Tcpdump 看这一篇就够了
tcpdump 是一款强大的网络抓包工具，它使用 libpcap 库来抓取网络数据包，这个库在几乎在所有的 Linux/Unix 中都有。熟悉 tcpdump 的使用能够帮助你分析调试网络数据，本文将通过一个个具体的示例来介绍它在不同场景下的使用方法。不管你是系统管理员，程序员，云原生工程师还是 yaml 工程师，掌握 tcpdump 的使用都能让你如虎添翼，升职加薪。
tcpdump 的常用参数如下：
额外再介绍几个常用参数：
-A 表示使用 ASCII 字符串打印报文的全部数据，这样可以使读取更加简单，方便使用 grep 等工具解析输出内容。 -X 表示同时使用十六进制和 ASCII 字符串打印报文的全部数据。这两个参数不能一起使用。例如：
后面可以跟上协议名称来过滤特定协议的流量，以 UDP 为例，可以加上参数 udp 或 protocol 17 ，这两个命令意思相同。
同理， tcp 与 protocol 6 意思相同。
使用过滤器 host 可以抓取特定目的地和源 IP 地址的流量。
也可以使用 src 或 dst 只抓取源或目的地：
使用 tcpdump 截取数据报文的时候，默认会打印到屏幕的默认输出，你会看到按照顺序和格式，很多的数据一行行快速闪过，根本来不及看清楚所有的内容。不过，tcpdump 提供了把截取的数据保存到文件的功能，以便后面使用其他图形工具（比如 wireshark，Snort）来分析。
-w 选项用来把数据报文输出到文件：
如果想实时将抓取到的数据通过管道传递给其他工具来处理，需要使用 -l 选项来开启行缓冲模式（或使用 -c 选项来开启数据包缓冲模式）。使用 -l 选项可以将输出通过立即发送给其他命令，其他命令会立即响应。
过滤的真正强大之处在于你可以随意组合它们，而连接它们的逻辑就是常用的 与/AND/ 、 或/OR/|| 和 非/not/!。
关于 tcpdump 的过滤器，这里有必要单独介绍一下。
机器上的网络报文数量异常的多，很多时候我们只关系和具体问题有关的数据报（比如访问某个网站的数据，或者 icmp 超时的报文等等），而这些数据只占到很小的一部分。把所有的数据截取下来，从里面找到想要的信息无疑是一件很费时费力的工作。而 tcpdump 提供了灵活的语法可以精确地截取关心的数据报，简化分析的工作量。这些选择数据包的语句就是过滤器（filter）！
Host 过滤器用来过滤某个主机的数据报文。例如：
该命令会抓取所有发往主机 1.2.3.4 或者从主机 1.2.3.4 发出的流量。如果想只抓取从该主机发出的流量，可以使用下面的命令：
Network 过滤器用来过滤某个网段的数据，使用的是 CIDR[2] 模式。可以使用四元组（x.x.x.x）、三元组（x.x.x）、二元组（x.x）和一元组（x）。四元组就是指定某个主机，三元组表示子网掩码为 255.255.255.0，二元组表示子网掩码为 255.255.0.0，一元组表示子网掩码为 255.0.0.0。例如，
抓取所有发往网段 192.168.1.x 或从网段 192.168.1.x 发出的流量：
抓取所有发往网段 10.x.x.x 或从网段 10.x.x.x 发出的流量：
和 Host 过滤器一样，这里也可以指定源和目的：
也可以使用 CIDR 格式：
Proto 过滤器用来过滤某个协议的数据，关键字为 proto，可省略。proto 后面可以跟上协议号或协议名称，支持 icmp, igmp, igrp, pim, ah, esp, carp, vrrp, udp和 tcp。因为通常的协议名称是保留字段，所以在与 proto 指令一起使用时，必须根据 shell 类型使用一个或两个反斜杠（/）来转义。Linux 中的 shell 需要使用两个反斜杠来转义，MacOS 只需要一个。
例如，抓取 icmp 协议的报文：
Port 过滤器用来过滤通过某个端口的数据报文，关键字为 port。例如：
截取数据只是第一步，第二步就是理解这些数据，下面就解释一下 tcpdump 命令输出各部分的意义。
最基本也是最重要的信息就是数据报的源地址/端口和目的地址/端口，上面的例子第一条数据报中，源地址 ip 是 192.168.1.106，源端口是 56166，目的地址是 124.192.132.54，目的端口是 80。 符号代表数据的方向。
此外，上面的三条数据还是 tcp 协议的三次握手过程，第一条就是 SYN 报文，这个可以通过 Flags [S] 看出。下面是常见的 TCP 报文的 Flags:
下面给出一些具体的例子，每个例子都可以使用多种方法来获得相同的输出，你使用的方法取决于所需的输出和网络上的流量。我们在排障时，通常只想获取自己想要的内容，可以通过过滤器和 ASCII 输出并结合管道与 grep、cut、awk 等工具来实现此目的。
例如，在抓取 HTTP 请求和响应数据包时，可以通过删除标志 SYN/ACK/FIN 来过滤噪声，但还有更简单的方法，那就是通过管道传递给 grep。在达到目的的同时，我们要选择最简单最高效的方法。下面来看例子。
