CentOS 环境 ngrep 安装及使用

小鱼儿 2023-10-01 22:47 33阅读 0赞

#### 文章目录 ####

*  前言
 *  1. CentOS 环境安装 ngrep
 *   *   *  1.1 搜索安装包
         *  1.2 安装 ngrep
 *  2. ngrep 使用
 *   *   *  2.1 ngrep 可选参数列表
         *  2.2 ngrep 使用示例

## 前言 ##

`ngrep`可以看作网络版的 grep，是一款功能强大的抓包工具。它不但适配各个操作系统，也能识别大量常用网络协议，支持 BPF 过滤规则，提供灵活抓取各类数据包的能力

## 1. CentOS 环境安装 ngrep ##

#### 1.1 搜索安装包 ####

执行以下命令搜索 ngrep 的可用安装包，可以看到在 CentOS 系统下一个可以用的安装包是 `ngrep.x86_64`

sudo yum search ngrep

![在这里插入图片描述][a7a3186b6e134e299b65b25239b57613.png]

#### 1.2 安装 ngrep ####

执行以下命令即可下载安装 ngrep，安装结束后可以使用命令 `sudo ngrep -V` 查看版本信息

> ngrep 依赖 libpcap 库，通常使用下面的命令安装 ngrep 时都会自动下载相关依赖。如果安装出错未自动解决依赖，可尝试使用 `sudo yum install libpcap` 下载依赖库后重试

sudo yum install ngrep

## 2. ngrep 使用 ##

#### 2.1 ngrep 可选参数列表 ####

`ngrep` 常用的参数如下表所示，更多参数可以使用命令 `man ngrep` 查看详细信息

<table> 
 <thead> 
  <tr> 
   <th align="left">参数</th> 
   <th align="left">功能</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">-d</td> 
   <td align="left">指定需要抓包的网卡，Linux 系统可使用 <code>ifconfig</code> 命令查看本地网卡设备</td> 
  </tr> 
  <tr> 
   <td align="left">-q</td> 
   <td align="left">设置静默，如果没有该参数，未匹配的数据包都以“#”显示</td> 
  </tr> 
  <tr> 
   <td align="left">-t</td> 
   <td align="left">在每个匹配的包之前显示时间戳</td> 
  </tr> 
  <tr> 
   <td align="left">-i</td> 
   <td align="left">忽略大小写</td> 
  </tr> 
  <tr> 
   <td align="left">-W</td> 
   <td align="left">设置数据包内容的展示格式，可选参数为 byline(按行分割) 等</td> 
  </tr> 
 </tbody> 
</table>

#### 2.2 ngrep 使用示例 ####

ngrep 的过滤抓包实际分为3个部分，首先是网卡设备的选定，其次是 BPF 过滤器应用，最后才是报文内容匹配。以下是几个使用的例子：

1.  监听本地 `eth0` 网卡，过滤报文内容能匹配指定字符串 COMPLETE 的数据包，按照包中的换行符分行打印报文
    
        sudo ngrep "COMPLETE" -d eth0 -W byline -q -t -i
    
    ![在这里插入图片描述][ed38b57e11534e77b22ac718b6302263.png]
2.  监听本地 `eth0` 网卡，过滤任一端使用了 5080 端口进行 udp 通信并且报文中内容能匹配指定模式串\[a-zA-Z\]的数据包，按照包中的换行符分行打印报文
    
    > 注意，通信协议 udp/tcp 等需要在 port 参数前指定
    
        sudo ngrep '[a-zA-Z]' -t -W byline -d eth0 udp port 5080
    
    ![在这里插入图片描述][73875d205ca04ae09ff1e9685c352727.png]
3.  监听本地 `eth0` 网卡，过滤通信双端中任一端使用了 5080 端口并且任一端主机地址为 127.0.0.1 的数据包，按照包中的换行符分行打印报文
    
        sudo ngrep -d eth0 -q -t -W byline host 127.0.0.1 and port 5080
    
    ![在这里插入图片描述][de35593e305641ec9a8176ac69333a21.png]
4.  监听本地 `eth0` 网卡，过滤发包端口为 5090 协议为 tcp 或者发包端口为 5061 且收包主机为 172.18.192.76 或者 127.0.0.1 的数据包，并进一步过滤报文内容匹配指定字符串 COMPLETE 的数据包，最后按照包中的换行符分行打印报文
    
    > BPF 过滤规则中，src 标识来源，dst 标识目标。实际上 ngrep 和 tcpdump 在 BPF 过滤器使用语法上是完全一致的，读者如感兴趣可自行搜索相关知识
    
        sudo ngrep "COMPLETE" -d eth0 -W byline -q -t \(dst host 172.18.192.76 or dst host 127.0.0.1\) and \(tcp src port 5090 or src port 5061\)
    
    ![在这里插入图片描述][5e0892163aa243b484fda35615e63b0f.png]

[a7a3186b6e134e299b65b25239b57613.png]: https://img-blog.csdnimg.cn/a7a3186b6e134e299b65b25239b57613.png
[ed38b57e11534e77b22ac718b6302263.png]: https://img-blog.csdnimg.cn/ed38b57e11534e77b22ac718b6302263.png
[73875d205ca04ae09ff1e9685c352727.png]: https://img-blog.csdnimg.cn/73875d205ca04ae09ff1e9685c352727.png
[de35593e305641ec9a8176ac69333a21.png]: https://img-blog.csdnimg.cn/de35593e305641ec9a8176ac69333a21.png
[5e0892163aa243b484fda35615e63b0f.png]: https://img-blog.csdnimg.cn/5e0892163aa243b484fda35615e63b0f.png