Ubuntu 下的协议分析流程
在 Ubuntu 上进行协议分析，通常先用抓包工具获取流量，再用显示/捕获过滤器聚焦目标协议，随后在分组详情中逐层解码并定位问题。抓包工具会利用网卡的混杂模式接收经过接口的所有数据包，这是进行协议分析与故障排查的基础。
常用工具与安装
- Wireshark：图形化协议分析器，支持数百种协议解码与过滤。安装命令：sudo apt-get update && sudo apt-get install wireshark。安装后可通过 sudo dpkg-reconfigure wireshark 配置允许非 root 用户抓包。
- tcpdump：命令行抓包利器，轻量高效。安装命令：sudo apt-get install tcpdump。
- Scapy：Python 网络包处理库，便于自定义解析与自动化分析。安装命令：sudo apt-get install python3-scapy。
以上工具覆盖了从快速排查到深度定制的不同场景。
快速上手流程
- 选择网卡并开始捕获
- 查看网卡：ip link 或 tcpdump -D；实时捕获示例：sudo tcpdump -i eth0 -nn -s0。参数说明：-nn 不解析主机名/端口，-s0 抓取完整报文。
- 设置捕获过滤器（减少噪声）
- 仅 HTTP：port 80；仅某主机：host 192.168.1.10；组合：host 10.0.0.5 and tcp port 443。
- 保存为 pcap 以便深入分析
- 保存：sudo tcpdump -i eth0 -w capture.pcap -nn -s0；读取：tcpdump -r capture.pcap -nn。
- 图形化深度分析
- 用 Wireshark 打开 capture.pcap，按协议分层查看（如 Ethernet/IP/TCP/HTTP/DNS），结合时间线与会话统计定位异常。
以上流程覆盖了命令行快速筛选与图形化深度解码的常用路径。
协议分析实战示例
- HTTP 明文分析
- 捕获：sudo tcpdump -i any -nn -s0 -w http.pcap port 80
- 读取并检查请求行/头部：tcpdump -r http.pcap -nn -A | grep -i “HTTP/1.”
- 提示：HTTPS 为加密流量，内容不可直接读取，需配合应用日志或解密环境。
- DNS 查询与响应
- 捕获：sudo tcpdump -i any -nn -s0 -w dns.pcap port 53
- 读取查询名与响应：tcpdump -r dns.pcap -nn -vv port 53 | egrep “query|answer”
- TCP 三次握手与重传迹象
- 捕获：sudo tcpdump -i any -nn -s0 ‘tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn’ -w syn.pcap
- 在 Wireshark 中查看 SEQ/ACK、重传（TCP Retransmission）与往返时延。
- 仅抓取 HTTP GET/POST
- 捕获：sudo tcpdump -i any -nn -s0 -A ‘tcp port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420 or tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)’ -w http_get_post.pcap
- 说明：0x47455420 = "GET "，0x504f5354 = “POST”（ASCII 大端）。
- 使用 Scapy 做协议字段检查（示例：统计 DNS 查询名）
- 命令：
- sudo python3 - <<‘PY’
from scapy.all import sniff
def pkt(p):
if p.haslayer(“DNS”) and p[“DNS”].qr == 0:
print(p[“DNS”].qd.qname.decode())
sniff(filter=“udp port 53”, prn=pkt, store=False)
PY
这些示例覆盖了常见协议（HTTP、DNS、TCP）的关键字段定位与问题识别。
过滤器与排错技巧
- 捕获过滤器（tcpdump 语法，抓前过滤）
- 语法要点：host、net、port、tcp/udp、icmp、逻辑运算（and/or/not）。
- 示例：host 10.1.1.1 and not port 22、icmp。
- 显示过滤器（Wireshark/tshark，抓后过滤）
- 示例：http.request.method == “GET”、dns.qry.name contains “example”、tcp.analysis.retransmission。
- 性能与权限
- 长时间抓包建议加粒度更细的过滤器，避免高负载；必要时使用 -C/文件轮转。
- 抓包通常需要 root 或具备 CAP_NET_RAW 能力的用户；Wireshark 可通过 dpkg-reconfigure 配置非 root 抓包。
- 合法合规
- 仅在获得授权的网络与主机上抓包，妥善保存与分析捕获文件，避免泄露敏感信息。
以上要点可显著提升分析效率并降低对系统与业务的影响。
