Ngrep
如果要分析网络数据包，我们有Wireshark，它有着上千种设定、过滤器以及配置选项。它还有一个命令行版本Tshark。如果只是针对简单的任务，我觉得Wireshark就太重量级了，所以除非我需要更强大的功能，一般情况下就用ngrep来处理了。Ngrep可以让你像类似grep处理文件的方式来处理网络封包。
针对Web流量，你几乎总是想要加上-W byline选项，这会保留换行符，而-q选项可以抑制某些非匹配数据包而产生的输出。下面是一个抓取所有包含有GET或POST请求数据包的例子：
ngrep –q –W byline “^(GET|POST) .*”
你也可以传入附加的报文过滤选项，比如限制匹配的报文只针对某个特定的主机，IP或端口。这里我们把所有流经Google的流量做一个过滤，只针对80端口且报文中包含“search”。
ngrep –q –W byline “search” host www.google.com and port 80
Netcat
Netcat
Netcat或者叫nc，这是一个自称是网络中的瑞士军刀般的工具。它很简单但也非常强大和灵活，允许你创建任意的网络连接。这里我们来看看如何把它作为一个端口扫描器：
$ nc –z example.com 20-100
Connection to example.com 22 port [tcp/ssh] succeeded!
Connection to example.com 80 port [tcp/ssh] succeeded!
Connection to example.com 22 port [tcp/ssh] succeeded!
Connection to example.com 80 port [tcp/ssh] succeeded!
除了能够创建任意的连接，Netcat还能够监听传入的连接。这里我们利用nc的这个功能再配合tar来快速有效的在服务器之间拷贝文件。在服务器端，运行：
$nc –l 9090 | tar –xzf –
在客户端运行：
$tar –czf dir/ | nc server 9090
我们可以使用Netcat把任何应用通过网络暴露出来，这里我们通过8080端口将shell暴露出来：
$ mkfifo backpipe
$ nc –l 8080 0<backpipe | /bin/bash > backpipe
$ nc –l 8080 0<backpipe | /bin/bash > backpipe
现在我们可以通过任意一台客户机来访问服务器了：linode
$ nc example.com 8080
uname –a
Linux li228-162 2.6.39.1-linode34 ##1 SMP Tue Jun 21 10:29:24 EDT 2011 i686 GNU/Linux
uname –a
Linux li228-162 2.6.39.1-linode34 ##1 SMP Tue Jun 21 10:29:24 EDT 2011 i686 GNU/Linux
尽管后面这两个例子有些投机取巧的成分(现实中你应该使用类似rsync这样的工具来拷贝文件，用SSH来远程登录服务器)，它们还是展示出了Netcat的强大和灵活，通过结合netcat和其它的应用你可以实现很多不同的事情。
推荐阅读：《8 个实用的 Linux netcat 命令示例》
