Linux 使用 tcpdump 网络抓包

最新推荐文章于 2024-08-29 07:45:00 发布
最新推荐文章于 2024-08-29 07:45:00 发布
阅读量343 收藏 4
点赞数 9
文章标签： 网络 linux tcpdump
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LinkSLA/article/details/139329176
版权

先安装：

yum install tcpdump

1、监听特定网卡

抓取第一块网卡所有数据包：

[root@server110 tcpdump]# tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
15:58:14.441562 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 2956277183:2956277391, ack 2178083060, win 336, length 208
15:58:14.442088 IP server110.34562 > ns-px.online.sh.cn.domain: 34223+ PTR? 169.202.16.18.in-addr.arpa. (44)
15:58:14.486822 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 208, win 16419, length 0
15:58:14.692932 IP ns-px.online.sh.cn.domain > server110.34562: 34223 NXDomain 0/1/0 (116)
15:58:14.693416 IP server110.57017 > ns-px.online.sh.cn.domain: 12369+ PTR? 5.209.96.202.in-addr.arpa. (43)
15:58:14.693577 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 208:400, ack 1, win 336, length 192
15:58:14.695254 IP ns-px.online.sh.cn.domain > server110.57017: 12369 1/0/0 PTR ns-px.online.sh.cn. (75)
15:58:14.695519 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 400:656, ack 1, win 336, length 256
15:58:14.696577 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 656:1232, ack 1, win 336, length 576
15:58:14.697564 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 1232:1392, ack 1, win 336, length 160
15:58:14.698563 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 1392:1552, ack 1, win 336, length 160

tcpdump -i 抓取某一块网卡数据包：

[root@server110 tcpdump]# ifconfig
eth0      Link encap:Ethernet  HWaddr 52:54:00:DE:05:94  
          inet addr:18.16.200.110  Bcast:18.16.200.255  Mask:255.255.255.0
          inet6 addr: fe80::5054:ff:fede:594/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:50017569 errors:0 dropped:0 overruns:0 frame:0
          TX packets:27403502 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:21017784488 (19.5 GiB)  TX bytes:3969196772 (3.6 GiB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:191873 errors:0 dropped:0 overruns:0 frame:0
          TX packets:191873 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:31953071 (30.4 MiB)  TX bytes:31953071 (30.4 MiB)

[root@server110 tcpdump]# tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
15:59:43.529881 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 2956715807:2956716015, ack 2178087524, win 336, length 208
15:59:43.530636 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 208, win 16422, length 0
15:59:43.530732 IP server110.50508 > ns-px.online.sh.cn.domain: 42810+ PTR? 169.202.16.18.in-addr.arpa. (44)
15:59:43.533748 IP ns-px.online.sh.cn.domain > server110.50508: 42810 NXDomain 0/1/0 (116)
15:59:43.534054 IP server110.37348 > ns-px.online.sh.cn.domain: 43151+ PTR? 5.209.96.202.in-addr.arpa. (43)
15:59:43.534537 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 208:496, ack 1, win 336, length 288
15:59:43.540551 IP ns-px.online.sh.cn.domain > server110.37348: 43151 1/0/0 PTR ns-px.online.sh.cn. (75)
15:59:43.541536 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 496:1072, ack 1, win 336, length 576
15:59:43.542319 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 1072, win 16425, length 0
15:59:43.542529 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 1072:1328, ack 1, win 336, length 256
15:59:43.543545 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 1328:1488, ack 1, win 336, length 160

2、监听特定主机

[root@server110 tcpdump]# tcpdump  host 18.16.202.169
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:07:16.334596 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 2957160543:2957160751, ack 2178097380, win 336, length 208
16:07:16.375768 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 208, win 16425, length 0
16:07:16.539595 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 208:496, ack 1, win 336, length 288
16:07:16.540553 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 496:656, ack 1, win 336, length 160
16:07:16.541564 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 656:816, ack 1, win 336, length 160
16:07:16.541731 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 656, win 16423, length 0
16:07:16.542572 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 816:1072, ack 1, win 336, length 256
16:07:16.543565 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 1072:1232, ack 1, win 336, length 160

特定来源：

[root@server110 tcpdump]# tcpdump src host 18.16.202.169
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:08:30.681395 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 2957168815, win 16420, length 0
16:08:30.791328 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 161, win 16420, length 0
16:08:30.833394 IP 18.16.202.169.cvd > server110.ssh: Flags [.], ack 321, win 16419, length 0

特定目标地址：

[root@server110 tcpdump]# tcpdump dst host 18.16.202.169
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:09:27.404603 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 2958878511:2958878719, ack 2178100804, win 336, length 208
16:09:27.408521 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 208:400, ack 1, win 336, length 192
16:09:27.409530 IP server110.ssh > 18.16.202.169.cvd: Flags [P.], seq 400:560, ack 1, win 336, length 160

