tcpdump源码

A. tcpmp源码下载

http://download.chinaunix.net/search/?q=tcpmp&frmid=0

B. 求前辈指教。linux的套接字编程，这个程序运行，我照着源码敲，出现一堆错误。用的是vim和gcc

再启动时会出现:
Bind(): Address already in use
的错误提示，并导致程序直接退出;
用
$netstat -an |grep 8080

或

$ps aux |grep 8080
都还能看到刚才用Ctrl+C“强制结束”了的进程，端口还是使用中，
只能用kill结束进程，才能收回端口，很是麻烦。
在代码中添加:
int optval；

optval = 1;

ret = setsockopt( sock, SOL_SOCKET, SO_REUSEADDR, &optval, sizeof(optval) );
可以解决这问题。
在网上查到的更好的解释如下:
http://www.ibm.com/developerworks/cn/linux/l-sockpit/
在 4.2 BSD UNIX® 操作系统中首次引入，Sockets API 现在是任何操作系统的标准特性。
事实上，很难找到一种不支持 Sockets API 的现代语言。
该 API 相当简单，但新的开发人员仍然会遇到一些常见的隐患。
本文识别那些隐患并向您显示如何避开它们。

隐患 1．忽略返回状态
第一个隐患很明显，但它是开发新手最容易犯的一个错误。
如果您忽略函数的返回状态，当它们失败或部分成功的时候，您也许会迷失。
反过来，这可能传播错误，使定位问题的源头变得困难。
捕获并检查每一个返回状态，而不是忽略它们。
考虑清单 1 显示的例子，一个套接字 send 函数。

清单 1. 忽略 API 函数返回状态

int status, sock, mode;

/* Create a new stream (TCP) socket */
sock = socket( AF_INET, SOCK_STREAM, 0 );
...
status = send( sock, buffer, buflen, MSG_DONTWAIT );
if (status == -1)
{
/* send failed */
printf( "send failed: %s\n", strerror(errno) );
}
else
{
/* send succeeded -- or did it? */
}

清单 1 探究一个函数片断，它完成套接字 send 操作（通过套接字发送数据）。
函数的错误状态被捕获并测试，但这个例子忽略了send 在无阻塞模式（由 MSG_DONTWAIT 标志启用）下的一个特性。
send API 函数有三类可能的返回值：
如果数据成功地排到传输队列，则返回 0。
如果排队失败，则返回 -1（通过使用 errno 变量可以了解失败的原因）。
如果不是所有的字符都能够在函数调用时排队，则最终的返回值是发送的字符数。
由于 send 的 MSG_DONTWAIT 变量的无阻塞性质，
函数调用在发送完所有的数据、一些数据或没有发送任何数据后返回。
在这里忽略返回状态将导致不完全的发送和随后的数据丢失。

隐患 2．对等套接字闭包
UNIX 有趣的一面是您几乎可以把任何东西看成是一个文件。
文件本身、目录、管道、设备和套接字都被当作文件。
这是新颖的抽象，意味着一整套的 API 可以用在广泛的设备类型上。
考虑 read API 函数，它从文件读取一定数量的字节。
read 函数返回：
读取的字节数（最高为您指定的最大值）；
或者 -1，表示错误；
或者 0，如果已经到达文件末尾。
如果在一个套接字上完成一个 read 操作并得到一个为 0 的返回值，这表明远程套接字端的对等层调用了 close API 方法。
该指示与文件读取相同 —— 没有多余的数据可以通过描述符读取（参见 清单 2）。

清单 2．适当处理 read API 函数的返回值

int sock, status;
sock = socket( AF_INET, SOCK_STREAM, 0 );
...
status = read( sock, buffer, buflen );
if (status > 0)
{
/* Data read from the socket */
}
else if (status == -1)
{
/* Error, check errno, take action... */
}
else if (status == 0)
{
/* Peer closed the socket, finish the close */
close( sock );
/* Further processing... */
}

