如何使用tcpdump查看完整的snaplen捕获?

时间:2011-07-22 17:48:08

标签: tcpdump

使用tcpdump时,我似乎无法看到捕获的所有数据。具体来说,我似乎错过了帧头部6个字节,我想知道是否有人可以解释原因。

为了说明,我在VMWare上以仅主机网络配置设置了一个Ubuntu实例。为了生成流量,我ping VMWare网关...在我的情况下:

$ ping 192.168.153.1

现在捕获并打印数据:

$ tcpdump -i eth0 -x -s 64
...
10:23:24.419067 IP 192.168.153.1 > ubuntu.local: ICMP echo reply, id 2959, seq 137, length 64
    0x0000:  4500 0054 2313 4000 4001 63bf c0a8 9901
    0x0010:  c0a8 9984 0000 af80 0b8f 0089 0cb2 294e
    0x0020:  1d64 0600 0809 0a0b 0c0d 0e0f
10:23:25.418807 IP ubuntu.local > 192.168.153.1: ICMP echo request, id 2959, seq 138, length 64
    0x0000:  4500 0054 0000 4000 4001 86d2 c0a8 9984
    0x0010:  c0a8 9901 0800 df7f 0b8f 008a 0db2 294e
    0x0020:  e463 0600 0809 0a0b 0c0d 0e0f

此时预期显示的总字节数不是64;数据链接头被隐藏,IP字节是第一个出现的,即'4500'。要显示数据链接头字节,我添加另一个x。

$ tcpdump -i eth0 -xx -s 64
...
10:29:29.523043 IP 192.168.153.1 > ubuntu.local: ICMP echo reply, id 2959, seq 501, length 64
    0x0000:  000c 292a 4f6c 0050 56c0 0001 0800 4500
    0x0010:  0054 b305 4000 4001 d3cc c0a8 9901 c0a8
    0x0020:  9984 0000 007d 0b8f 01f5 79b3 294e 5cfa
    0x0030:  0700 0809 0a0b 0c0d 0e0f
10:29:30.522884 IP ubuntu.local > 192.168.153.1: ICMP echo request, id 2959, seq 502, length 64
    0x0000:  0050 56c0 0001 000c 292a 4f6c 0800 4500
    0x0010:  0054 0000 4000 4001 86d2 c0a8 9984 c0a8
    0x0020:  9901 0800 f77b 0b8f 01f6 7ab3 294e 5cfa
    0x0030:  0700 0809 0a0b 0c0d 0e0f

现在显示更多字节。我认为它们是以太网帧头的14个字节(dest,源MAC + ethertype = 14个字节)。相应地,IP标头现在开始下行14个字节。

但为什么还有6个字节缺失?请注意,只显示了58个字节 - 我希望可见64个字节。

2 个答案:

答案 0 :(得分:6)

尝试将tcpdump与-s0

一起使用

我试过这个并且它对我有用..(这只是一个例子,你只需要-s0)

tcpdump -X -s0 port 21

答案 1 :(得分:2)

最小以太网帧大小为64字节。当有效负载太小时,以太网将填充其内容。 IP报头的总长度值将用于确定填充开始的位置,这将被丢弃,因此Tcpdump不会显示。