使用Tcpflow取代tcpdump

August 1, 2017

TCPflow是一款功能强大的、基于命令行的免费开源工具，用于在Unix之类的系统(如Linux)上分析网络流量。它可捕获通过TCP连接接收或传输的数据，并存储在文件中供以后分析，采用的格式便于协议分析和调试。
放上官网地址：https://github.com/simsong/tcpflow

它实际上是类似tcpdump的工具，因为它处理来自网络或存储文件的数据包。它同样支持tcpdump支持的功能强大的过滤表达式。唯一的区别是，tcpflow让所有TCP数据包井然有序，并在单独的文件(每路方向的数据流有一个文件)中组装每路数据流，供以后分析。
功能特性包括一个高级插件系统，用于解压缩压缩的HTTP连接、撤消MIME编码或调用后期处理的第三方程序等等。
TCPflow有许多使用场景，包括了解网络数据包流量，还支持执行网络取证分析和泄露HTTP会话的内容。

```
$ sudo tcpflow
tcpflow: listening on enp0s3
```
默认情况下，TCPflow将所有捕获的数据存储在表单中有名称的文件中(如果你使用某些选项，比如timestamp，这可能不一样)。
```
sourceip.sourceport-destip.destport
192.168.043.031.52920-216.058.210.034.00443
```
现在不妨列出目录，看看TCP流量是否已捕获在任何文件中。
```
$ ls -1
total 20
-rw-r--r--. 1 root root 808 Sep 19 12:49 192.168.043.031.52920-216.058.210.034.00443
-rw-r--r--. 1 root root 59 Sep 19 12:49 216.058.210.034.00443-192.168.043.031.52920
```
如上所述，每路TCP流量存储在各自的文件中。从上面输出可以看出，有三个记录文件(transcript file)，这表明TCPflow呈两个截然不同的方向，源IP在第一个文件中，目的地IP在第二个文件中，反之亦然。
第一个文件192.168.043.031.52920-216.058.210.034.00443含有从主机192.168.043.031(TCPflow运行所在的localhost，通过端口52920)传输到主机216.058.210.034(远程主机，通过端口443)的数据。
而第二个文件216.058.210.034.00443-192.168.043.031.52920含有从主机216.058.210.034(远程主机，通过端口443)传输到主机192.168.043.031(TCPflow运行所在的localhost，通过端口52920)的数据。
还生成了一个XML报告，含有关于该程序的信息，比如它是如何编译的、它在哪台计算机上运行以及每条TCP连接的记录。
你可能注意到了，TCPflow默认情况下将记录文件存储在当前目录下。-o选项可帮助你指定将写入文件的输出目录。
```
 sudo ls -l tcpflow_files
total 32
-rw-r--r--. 1 root root 1665 Sep 19 12:56 157.240.016.035.00443-192.168.000.103.45986
-rw-r--r--. 1 root root 45 Sep 19 12:56 169.044.082.101.00443-192.168.000.103.55496
-rw-r--r--. 1 root root 2738 Sep 19 12:56 172.217.166.046.00443-192.168.000.103.39954
-rw-r--r--. 1 root root 68 Sep 19 12:56 192.168.000.102.00022-192.168.000.103.42436
-rw-r--r--. 1 root root 573 Sep 19 12:56 192.168.000.103.39954-172.217.166.046.00443
-rw-r--r--. 1 root root 4067 Sep 19 12:56 192.168.000.103.45986-157.240.016.035.00443
-rw-r--r--. 1 root root 38 Sep 19 12:56 192.168.000.103.55496-169.044.082.101.00443
-rw-r--r--. 1 root root 3159 Sep 19 12:56 report.xml
```
你还可以将数据包的内容输出到stdout，并不将任何捕获的数据存储到文件，只需使用-c标志，如下所示。
想有效地进行测试，打开第二个端口，运行ping，或浏览互联网。你应该能够看到ping细节或浏览细节已被TCPflow捕获。
```
$ sudo tcpflow -c
```
可以捕获某个端口上的所有流量，比如端口80(HTTP)。以HTTP流量为例，你可以看到HTTP Headers以及随后的内容都在stdout上;如果去除-c参数选项符，它们都在一个文件中。
```
$ sudo tcpflow port 80
```
想捕获来自某个网络接口的数据包，使用-i标志来指定接口名称。
```
$ sudo tcpflow -i eth0 port 80
```
还可以指定目标主机(接受的值是IP地址、主机名或域名)，如下所示：
```
$ sudo tcpflow -c host 192.68.43.1
OR
$ sudo tcpflow -c host www.google.com
```
你可以使用-a标志，启用使用所有浏览器的所有处理，这相当于-e all参数选项符。
```
$ sudo tcpflow -a
OR
$ sudo tcpflow -e all
```
还可以激活特定的扫描器;可用的扫描器包括md5、http、netviz、tcpdemux和wifiviz(运行tcpflow –H，即可查看关于每个扫描器的详细信息)。
```
$ sudo tcpflow -e http
OR
$ sudo tcpflow -e md5
OR
$ sudo tcpflow -e netviz
OR
$ sudo tcpflow -e tcpdemux
OR
$ sudo tcpflow -e wifiviz
```
下面这个例子显示了如何启用除tcpdemux之外的所有扫描器。
```
$ sudo tcpflow -a -x tcpdemux
```
TCPflow通常在捕获数据包之前试图让网络接口处于混杂模式。可以使用-p标志来阻止这种模式，如下所示：
```
$ sudo tcpflow -p -i eth0
```
想读取来自tcpdump pcap文件的数据包，使用-r标志。
```
$ sudo tcpflow -f file.pcap
```
可以使用-v或-d 10选项启用详细模式。
```
$ sudo tcpflow -v
OR
$ sudo tcpflow -d 10
```
重要提醒：TCPflow的一个局限性是，目前它不了解IP片段，因而可能无法正确捕获作为TCP连接的一部分而传输的含有IP片段的数据。
想了解更多信息和用法选项，请参阅TCPflow参考手册页。

作者：SkTj
链接：https://www.jianshu.com/p/224ab9850cb4

添加新评论