同样，可以用 write API 函数来探测对等套接字的闭包。
在这种情况下，接收 SIGPIPE 信号，或如果该信号阻塞，write 函数将返回 -1 并设置 errno 为 EPIPE。

隐患 3．地址使用错误（EADDRINUSE）
您可以使用 bind API 函数来绑定一个地址（一个接口和一个端口）到一个套接字端点。
可以在服务器设置中使用这个函数，以便限制可能有连接到来的接口。
也可以在客户端设置中使用这个函数，以便限制应当供出去的连接所使用的接口。
bind 最常见的用法是关联端口号和服务器，并使用通配符地址（INADDR_ANY），它允许任何接口为到来的连接所使用。
bind 普遍遭遇的问题是试图绑定一个已经在使用的端口。
该陷阱是也许没有活动的套接字存在，但仍然禁止绑定端口（bind 返回EADDRINUSE），
它由 TCP 套接字状态 TIME_WAIT 引起。
该状态在套接字关闭后约保留 2 到 4 分钟。
在 TIME_WAIT 状态退出之后，套接字被删除，该地址才能被重新绑定而不出问题。
等待 TIME_WAIT 结束可能是令人恼火的一件事，
特别是如果您正在开发一个套接字服务器，就需要停止服务器来做一些改动，然后重启。
幸运的是，有方法可以避开 TIME_WAIT 状态。可以给套接字应用 SO_REUSEADDR 套接字选项，以便端口可以马上重用。
考虑清单 3 的例子。
在绑定地址之前，我以 SO_REUSEADDR 选项调用 setsockopt。
为了允许地址重用，我设置整型参数（on）为 1 （不然，可以设为 0 来禁止地址重用）。

清单 3．使用 SO_REUSEADDR 套接字选项避免地址使用错误

int sock, ret, on; struct sockaddr_in servaddr; /* Create a new stream (TCP) socket */ sock = socket( AF_INET, SOCK_STREAM, 0 ):
/* Enable address reuse */
on = 1;
ret = setsockopt( sock, SOL_SOCKET, SO_REUSEADDR, &on, sizeof(on) );

/* Allow connections to port 8080 from any available interface */
memset( &servaddr, 0, sizeof(servaddr) );
servaddr.sin_family = AF_INET;
servaddr.sin_addr.s_addr = htonl( INADDR_ANY );
servaddr.sin_port = htons( 45000 );

/* Bind to the address (interface/port) */
ret = bind( sock, (struct sockaddr *)&servaddr, sizeof(servaddr) );

在应用了 SO_REUSEADDR 选项之后，bind API 函数将允许地址的立即重用。

隐患 4．发送结构化数据
套接字是发送无结构二进制字节流或 ASCII 数据流（比如 HTTP 上的 HTTP 页面，或 SMTP 上的电子邮件）的完美工具。但是如果试图在一个套接字上发送二进制数据，事情将会变得更加复杂。
比如说，您想要发送一个整数：您可以肯定，接收者将使用同样的方式来解释该整数吗？
运行在同一架构上的应用程序可以依赖它们共同的平台来对该类型的数据做出相同的解释。
但是，如果一个运行在高位优先的 IBM PowerPC 上的客户端发送一个 32 位的整数到一个低位优先的 Intel x86，
那将会发生什么呢？
字节排列将引起不正确的解释。
字节交换还是不呢？
Endianness 是指内存中字节的排列顺序。高位优先（big endian） 按最高有效字节在前排列，然而 低位优先（little endian） 按照最低有效字节在前排序。
高位优先架构（比如 PowerPC®）比低位优先架构（比如 Intel® Pentium® 系列，其网络字节顺序是高位优先）有优势。这意味着，对高位优先的机器来说，在 TCP/IP 内控制数据是自然有序的。低位优先架构要求字节交换 —— 对网络应用程序来说，这是一个轻微的性能弱点。
通过套接字发送一个 C 结构会怎么样呢？这里，也会遇到麻烦，因为不是所有的编译器都以相同的方式排列一个结构的元素。结构也可能被压缩以便使浪费的空间最少，这进一步使结构中的元素错位。
幸好，有解决这个问题的方案，能够保证两端数据的一致解释。过去，远程过程调用（Remote Procere Call，RPC）套装工具提供所谓的外部数据表示（External Data Representation，XDR）。XDR 为数据定义一个标准的表示来支持异构网络应用程序通信的开发。
现在，有两个新的协议提供相似的功能。可扩展标记语言/远程过程调用（XML/RPC）以 XML 格式安排 HTTP 上的过程调用。数据和元数据用 XML 进行编码并作为字符串传输，并通过主机架构把值和它们的物理表示分开。SOAP 跟随 XML-RPC，以更好的特性和功能扩展了它的思想。参见 参考资料 小节，获取更多关于每个协议的信息。
回页首
隐患 5．TCP 中的帧同步假定
TCP 不提供帧同步，这使得它对于面向字节流的协议是完美的。
这是 TCP 与 UDP（User Datagram Protocol，用户数据报协议）的一个重要区别。
UDP 是面向消息的协议，它保留发送者和接收者之间的消息边界。
TCP 是一个面向流的协议，它假定正在通信的数据是无结构的，
如图 1 所示。

