【实用脚本】抓包脚本（解决黄鸟抓udp包无效的问题）

ggggmllll

（本帖作者就是个萌新，内容也很基础，请大佬绕道）

事情是这样的，前几天分析某游戏的协议时，发现某黄鸟总是抓不到包（配置了JustTrustMe也不行）

经过了几天的分析，发现此应用使用了udp传输数据，而黄鸟只能抓tcp包（甚至tcp包都抓不全）
但是，使用WireShark无法实现指定app抓包，于是我想起了万能的tcpdump
经过几天的探（bai）索（du），便有了这个脚本：

1. #!/system/bin/sh
   
2. 
   
3. AUTHOR="ggggmllll"
   
4. readonly AUTHOR
   
5. echo AUTHOR: $AUTHOR
   
6. 
   
7. if [`id -u` -ne 0]
   
8. then
   
9.     echo 脚本需要以root权限执行， 当前不是root用户
   
10.     exit -1
    
11. fi
    
12. 
    
13. echo user id = $1
    
14. echo start....
    
15. iptables -A OUTPUT -m owner --uid-owner $1 -j CONNMARK --set-mark $1
    
16. iptables -A INPUT -m connmark --mark $1 -j NFLOG --nflog-group $1
    
17. iptables -A OUTPUT -m connmark --mark $1 -j NFLOG --nflog-group $1
    
18. sleep 10
    
19. tcpdump -i nflog:$1 -w uid-$1.pcap
    
20. echo end....

复制代码

当然，这个脚本问题还是很多的，不过至少能成功抓包了。。。

原理：iptables设置规则，mark所有uid为目标uid的数据包，并加入消息池（我个人理解），理论上通用

使用方法：
1，以root身份运行脚本，传入目标app的uid
2，打开目标应用，随便干点什么
3，及时关闭应用（tcpdump会保存所有数据包，长时间不关闭应用可能会占用大量空间）
4，将dump下来的.pcap文件拖入WireShark分析

落花无言

沙发

snak2020

感谢分享

我不懂浪漫

学习学习

DreamFly

看看隐藏

阿姨

   学习学习

AcE77505

看看隐藏

伍予网络

看看这个

wulincheng

学习一下

鱼与熊掌

感谢分享

笨笨的老虎

看看隐藏

周叶夜

吃橘子

看看隐藏

sangshu

学习学习

钱所未有

看看隐藏