从 HTTP 请求头中提取 HTTP 用户代理：
通过 egrep 可以同时提取用户代理和主机名（或其他头文件）：
抓取 HTTP GET 流量：
也可以抓取 HTTP POST 请求流量：
注意：该方法不能保证抓取到 HTTP POST 有效数据流量，因为一个 POST 请求会被分割为多个 TCP 数据包。
上述两个表达式中的十六进制将会与 GET 和 POST 请求的 ASCII 字符串匹配。例如，tcp[((tcp[12:1] 0xf0) 2):4] 首先会确定我们感兴趣的字节的位置[3]（在 TCP header 之后），然后选择我们希望匹配的 4 个字节。
提取 HTTP 请求的主机名和路径：
从 HTTP POST 请求中提取密码和主机名：
提取 Set-Cookie（服务端的 Cookie）和 Cookie（客户端的 Cookie）：
查看网络上的所有 ICMP 数据包：
通过排除 echo 和 reply 类型的数据包使抓取到的数据包不包括标准的 ping 包：
可以提取电子邮件的正文和其他数据。例如，只提取电子邮件的收件人：
抓取 NTP 服务的查询和响应
通过 SNMP 服务，渗透测试人员可以获取大量的设备和系统信息。在这些信息中，系统信息最为关键，如操作系统版本、内核版本等。使用 SNMP 协议快速扫描程序 onesixtyone，可以看到目标系统的信息：
当抓取大量数据并写入文件时，可以自动切割为多个大小相同的文件。例如，下面的命令表示每 3600 秒创建一个新文件 capture-(hour).pcap，每个文件大小不超过 200*1000000 字节：
这些文件的命名为 capture-{1-24}.pcap，24 小时之后，之前的文件就会被覆盖。
可以通过过滤器 ip6 来抓取 IPv6 流量，同时可以指定协议如 TCP：
从之前保存的文件中读取 IPv6 UDP 数据报文：
在下面的例子中，你会发现抓取到的报文的源和目的一直不变，且带有标志位 [S] 和 [R]，它们与一系列看似随机的目标端口进行匹配。当发送 SYN 之后，如果目标主机的端口没有打开，就会返回一个 RESET。这是 Nmap 等端口扫描工具的标准做法。
本例中 Nmap NSE 测试脚本 http-enum.nse 用来检测 HTTP 服务的合法 URL。
在执行脚本测试的主机上：
在目标主机上：
向 Google 公共 DNS 发起的出站 DNS 请求和 A 记录响应可以通过 tcpdump 抓取到：
抓取 80 端口的 HTTP 有效数据包，排除 TCP 连接建立过程的数据包（SYN / FIN / ACK）：
通常 Wireshark（或 tshark）比 tcpdump 更容易分析应用层协议。一般的做法是在远程服务器上先使用 tcpdump 抓取数据并写入文件，然后再将文件拷贝到本地工作站上用 Wireshark 分析。
还有一种更高效的方法，可以通过 ssh 连接将抓取到的数据实时发送给 Wireshark 进行分析。以 MacOS 系统为例，可以通过 brew cask install wireshark 来安装，然后通过下面的命令来分析：
例如，如果想分析 DNS 协议，可以使用下面的命令：
抓取到的数据：
找出一段时间内发包最多的 IP，或者从一堆报文中找出发包最多的 IP，可以使用下面的命令：
cut -f 1,2,3,4 -d '.' : 以 . 为分隔符，打印出每行的前四列。即 IP 地址。
sort | uniq -c : 排序并计数
sort -nr : 按照数值大小逆向排序
本例将重点放在标准纯文本协议上，过滤出于用户名和密码相关的报文：
最后一个例子，抓取 DHCP 服务的请求和响应报文，67 为 DHCP 端口，68 为客户机端口。
本文主要介绍了 tcpdump 的基本语法和使用方法，并通过一些示例来展示它强大的过滤功能。将 tcpdump 与 wireshark 进行组合可以发挥更强大的功效，本文也展示了如何优雅顺滑地结合 tcpdump 和 wireshark。如果你想了解更多的细节，可以查看 tcpdump 的 man 手册。
有没有用MacBook做渗透测试的，面对各种工具不支持该怎么办
主要是做：
1、负责渗透测试技术服务实施，编写渗透测试报告；
2、负责渗透测试技术交流、培训；
3、负责代码审计、漏洞检测与验证、漏洞挖掘；
4、负责最新渗透测试技术学习、研究。
应聘这样的职位有一定的职业要求：
1、熟悉交换路由等网络协议、熟悉ACL、NAT等技术、熟悉网络产品配置和工作原理；熟悉LINUX、AIX等操作系统安全配置；熟悉ORACLE、MSSQL、MYSQL等数据库安全配置；熟悉WEB、FTP、邮件等应用安全配置；
2、能熟练使用各类渗透测试工具，熟悉手工注入、上传、中间人攻击测试、业务逻辑漏洞测试；
3、熟悉HTML、XML、ASP、PHP、JSP等脚本语言，会使用C/C++、JAVA、.net、PYTHON等进行程序开发；