图 1．UDP 的帧同步能力和缺乏帧同步的 TCP

图 1 的上部说明一个 UDP 客户端和服务器。
左边的对等层完成两个套接字的写操作，每个 100 字节。
协议栈的 UDP 层追踪写的数量，并确保当右边的接收者通过套接字获取数据时，它以同样数量的字节到达。
换句话说，为读者保留了写者提供的消息边界。
现在，看图 1 的底部．它为 TCP 层演示了相同粒度的写操作。
两个独立的写操作（每个 100 字节）写入流套接字。
但在本例中，流套接字的读者得到的是 200 字节。
协议栈的 TCP 层聚合了两次写操作。
这种聚合可以发生在 TCP/IP 协议栈的发送者或接收者中任何一方。
重要的是，要注意到聚合也许不会发生 —— TCP 只保证数据的有序发送。
对大多数开发人员来说，该陷阱会引起困惑。
您想要获得 TCP 的可靠性和 UDP 的帧同步。
除非改用其他的传输协议，比如流传输控制协议（STCP），
否则就要求应用层开发人员来实现缓冲和分段功能。

调试套接字应用程序的工具
GNU/Linux 提供几个工具，它们可以帮助您发现套接字应用程序中的一些问题。
此外，使用这些工具还有教育意义，而且能够帮助解释应用程序和 TCP/IP 协议栈的行为。
在这里，您将看到对几个工具的概述。查阅下面的 参考资料 了解更多的信息。
查看网络子系统的细节
netstat 工具提供查看 GNU/Linux 网络子系统的能力。
使用 netstat，可以查看当前活动的连接（按单个协议进行查看），
查看特定状态的连接（比如处于监听状态的服务器套接字）和许多其他的信息。
清单 4 显示了 netstat 提供的一些选项和它们启用的特性。

清单 4．netstat 实用程序的用法模式

View all TCP sockets currently active $ netstat --tcp View all UDP sockets $ netstat --udp View all TCP sockets in the listening state $ netstat --listening View the multicast group membership information $ netstat --groups Display the list of masqueraded connections $ netstat --masquerade View statistics for each protocol $ netstat --statistics

尽管存在许多其他的实用程序，但 netstat 的功能很全面，
它覆盖了 route、ifconfig 和其他标准 GNU/Linux 工具的功能。
监视流量
可以使用 GNU/Linux 的几个工具来检查网络上的低层流量。
tcpmp 工具是一个比较老的工具，它从网上“嗅探”网络数据包，打印到stdout 或记录在一个文件中。
该功能允许查看应用程序产生的流量和 TCP 生成的低层流控制机制。
一个叫做 tcpflow 的新工具与tcpmp 相辅相成，
它提供协议流分析和适当地重构数据流的方法，而不管数据包的顺序或重发。
清单 5 显示 tcpmp 的两个用法模式。

