tcpdump 抓 tcp 包

tcpdump 常用字段偏移别名：

• icmptype ICMP类型字段
• icmpcode ICMP符号字段
• tcpflags TCP标记字段

温习下 tcp 三次握手：

• 源发送 SYN
• 目标回答 SYN, ACK
• 源发送 ACK

tcp 包类型：

• URG 带外数据
• ACK 应答包
• PSH PSH传送
• RST 重置包
• SYN 握手包
• FIN 结束包

tcpdump 抓 tcp 包：

• 只抓 SYN 包：
  tcpdump -i eth1 'tcp[tcpflags] = tcp-syn'
• 只抓 RST 包：
  tcpdump -i eth1 'tcp[tcpflags] & 4 != 0
  or
  tcpdump -i eth1 'tcp[tcpflags] & tcp-rst != 0
• 抓 SYN ACK RST 包：
  tcpdump -i eth1 'tcp[tcpflags] & (tcp-ack|tcp-rst|tcp-syn) != 0