,eol], length 0
...

당연히 다른 옵션들도 줄 수 있다.
tcpdump -r test.pcap -X
reading from PCAP-NG file test.pcap
23:49:20.020425 IP 183.110.25.18.http > junekimui-mbp.kornet.59350: Flags [F.], seq 3579892103, ack 364471381, win 1015, options [nop,nop,TS val 4239603904 ecr 1067983808], length 0
    0x0000:  4500 0034 05e5 4000 3606 ac52 b76e 1912  E..4..@.6..R.n..
    0x0010:  c0a8 0164 0050 e7d6 d560 d187 15b9 6455  ...d.P...`....dU
    0x0020:  8011 03f7 3e3e 0000 0101 080a fcb3 38c0  ....>>........8.
    0x0030:  3fa8 23c0                                ?.#.
23:49:20.020472 IP junekimui-mbp.kornet.59350 > 183.110.25.18.http: Flags [.], ack 1, win 4108, options [nop,nop,TS val 1068008864 ecr 4239603904], length 0
    0x0000:  4500 0034 bf0c 4000 4006 e92a c0a8 0164  E..4..@.@..*...d
    0x0010:  b76e 1912 e7d6 0050 15b9 6455 d560 d188  .n.....P..dU.`..
    0x0020:  8010 100c d048 0000 0101 080a 3fa8 85a0  .....H......?...
    0x0030:  fcb3 38c0                                ..8.
...



반응형
Comments