【安全牛学习笔记】tcpdump抓包实战

抓包实战

1.
feixiangdejg@feixiangdejg:~$ sudo tcpdump -i wlp4s0 -nn -X 'port 53' -c 1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on wlp4s0, link-type EN10MB (Ethernet), capture size 262144 bytes 11:48:41.368480 IP 192.168.155.4.5774 > 192.168.155.1.53: 12187+ A? www.baidu.com. (31)

0x0000: 4500 003b fc84 4000 4011 86d6 c0a8 9b04 E..;..@.@....... 0x0010: c0a8 9b01 168e 0035 0027 45ea 2f9b 0100 .......5.'E./...

0x0020: 0001 0000 0000 0000 0377 7777 0562 6169 .........www.bai

0x0030: 6475 0363 6f6d 0000 0100 01 du.com..... 1 packet captured

2 packets received by filter 0 packets dropped by kernel

-i选项: 是interface的含义，是指我们有义务告诉tcpdump希望他去监听哪一个网卡。这在我们一台服务 器有多块网卡时很有必要。默认情况下，tcpdump 会从系统接口列表中搜寻编号最小的已配置好 的接口(不包括 loopback 接口)。一但找到第一个符合条件的接口, 搜寻马上结束。可以用tcpdump查看该表。

-nn选项: 意思是说当tcpdump遇到协议号或端口号时，不要将这些号码转换成对应的协议名称或端口名 称。

-X选项: 告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来(tcpdump会以16进制和ASCII的形式显示)，这在进行协议分析时是绝对的利器。