3、监听特定端口

[root@server110 tcpdump]# tcpdump port 8083 -vv
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:10:31.361199 IP (tos 0x0, ttl 127, id 19231, offset 0, flags [DF], proto TCP (6), length 52)
    18.16.202.169.14626 > server110.us-srv: Flags [S], cksum 0x3315 (correct), seq 2299766793, win 64240, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
16:10:31.361264 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 52)
    server110.us-srv > 18.16.202.169.14626: Flags [S.], cksum 0x4b86 (correct), seq 1167811532, ack 2299766794, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 7], length 0
16:10:31.361594 IP (tos 0x0, ttl 127, id 19232, offset 0, flags [DF], proto TCP (6), length 40)
    18.16.202.169.14626 > server110.us-srv: Flags [.], cksum 0xa54c (correct), seq 1, ack 1, win 8212, length 0

4、监听tcp协议，并加数据包写入abc.cap

[root@server110 tcpdump]# tcpdump tcp port 8083 -w  ./abc.cap
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C15 packets captured
15 packets received by filter
0 packets dropped by kernel

总共15条数据，其中只包含tcp,http格式的数据

5、稍微复杂例子

tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

  1. tcp: ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型

  2. -i eth1 : 只抓经过接口eth1的包

  3. -t : 不显示时间戳

  4. -s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完整的数据包

  5. -c 100 : 只抓取100个数据包

  6. dst port ! 22 : 不抓取目标端口是22的数据包

  7. src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24

  8. -w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析

LinkSLA
关注
linux系统下使用tcpdump进行抓包方法
09-15
在本篇文章中小编给大家分享了关于linux系统下使用tcpdump进行抓包的方法和相关知识点，需要的朋友们学习下。
linux下抓包命令--tcpdump的使用
01-04
linux下抓包命令--tcpdump的使用
Linux抓包工具TCPdump
最新发布
m0_60797416的博客
08-29 718
有时候为了不让ssh远程端口影响到主要数据包的收集，所以一般需要禁止ssh数据包的输出。时间 源IP 端口/协议 > 目标IP 端口/协议 协议详细信息。对比可以看出，-nn比-n显示的信息更详细，具体到ip和端口，更方便分析。和普通指令终止的方式一样，Ctrl+C可终止执行tcpdump命令。逻辑表达式可以拼接出更复杂的过滤策略，更好的筛选数据包；可以看出tcpdump版本和libpcap库版本。1、云主机：CentOS 7.6。可以看出-vv打印的信息更详细。可看到两个ip的包都有抓到。
CentOS中使用tcpdump抓包
weixin_30555515的博客
03-20 300
安装： yum install tcpdump 命令使用： 监听特定网卡 tcpdump 抓取第一块网卡所有数据包 [root@server110 tcpdump]# tcpdump tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10...
Linux下tcpdump网络抓包工具详细总结附实例快速掌握
Luckiers的博客
07-11 1542
本文主要介绍tcpdump工具的使用参数详解，通过实例方便读者快速掌握。 tcpdump，全称dump the traffic on a network，它使用 libpcap 库来抓取网络数据包，是一个运行在linux平台可以根据使用者需求对网络上传输的数据包进行捕获的抓包工具，windows平台有sniffer、wireshark等工具，tcpdump可以将网络中传输的数据包的“包头”全部捕获过来进程分析，其支持网络层、特定的传输协议、数据发送和接收的主机、网卡和端口的过滤，并提供and、or、not等
Linux Tcpdump抓包入门
xuanyu.li的博客
05-22 695
tcp底层原理，安装部署和使用入门
Linux抓包工具----tcpdump
这是博客的简介的简介
08-03 6868
这是一个目录
Linux下使用tcpdump抓包的实现方法
01-11
很多时候我们的系统部署在Linux系统上面，在一些情况下定位问题就需要查看各个系统之间发送数据报文是否正常，下面我就简单讲解一下如何使用tcpdump抓包 tcpdump是Linux下面的一个开源的抓包工具，和Windows下面的...
网络捕手：精通Linux下的tcpdump抓包艺术
07-11
它遵循自由软件和开源开发的原则，任何人都可以自由地使用、修改和分发Linux内核。Linux内核是操作系统的核心部分，负责管理系统资源，如任务调度、文件系统、设备驱动程序、内存管理等。 Linux的主要特点包括： 1...
Linux网络抓包工具tcpdump
123
07-06 1万+
