tcpdump命令详解_tcpudmp mingling-CSDN博客

本文链接：https://blog.csdn.net/henujyj/article/details/81262380

日常工作中需要对网络传输的数据包进行抓取分析。在windows客户端，通常使用WireShark，但是在Linux/UNIX中，我们通常使用开源的tcpdump工具。该工具可扩展，对于网络维护和入侵者都是非常有用。

tcpdump可以将网络中传输的数据包“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and/or/not等逻辑语句来帮助用户去掉无用的信息。

tcpdump在root用户下运行。

tcpdump命令使用格式：

tcpdump [-nn] [-i 网络接口] [-w 存档的文件名] [-c 次数] [-Ae][-qX] [-r 档案][所欲截取的数据内容]

参数：

-nn	截取的内容中，直接以IP和port number显示，而非主机名与服务名称。即不进行端口和名字的转换。
-i	后面接要监听的网络接口，如eth0,lo,ppp0等。如果没有该参数，默认监控第一个网络接口（eth0）。
-w	如果需要将监听所得的数据包存储下来，则使用-w 存储文件名。可以直接将监控的内容输出到文件中。
-c	监听的封包数。即监听到指定的数量后自动停止命令的运行。否则tcpdump会不断地监听，直到使用者输入Ctrl+C为止。
-A	封包的内容以ASCII显示，通常用来捕捉www的网页封包资料。
-e	使用数据链路层（OSI第二层）的MAC封包数据来显示。
-q	仅列出较为简短的封包信息，第一行的内容比较精简。
-X	可以列出十六进制以及ASCII的封包内容，对于监听封包内容很有用。
-r	将后面接的档案中把数据读出来显示。那个档案是由-w存储的数据。
-vv	输出详细的报文信息到界面中。
-t	不在每一行中输出时间戳。
-tt	在每一行中输出非格式化时间戳。
-ttt	输出本行和前面一行之间的时间差。
-tttt	在每一行中输出由date处理的默认格式的时间戳。