1.android需要先root
2.安装android sdk
3.下载tcpdump
http://download.csdn.net/detail/xundh/9394009
4.android设备连接到手机,打开命令行
输入adb shell
手机提示授权,看到光标由$变为#,说明已经获取权限。
执行命令
chmod 777 /data/local
exit
exit
5.输入命令拷贝tcpdump到设备上
切换到tcpdump所在目录 ,输入:
adb push tcpdump /data/local/tcpdump
adb shell
su
chmod 777 /data/local/tcpdump
cd /data/local
运行命令./tcpdump 抓包,之后用wireshark分析即可。
tcpdump -i any -p -s 0 -w /sdcard/capture.pcap host 111.111.111.111 port 8001
exit
拷出文件:
adb pull /sdcard/capture.pcap a.pcap
如果手机是Android5.0以上的系统,可能会提示:
tcpdump only position independent executables PIE are supported.
可以下载支持PIE的版本。这位网友提供了版本下载:
tcpdump命令示例:
(1) 想要截获所有210.27.48.1 的主机收到的和发出的所有的分组:
#tcpdump host 210.27.48.1
(2) 想要截获主机210.27.48.1 和主机210.27.48.2或210.27.48.3的通信,使用命令(注意:括号前的反斜杠是必须的):
#tcpdump host 210.27.48.1 and 210.27.48.2or210.27.48.3
(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包,使用命令:
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
(4) 如果想要获取主机192.168.228.246接收或发出的ssh包,并且不转换主机名使用如下命令:
#tcpdump -nn -n src host 192.168.228.246 and port 22 and tcp
(5) 获取主机192.168.228.246接收或发出的ssh包,并把mac地址也一同显示:
# tcpdump -e src host 192.168.228.246 and port 22 and tcp -n -nn
(6) 过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头:
tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24
(7) 过滤源主机物理地址为XXX的报头:
tcpdump ether src 00:50:04:BA:9B and dst……
(为什么ether src后面没有host或者net?物理地址当然不可能有网络喽)。
(8) 过滤源主机192.168.0.1和目的端口不是telnet的报头,并导入到tes.t.txt文件中:
Tcpdump src host 192.168.0.1 and dst port not telnet -l > test.txt
ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置,用来过滤数据报的类型。
tcpdump采用命令行方式,它的命令格式为:
tcpdump [-nn] [-i 接口] [-w 储存档名] [-c 次数] [-Ae]
[-qX] [-r 文件] [所欲捕获的数据内容]