4、熟悉木马、后门技术、SHELLCODE技术、免杀技术、密码破解技术、漏洞挖掘技术、远程控制技术等。
用什么软件可以检测wifi的安全性。
二十款免费WiFi黑客（渗透测试）工具
1. Aircrack
Aircrack是目前最流行的WiFi密码破解工具。市面上能破解 WiFi加密的工具有很多，不外乎利用WEP安全漏洞或者暴力字典攻击的方式破解WPA/WPA2 PSK密码。WPA2 AES/CCMP加密依然是相对安全的选择。如果采用WPA2 PSK模式，那么你的密码长度最好是13位以上混合字符。在你的Wi-Fi网络被入侵或者“蹭网”之前，最好先用破解工具自我攻击一下。 Aircrack是一个开源的WEP/WPA/WPA2 PSK破解工具，可以运行在windows、Mac OS X、Linux和OpenBSD上。可以下载到Vmware镜像文件或Live CD文件。
下载链接:
2. AirSnort
AirSnort是另外一款流行的WLAN密码破解工具，可以破解WEP秘钥。
下载链接:
3. Kismet
Kismet是一个开源的WiFi扫描器，包嗅探器和入侵政策系统，可以在windows、Mac OSX、Linux和BSD上运行。Kismet能显示AP详细信息，包括隐藏的SSID，还能捕获原始无线数据包，还可以将数据导入 Wireshark、TCPdump等工具进行分析。在windows环境，受驱动程序限制，Kismet只能与 CACE AirPcap无线网卡配合工作。但在Mac OSX和Linux上，Kismet可以兼容很多无线网卡。
Download Kismet:
4. Cain Able
Cain和Abel是windows上的密码恢复、破解和嗅探工具，可被用于展示如何从网络中嗅探明文密码。
下载链接:
5. WireShark
WireShark是当下非常流行的网络协议分析工具，关于最新的WireShark2.0版本的新功能的信息在这里。
Download Wireshark:
6. Fern WiFi Wireless Cracker
Fern是一款优秀的网络漏洞扫描和WLAN破解工具，可以破解获取WEP/WPA/WPS秘钥。Fren的开发工作从未停顿，而且专业版还提供更多强大功能。
下载链接:
7. CoWPAtty
CoWPAtty也是一款无线密码破解工具，新版预置了包含上千个流行SSID的17万个字典文件，大大提高了破解速度，类似国内的各种WiFi钥匙应用。
下载链接:
8. Airjack
Airjack是802.11包注入工具，过去曾被用来发起DOS或中间人攻击。
下载链接:
9. WepAttack
顾名思义，WepAttack也是一个802.11WEP秘钥破解工具，同时也是一个开源的Linux工具。
下载链接:
10. NetStumbler
NetStumbler是一个运行于Windows平台的无线密码破解工具。该工具已经很久未更新，无法兼容64位Windows版本，而且会被大多数无线入侵侦测工具发现，因此适合在家练手使用。
下载链接:
11. inSSIDer
inSSIDer是Windows和Mac平台上最流行的WiFi扫描工具，曾荣获最佳开源网络软件称号，不过目前已经转为收费版本（19.99美元）
下载链接:
12. Wifiphisher
开源无线安全工具
WiFiphiser是基于MIT许可模式的开源软件，运行于Kali Linux之上。
下载链接：
13. KisMac
一个类似Kismet的工具，面向Mac平台。
下载链接:
14. Reaver
如果你使用的是无线路由器，那么你需要注意去年底发现的一个安全漏洞：很多路由器厂商提供的WPS（一键认证模式，方便用户完成路由器设备连接认证）的 PIN码可以在数小时内被破解。Reaver就是这样一个工具，Reaver是一个Linux程序，能在4-10小时内暴力破解无线路由器的WPS PIN码和WPA/WPA2 PSK密码。Reaver还提供一个方便使用的专用硬件方案：Reaver Pro，有图形web操作界面。
15. Wifite
Wifite是一个很不错的无线密码破解工具，支持通过Reaver破解WPS秘钥，运行于Linux平台。
下载链接:
16. WepDecrypt
WepDecrypt是一款适合初学者的无线密码字典攻击工具，用C语言写成，但很久没有更新了。
下载链接:
17. OmniPeek
OmniPeek是一款网络包嗅探分析工具，属于Windows平台“独占”工具。需要使用者对网络协议和数据包有较深入的了解。
下载地址：
18. CloudCracker
顾名思义，CloudCracker是一款云端WiFi密码破解工具。
下载地址:
19. CommonView for Wi-Fi
CommonView是一款流行的额网络监控和包分析工具，最大特点是拥有GUI图形界面。
下载地址：
20. Pyrit
Pyrit也是一款优秀的WiFi密码暴力破解工具（WPA/WPA2-PSK）。运行于FreeBSD、MacOS和Linux平台。
下载地址：
0条大神的评论