tcpdump 指令可列出经过指定网络界面的数据包文件头，可以将网络中传送的数据包的 “头” 完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句来帮助你摘取有用信息。由于它需要将网络接口设置为混杂模式，普通用户不能正常执行，但具备 root 权限的用户可以直接执行它来获取网络上的信息。
Linux下使用tcpdump抓包
菜鸟小吴的博客
05-22 1408
Linux下使用tcpdump抓包 目录Linux下使用tcpdump抓包1、简述2、抓包步骤2.1、查看网卡2.2、切换至管理员用户2.3、建个目录用来放抓包的结果2.4、抓包(tcpdump)2.4.1、tcpdump介绍2.4.2、抓2.4.3、查看抓包结果2.4.4、常用写法 1、简述 项目里难免遇到扯皮的情况，你说请求发过去了，对端非说没收到，怎么办？抓包就对了！！！ 抓完甩对方脸上（没被打脸的话） 2、抓包步骤 目标：抓取目标主机的包（抓所有的包确实更省事，但是抓出来的包很大不说，还要再做
linux下使用tcpdump抓取数据包
new9232的博客
05-02 1万+
我们都知道windows系统下抓包有强大的wireShark工具，Linux下则可以使用tcpdump进行抓包。 tcpdump命令格式 tcpdump option proto dir type option : 可选参数 -w 写数据到文件 -r 从文件读数据 -A 以ASCII码方式显示每一个数据包(不显示链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据 proto : 协议。 tcp udp ether wlan ip ip6 dir : 方向。 .
Linux下使用tcpdump工具抓包
Y_Bingo的博客
06-03 445
1.安装： yum install tcpdump 2.查看网卡名以备后面监听用 3.指定监听指定网卡的所有数据来往 tcpdump -i eth0 -w /home/target.pcap //抓到的包存放在pcap中 4.监听经过特定网卡的特定ip的数据 tcpdump -i eth0 ho...
Linux基础急速入门：用 TCPDUMP 抓包_sudo tcpdump -n -t -s -i enp0s3 port 80
2401_84253380的博客
04-13 765
外链图片转存中…(img-Ku0MWxWB-1712976555967)]
Linux网络抓包工具——tcpdump详解
qq_42580553的博客
04-01 1716
第七列：数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length，其中 [P.] 表示 PUSH 标志位为 1。tcpdump是Linux里的字符界面的数据抓包分析软件。tcpdump截取的包默认数据的头部，默认情况下，直接启动tcpdump将监听的是第一个网络接口上所有流过的数据包。src 00:0c:29:ae:89:5d ：是指源mac地址为：00:0c:29:ae:89:5d。根据源ip抓包：需要两台虚拟机配合，虚拟机A去ping，虚拟机B去抓包。
linux 使用tcpdump 进行抓包分析
托塔天王的博客
07-01 346
在工作中，有些数据交互需要对数据交互进行抓包分析，这里将使用tcpdump 命令 简略命令如下 tcpdump -i <int> -w <path> host 参数说明 -i 指定抓包的网卡名称 -w 抓包存放的路径 host 对方服务器iip ...
linux 的抓包操作(tcpdump)
热门推荐
jiu_yue_ya的博客
05-26 1万+
linux 查看网络状况(netstat)linux 查看网络状况(netstat)使用 netstat 命令用来打印网络连接状况、系统所开放端口、路由表等信息。最常用的关于netstat 的命令就是：以及如果你所管理的服务器是一台提供 web 服务（80 端口）的服务器，那么你就可以使用 netstat -an |grep 80 开查看当前连接 web 服务的有哪些 IP 了。
linux 使用tcpdump抓包
班门弄斧
07-21 230
最近更换了服务器的消息队列，客户端反馈说服务器有时候会多发消息下去，十分纳闷，只改了服务器的消息队列，但是服务器像客户端发消息的代码一行没改，日志也只是发一条消息下去，但是因为改了消息队列，最后使用linux抓包看看，以证清白。 tcpdump输出demo如下（这不是调试时的数据，只是demo）。这里我指定查看8060端口。 root@mdev-2:/home/banfushen/webclient# tcpdump port 8060 tcpdump: verbose output suppressed,
linux使用tcpdump抓包
09-07
在Linux系统中，可以使用tcpdump工具进行抓包。使用tcpdump可以控制抓包行为并保存抓包文件。要控制抓包行为，可以使用命令"tcpdump -A -r /tmp/tcpdump.pcap|less"，其中"-A"选项表示以ASCII文本形式显示抓包内容，"-r"选项指定要读取的抓包文件，"|less"用于分页显示抓包内容。要保存抓包文件，可以使用命令"tcpdump -i any -s 0 -X -w /tmp/tcpdump.pcap"，其中"-i"选项指定要抓包的网络接口，"any"表示所有接口，"-s 0"表示抓取完整的数据包，"-X"选项表示以十六进制和ASCII文本形式显示抓包内容，"-w"选项指定要保存的抓包文件路径。 在Linux系统中，tcpdump是一个开源的抓包工具，用于查看各个系统之间发送的数据报文。可以使用tcpdump来抓取所有的包，也可以使用过滤条件来选择特定的包。例如，可以使用命令"tcpdump 'tcp[tcpflags] == tcp-ack'"来抓取所有的TCP-ACK包，或者使用命令"tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'"来抓取设置了TCP-SYN或TCP-FIN标志的包。 综上所述，要在Linux系统中使用tcpdump进行抓包，可以使用命令"tcpdump"加上相应的选项来控制抓包行为和保存抓包文件，并可以使用过滤条件来选择特定的包。<span class="em">1</span><span class="em">2</span><span class="em">3</span><span class="em">4</span>
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值