【Linux】常用抓包方式

1、网卡抓包

tcpdump -i ens1f1 -s 0 -X -vvv -w 1.pcap

当确定报文会通过ens1f1网卡时，便可以使用网卡抓包方式

-i ：指定网卡
-s：snaplen，截断数据包。0表示不截断，默认只显示68字节
-X：告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来
-vvv：显示最详细的报文信息
-w：将包写入文件中

2、环路抓包

tcpdump -i lo -s 0 -X -vvv -w 1.pcap

当确定报文只在本地收发时，可以使用环路抓包，lo是loop的简写

3、mac抓包

tcpdump -i ens1f1 ether src 1a:2b:3c:4d:5e:6f

现在工作的环境下，报文往往会发往硬件。当报文会经过数据链路层发往物理层时，便需要用到mac抓包