我正在尝试在DEFCON数据包上使用tcpdump.
这是我正在使用的命令：
tcpdump -qns 0 -X -r ulogd.eth0.pcap
这是我得到的输出：
10:39:12.356410 IP 192.168.103.2.3101 > 192.168.102.2.80: tcp 0
0x0000: 4500 0028 0557 4000 7f06 a823 c0a8 6702 E..(.W@....#..g.
0x0010: c0a8 6602 0c1d 0050 2463 0fbe 8854 e419 ..f....P$c...T..
0x0020: 5010 4296 71ec 0000 P.B.q...
10:39:27.223199 IP 192.168.103.2.3101 > 192.168.102.2.80: tcp 52
0x0000: 4500 005c 055e 4000 7f06 a7e8 c0a8 6702 E..\.^@.......g.
0x0010: c0a8 6602 0c1d 0050 2463 0fbe 8854 e419 ..f....P$c...T..
0x0020: 5018 4296 0d82 0000 4745 5420 2f2f 726f P.B.....GET.//ro
0x0030: 756e 6431 3832 2e78 6d6c 2048 5454 502f und182.xml.HTTP/
0x0040: 312e 310d 0a48 6f73 743a 2031 3932 2e31 1.1..Host:.192.1
0x0050: 3638 2e31 3032 2e32 0d0a 0d0a 68.102.2....
10:39:27.224154 IP 192.168.102.2.80 > 192.168.103.2.3101: tcp 474
0x0000: 4500 0202 90d3 4000 3f06 5acd c0a8 6602 E.....@.?.Z...f.
0x0010: c0a8 6702 0050 0c1d 8854 e419 2463 0ff2 ..g..P...T..$c..
0x0020: 5018 16d0 6b2f 0000 4854 5450 2f31 2e31 P...k/..HTTP/1.1
0x0030: 2034 3034 204e 6f74 2046 6f75 6e64 0d0a .404.Not.Found..
0x0040: 4461 7465 3a20 4d6f 6e2c 2030 3420 4175 Date:.Mon,.04.Au
0x0050: 6720 3230 3033 2030 393a 3339 3a32 3720 g.2003.09:39:27.
0x0060: 474d 540d 0a53 6572 7665 723a 2041 7061 GMT..Server:.Apa
0x0070: 6368 652f 312e 332e 3236 2028 556e 6978 che/1.3.26.(Unix
0x0080: 2920 4465 6269 616e 2047 4e55 2f4c 696e ).Debian.GNU/Lin
0x0090: 7578 0d0a 5472 616e 7366 6572 2d45 6e63 ux..Transfer-Enc
0x00a0: 6f64 696e 673a 2063 6875 6e6b 6564 0d0a oding:.chunked..
0x00b0: 436f 6e74 656e 742d 5479 7065 3a20 7465 Content-Type:.te
0x00c0: 7874 2f68 746d 6c3b 2063 6861 7273 6574 xt/html;.charset
0x00d0: 3d69 736f 2d38 3835 392d 310d 0a0d 0a31 =iso-8859-1....1
0x00e0: 3137 0d0a 3c21 444f 4354 5950 4520 4854 17..<!DOCTYPE.HT
0x00f0: 4d4c 2050 5542 4c49 4320 222d 2f2f 4945 ML.PUBLIC."-//IE
0x0100: 5446 2f2f 4454 4420 4854 4d4c 2032 2e30 TF//DTD.HTML.2.0
0x0110: 2f2f 454e 223e 0a3c 4854 4d4c 3e3c 4845 //EN">.<HTML><HE
0x0120: 4144 3e0a 3c54 4954 4c45 3e34 3034 204e AD>.<TITLE>404.N
0x0130: 6f74 2046 6f75 6e64 3c2f 5449 544c 453e ot.Found</TITLE>
0x0140: 0a3c 2f48 4541 443e 3c42 4f44 593e 0a3c .</HEAD><BODY>.<
0x0150: 4831 3e4e 6f74 2046 6f75 6e64 3c2f 4831 H1>Not.Found</H1
0x0160: 3e0a 5468 6520 7265 7175 6573 7465 6420 >.The.requested.
0x0170: 5552 4c20 2f2f 726f 756e 6431 3832 2e78 URL.//round182.x
0x0180: 6d6c 2077 6173 206e 6f74 2066 6f75 6e64 ml.was.not.found
0x0190: 206f 6e20 7468 6973 2073 6572 7665 722e .on.this.server.
0x01a0: 3c50 3e0a 3c48 523e 0a3c 4144 4452 4553 <P>.<HR>.<ADDRES
0x01b0: 533e 4170 6163 6865 2f31 2e33 2e32 3620 S>Apache/1.3.26.
0x01c0: 5365 7276 6572 2061 7420 7363 6f72 652e Server.at.score.
0x01d0: 726f 6f74 6675 2e6a 7020 506f 7274 2038 rootfu.jp.Port.8
0x01e0: 303c 2f41 4444 5245 5353 3e0a 3c2f 424f 0</ADDRESS>.</BO
0x01f0: 4459 3e3c 2f48 544d 4c3e 0a0d 0a30 0d0a DY></HTML>...0..
0x0200: 0d0a ..
10:39:27.406315 IP 192.168.103.2.3101 > 192.168.102.2.80: tcp 0
0x0000: 4500 0028 055f 4000 7f06 a81b c0a8 6702 E..(._@.......g.
0x0010: c0a8 6602 0c1d 0050 2463 0ff2 8854 e5f3 ..f....P$c...T..
0x0020: 5010 40bc 71b8 0000 P.@.q...
解决方法
一个很好的替代-A开关womble指出：
tcpflow将读取pcap文件并将TCP连接拆分为单独的文件.确保使用临时目录,因为它会将其拆分为每个连接的单独文件.
tcpdump -s0 -w capfile ... mkdir tmp && cd tmp tcpflow -r ../capfile
你也可以从tcpflow得到一些非常类似于tcpdump -A的东西,而不需要拆分到不同的文件：
tcpflow -C -r capfile
就个人而言,我发现使用wireshark及其Follow TCP流选项最容易阅读,因为它对会话的每一面进行颜色编码.您可以直接使用wireshark捕获或使用tcpdump读取捕获.
