tcpdump简介

tcpdump简介

tcpdump主要用来抓取linux环境下的数据包，需要具备root权限的用户才能使用，可以将抓取的数据包保存为cap格式，然后使用WireShark工具进行分析。

命令	说明
-c	在收到指定的数量的分组后，tcpdump就会停止
-D	打印出系统中所有可以用tcpdump截包的网络接口
-f	将外部的Internet地址以数字的形式打印出来
-F	从文件读取表达式，忽略命令行中的表达式
-i	指定网络接口
-w	指定保存文件
-nn	不进行端口名称的转换
-P	不将网络接口设置为混杂模式
-v	输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息

示例：

• 抓取网卡eth0上的网络数据包，并保存为out.cap
• tcpdump –i eth0 –w out.cap
• 设置固定时长抓一次包（循环抓包）
  • 参数： -G 设置时间（s）
  • tcpdump -i ens33 -s0 -G 10 -w %Y_%m%d_%H%M_%S.pcap
• 设置报文到达指定数量保存
  • 参数： -c 设置包数 ;
  • -s0：指定大小（如果不加这个参数，超出10MB的部分将被丢弃）
  • tcpdump -i ens33 -s0 -c 10 -w a.pcap
• 设置每N兆（1000000字节）抓一次
  • 参数：-c N 设置大小
  • tcpdump -i ens33 -s0 -c 1 -w a.pcap
• 抓组播的包
  • tcpdump –eth0 'ip multicast and udp and dst 239.255.0.1 and src host [本机ip]';