Linux抓包工具tcpdump使用

1.tcpdump简介

定义：tcpdump和Windows下的Wireshark一样都是是数据包抓包工具，一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为Linux系统下用于网络分析和问题排查的首选工具。

选项说明：

-c	指定要抓取的包数量。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包
-i interface	指定监听的网卡，如果为-i any则表示监听所有的网卡
-n	对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn	除了-n的作用外，还把端口显示为数值，否则显示端口服务名
-N	不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'
-s snaplen	设置tcpdump的数据包抓取长度
-e	输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-q	快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X	输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX	输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细
-v，-vv，-vvv	当分析和打印的时候，产生更多
-D	列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后
-w   ./target.cap	将监听到的数据包写入文件中保存为cap文件，方便用ethereal(即wireshark)分析

2. 使用样例

1) 抓取源目标IP的包:  tcpdump -i 网卡  src  host  IP

# tcpdump -i ens33 src host 172.20.32.241     //-i 的作用是指定监听哪个网卡

2) 抓取目标IP的包

# tcpdump -i ens33 dst  host 172.20.34.22

3) 抓取指定端口的包

# tcpdump -i ens33 port 8500

4) 抓取Http协议包

# tcpdump -i ens33 tcp[20:2]=0x4745 or tcp[20:2]=0x4854  and dst host 172.20.34.22 -w ./data`date +%s`.pcap

说明：

tcp[20:2]=0x4745 or tcp[20:2]=0x4854：只抓取http的GET和POST包

-w：写入指定文件