1.tcpdump简介
定义:tcpdump和Windows下的Wireshark一样都是是数据包抓包工具,一个用于截取网络分组,并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略,使其成为Linux系统下用于网络分析和问题排查的首选工具。
选项说明:
-c | 指定要抓取的包数量。注意,是最终要获取这么多个包。例如,指定"-c 10"将获取10个包,但可能已经处理了100个包,只不过只有10个包是满足条件的包 |
-i interface | 指定监听的网卡,如果为-i any则表示监听所有的网卡 |
-n | 对地址以数字方式显式,否则显式为主机名,也就是说-n选项不做主机名解析。 |
-nn | 除了-n的作用外,还把端口显示为数值,否则显示端口服务名 |
-N | 不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil' |
-s snaplen | 设置tcpdump的数据包抓取长度 |
-e | 输出的每行中都将包括数据链路层头部信息,例如源MAC和目标MAC。 |
-q | 快速打印输出。即打印很少的协议相关信息,从而输出行都比较简短。 |
-X | 输出包的头部数据,会以16进制和ASCII两种方式同时输出。 |
-XX | 输出包的头部数据,会以16进制和ASCII两种方式同时输出,更详细 |
-v,-vv,-vvv | 当分析和打印的时候,产生更多 |
-D | 列出可用于抓包的接口。将会列出接口的数值编号和接口名,它们都可以用于"-i"后 |
-w ./target.cap | 将监听到的数据包写入文件中保存为cap文件,方便用ethereal(即wireshark)分析 |
2. 使用样例
1) 抓取源目标IP的包: tcpdump -i 网卡 src host IP
# tcpdump -i ens33 src host 172.20.32.241 //-i 的作用是指定监听哪个网卡
2) 抓取目标IP的包
# tcpdump -i ens33 dst host 172.20.34.22
3) 抓取指定端口的包
# tcpdump -i ens33 port 8500
4) 抓取Http协议包
# tcpdump -i ens33 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 and dst host 172.20.34.22 -w ./data`date +%s`.pcap
说明:
tcp[20:2]=0x4745 or tcp[20:2]=0x4854:只抓取http的GET和POST包
-w:写入指定文件