linux之tcpdump的用法

linux之tcpdump的用法

用法简介

tcpdump是一个命令行网络抓包工具,其命令格式为:

tcpdump[ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ] [ -T 类型 ] [ -w 文件名 ] [表达式 ]

以下是一些关键选项的说明:

-a:将网络地址和广播地址转变成名字。

-d:将匹配信息包的代码以人们能够理解的汇编格式给出。

-dd:将匹配信息包的代码以c语言程序段的格式给出。

-ddd:将匹配信息包的代码以十进制的形式给出。

-e:在输出行打印出数据链路层的头部信息。

-f:将外部的Internet地址以数字的形式打印出来。

-l:使标准输出变为缓冲行形式。

-n:不把网络地址转换成名字。

-t:在输出的每一行不打印时间戳。

-v:输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息。

-vv:输出更详细的调试信息。

应用举例

1)捕获网络数据包

bash 复制代码
tcpdump -i <interface>

其中是网络接口,例如eth0或wlan0。这将捕获指定接口上所有的网络数据包。

2)按照协议过滤

bash 复制代码
tcpdump -i <interface> <protocol>

指定要捕获的协议,例如ip、tcp、udp等。例如,捕获IP数据包:tcpdump -i eth0 ip。

3)按照端口过滤

bash 复制代码
tcpdump -i <interface> port <port>

其中是要监听的端口号。例如,捕获TCP端口80的数据包:tcpdump -i eth0 tcp port 80。
4)按照IP地址过滤

bash 复制代码
tcpdump -i <interface> host <ip_address>

其中<ip_address>是要监听的IP地址。例如,捕获源或目标为192.168.1.1的数据包:tcpdump -i eth0 host 192.168.1.1。

5)按照网络段过滤

bash 复制代码
tcpdump -i <interface> net <network_address>

其中<network_address>是要监听的网络地址。例如,捕获属于192.168.1.0/24网络段的所有数据包:tcpdump -i eth0 net 192.168.1.0/24。

6)保存捕获到的数据包到文件

bash 复制代码
tcpdump -i <interface> -w <output_file.pcap>

这将把捕获到的数据包保存到指定的pcap文件,以便后续分析或共享。

7)从文件中读取数据包

bash 复制代码
tcpdump -r <input_file.pcap>

使用此命令可以从pcap文件中读取并显示数据包。

8)显示数据包的详细信息

bash 复制代码
tcpdump -i <interface> -v

使用此命令可以显示数据包的详细信息,包括协议、源/目标IP地址、端口等。增加-v参数可以提供更详细的输出。

9) 以十六进制格式显示数据包

bash 复制代码
tcpdump -i <interface> -X

使用此命令将以十六进制格式显示数据包的完整内容,以及它们的ASCII解码。

10) 实时数据流分析

bash 复制代码
tcpdump -i <interface> -n -q -s 0 -t "%m"

此命令将实时分析网络接口上的数据流,并显示每个数据包的摘要信息,包括源/目标IP地址、协议类型、端口等。使用-n参数不进行名称解析,-q参数只显示摘要信息,-s 0表示捕获完整数据包,-t参数用于添加时间戳。

11)以十六进制和ASCII显示捕获的数据包

bash 复制代码
tcpdump -XX -i eth0

此命令将以十六进制和ASCII格式显示从eth0接口捕获的所有数据包。

12)捕获数据包并将其保存在文件中

bash 复制代码
tcpdump -w test.pcap -i eth0

此命令将捕获从eth0接口发送的所有数据包,并将其保存在名为test.pcap的文件中。

13)从文件中读取捕获的数据包

bash 复制代码
tcpdump -r test.pcap -n -i eth0

此命令将从名为test.pcap的文件中读取以前捕获的数据包,并在屏幕上以常规格式显示它们。

14)仅捕获TCP数据包

bash 复制代码
tcpdump -i eth0 tcp

此命令将仅捕获从eth0接口发送的所有TCP数据包。

15)捕获特定源端口或目的端口的TCP数据包

bash 复制代码
tcpdump -i eth0 src port 80 or dst port 22

此命令将捕获从eth0接口发送的源端口为80或目的端口为22的所有TCP数据包。

16)捕获特定源端口和目的端口的TCP数据包

bash 复制代码
tcpdump -i eth0 src port 80 and dst port 6100

此命令将捕获从eth0接口发送的源端口为80且目的端口为6100的所有TCP数据包。注意,"and"和"or"是逻辑运算符,用于组合多个条件。

17)捕获所有ICMP数据包

bash 复制代码
tcpdump -i eth0 icmp

此命令将捕获从eth0接口发送的所有ICMP数据包。

相关推荐
春生黎至100532 分钟前
GZ073网络系统管理赛项赛题第1套模块A:网络构建解题笔记
运维·网络
IT程序媛-桃子33 分钟前
【网安面经合集】42 道高频 Web 安全面试题全解析(附原理+防御+思路)
运维·网络·安全·面试
蒜白39 分钟前
27--当路由器学会“防狼术“:华为设备管理面安全深度解剖(完整战备版)
网络·安全·网络工程师·交换机
山楂树の1 小时前
计算机网络 OSI参考模型
网络·计算机网络
AdrichPro1 小时前
10、Linux C 网络编程(完整版)
linux·服务器·c语言·网络
IT 小旋风2 小时前
Linux centos 7 常用服务器搭建
linux·服务器·centos
听风说雨的人儿2 小时前
HTTP 1.1长连接问题
网络·网络协议·http
马丁的代码日记2 小时前
Mac 电脑移动硬盘无法识别的解决方法
服务器·网络·电脑
小吃饱了3 小时前
OSPF协议(1)
网络·智能路由器
JackHuan_code3 小时前
vmware_unbantu刷新IP
服务器·网络·tcp/ip