抓包工具-tcpdump

前言

tcpdump作为linux系统自带工具，小巧方便，是强大的网络数据采集分析工具之一。tcpdump支持针对网络层、协议、主机、网络或端口的过滤，并提供相应的逻辑语句

---

一、帮助文档

获取tcpdump帮助指令：tcpdump -h；man tcpdump
tcpdump version 4.9.0
libpcap version 1.8.0-PRE-GIT_2018_10_18
OpenSSL 1.0.1e-fips 11 Feb 2013
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
[ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
[ -Q|-P in|out|inout ]
[ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
[ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
[ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
[ -Z user ] [ expression ]

二、常用操作

1.仅抓取入网卡报文

tcpdump -i eth0 -w recv.pcap -neXXvv -P in
i – 网络接口，可通过ip addr或者ifconfig确定
w – 将抓取的报文写入指定文件
n – 指定将每个监听到数据包中的域名转换成IP地址后显示
e – 在输出行打印出数据链路层的头部信息，包括源mac和目的mac，以及网络层的协议
XX – 将host和L4层协议转发为数字，如：ssh转换为22
vv – 输出报文详细信息
P – in(入接口方向) out(出接口方向) inout(双向)

2.抓取入网卡100个报文

tcpdump -i eth0 -w recv.pcap -neXXvv -c 100 -P in
c – 报文数量

3.抓取指定IP双向报文

tcpdump -i eth0 -w recv.pcap -neXXvv host 10.1.1.2
host – 主机IP地址

4.抓取指定源IP报文

tcpdump -i eth0 -w recv.pcap -neXXvv src 10.1.1.2
src – 源IP
dst – 目的IP

5.抓取指定IP和端口双向报文

tcpdump -i eth0 -w recv.pcap -neXXvv host 10.1.1.1 and port 22
port – 端口
src port – 源端口
dst port – 目的端口

总结

本文针对tcpdump常用操作进行梳理，仅供参考。大家可根据实际情况进行选择