清单 5．tcpmp 工具的用法模式

Display all traffic on the eth0 interface for the local host
$ tcpmp -l -i eth0 // Show all traffic on the network coming from or going to host plato
$ tcpmp host plato // Show all HTTP traffic for host camus
$ tcpmp host camus and (port http) //View traffic coming from or going to TCP port 45000 on the local host
$ tcpmp tcp port 45000

tcpmp 和 tcpflow 工具有大量的选项，包括创建复杂过滤表达式的能力。
查阅下面的 参考资料 获取更多关于这些工具的信息。
tcpmp 和 tcpflow 都是基于文本的命令行工具。
如果您更喜欢图形用户界面（GUI），有一个开放源码工具 Ethereal 也许适合您的需要。
Ethereal 是一个专业的协议分析软件，它可以帮助调试应用层协议。
它的插入式架构（plug-in architecture）可以分解协议，
比如 HTTP 和您能想到的任何协议（写本文的时候共有 637 个协议）。
回页首
总结
套接字编程是容易而有趣的，但是您要避免引入错误或至少使它们容易被发现，
这就需要考虑本文中描述的这 5 个常见的陷阱，并且采用标准的防错性程序设计实践。
GNU/Linux 工具和实用程序还可以帮助发现一些程序中的小问题。
记住：在查看实用程序的帮助手册时候，跟踪相关的或“请参见”工具。
您也许会发现一个必要的新工具。

C. TCPDUMP 抓包 怎么查看 抓的包的内容

1、tcpmp检测登录linux系统输入tcpmp，如果找不到表示没有安装。也可以用rpm查询。

D. linux下怎样安装tcpmp-4.6.2.tar. gz

从官网下载的
tcpmp-4.6.2.tar. gz 它是个源码包，需要你自己编译一下子的。具体操作如下：
1安装c编译所需包：apt-get install build-essential

2.安装 libpcap的前置：apt-get install flex,apt-get install bison

3.安装libpcap。

tcpmp的使用必须有这库。

tar xvfz libpcap-1.2.1.tar.gz //解压

进入解压之后的文件目录 运行./configure //生成makefile文件

make //进行编译

make install //安装 库文件默认安装在目录 /usr/lib,头文件默认安装在 /usr/include

4.安装tcpmp

tar xvfz tcpmp.4.2.1.tar.gz //解压
进入解压之后的文件目录
运行./configure //生成makefile文件
make //进行编译
make install //安装 库文件默认安装在目录 /usr/lib,头文件默认安装在 /usr/include

E. tcpmp抓两个网卡的包

tcpmp是一个用于截取网络分组，并输出分组内容的工具。tcpmp凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。

tcpmp提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpmp存在于基本的Linux系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。

一、概述
顾名思义，tcpmp可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

引用

义母李婆婆不由得笑道：“你这孩子，给娘讲什么笑话，尽哄我开心。等下娘就去刘氏那里先借些米面回来，咱娘儿俩先凑合这一顿。”
看到义母不信，范宇只得劝道：“娘放心和孩儿去镇上，就去那家太白楼，保证娘吃的满意。”
听着范宇不象是在说假话，李婆婆不由得皱眉道：“儿啊，你是不是身上还有能典当的值钱东西？可不要大手大脚的败家，等过些日子，娘给你相个媳妇，你留着过日子岂不是好。什么太白楼，娘是坚决不会去的。”
范宇这时饿的难受，可是看到义母又不肯走，只能耐心解释。
“娘，你可放心吧，孩儿被范连从家中赶出来，现在身无分文，哪有半点值钱的东西。就是身上这身衣服，当了也就没得穿了。我自有本事，不让娘失望就是。”范宇拉着李婆婆的袖子道。
“娘可是打小就看着你长大的，除了会收拾田地，你又有什么挣钱的本事了？”李婆婆好奇的问道。
范宇见义母态度松动，便呵呵一笑道：“现在先不说，等到了太白楼，娘自然就知道。”
李婆婆的脸色一肃道：“你莫不是想要带为娘去吃霸王餐不成？娘劝你不要走这等歪门斜道，而且娘也舍不下这脸面。若是坏了名声，娘可比死还难受，你也不能做此等下作事！”
“放心吧娘。”范宇上前拉着义母李婆婆的手臂道：“孩儿可丢不起这个人，到了太白楼，你自然会知道。”
有心死活也不肯去，可是李婆婆却又真怕范宇去太白楼碰瓷吃白食。犹豫之下，还是决定跟着范宇一同前往。若是这个义子真要做些没

F. 在debian操作系统下，如何下载tcpmp的源代码

apt-get source tcpmp

G. 为什么tcpmp使用apk调用无效

首先你要确定java程序有没有调用权限（通常来讲java应用是没有权限去调用的）；再者你要确定你调用的cmd没有错误；

可以进入adb shell，查看一下tcpmp的权限：
ls -l tcpmp

H. 请教tshark源码整合

tshark是wireshark的指令形式，有些情况下抓取网络包但是不想调用图形界面时，可以用tshark
1、下载libpcap源代码

http://www.tcpmp.org/

libpcap-x.x.x.tar.gz libpcap安装源文件

2. 解压缩libpcap

tar zxvf libpcap-x.x.x.tar.gz

进入到解压缩后的文件夹中 cd libpcap- x.x.x

3. 安装flex

apt-get install flex

4. 安装bison

apt-get install biso

5. 安装libpcap

./configure

make

make install

6. 安装tshark

apt-get install tshark

7、指令应用

tshark是wireshark命令行形式

1）指定要监听的接口

-i <接口名称>

比如-i eth2.如果不用-i指定监听的接口，则默认为接口列表中第一个非回环接口（-D打印接口列表）

2）可监听的接口列表

-D 打印接口列表

3）设置cap过滤条件

-f <过滤参数设置>

A. 设置监听的协议类型：-f udp/tcp/http 注：协议类型必须为小写

B. 设置源ip： -f“src host x.x.x.x”

C. 设置源端口： -f“src port xx”

D. 设置源ip和源端口： -f “srchost x.x.x.x and src port xx”

E. 设置目的ip： -f“dst host x.x.x.x”

F. 设置目的端口： -f“dst port xx”

G. 设置目的ip和端口： -f “dsthost x.x.x.x and port xx”

注：设置ip或端口时，必须用双引号

4）设置抓包数

-c <包数量> ，比如-c 15 表示抓15个包就停止

5） 设置cap包容量

-a filesize:NUM

其中NUM为filesize的包容量，用此命令需要用-w命令指定保存的文件包。NUM单位为KB

6）保存文件

-w <文件名称>

-w后面是要保存到的文件名字，也可以指定路径

7） 在屏幕中显示抓包的内容

-S

8）指定数据包的最大长度

-s <数据包长度>，单位为bytes

其他指令请参照在线帮助

I. kali 上有没有 tcpmp

顾名思义，TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not等逻辑语句来帮助你去掉无用的信息。tcpmp 就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可 扩展性，对于网络维护和入侵者都是非常有用的工具。tcpmp 存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用 户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他 计算机的安全存在威胁。
我们用尽量简单的话来定义tcpmp ，就是：mp the traffice on a network.，根据使用者的定义对网络上的数据包进行截获的包分析工具。作为互联网上经典的的系统管理员必备工具，tcpmp 以其强大的功能，灵活的截取策略，成为每个高级的系统管理员分析网络，排查问题等 所必备的东西之一。tcpmp 提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非 常有用的工具。tcpmp 存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用 户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他 计算机的安全存在威胁。
网络数据采集分析工具TcpDump的安装
http://anheng.com.cn/news/24/586.html
在linux 下tcpmp 的安装十分简单，一般由两种安装方式。一种是以rpm包的形式来进行安装。另外一 种是以源程序的形式安装。