win环境及linux环境tcpdump常用抓包规则

win环境：

 1. 协议过滤

比如过滤TCP，只显示TCP协议：

2. IP 过滤
过滤器输入栏输入 ip == 172.18.30.30 

或者如图所示 输入 host 172.18.31.29

源地址过滤：

ip.src ==192.168.1.102 

目标地址过滤：

ip.dst==192.168.1.102

3. 端口过滤

tcp.port ==80

tcp.srcport == 80 // 原端口为80的TCP协议

4. Http模式过滤

http.request.method=="GET",   只显示HTTP GET方法的。

5. 逻辑运算符为 AND/ OR
ip.src ==192.168.1.102 or ip.dst==192.168.1.102     源地址或者目标地址是192.168.1.102

tcpdump常用抓包规则

平时常用：tcpdump -s0 -i any tcp port 19380 -w 19380.pcap -v

-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。 
-i 指定监听的网络接口。 
-w 直接将分组写入文件中，而不是不分析并打印出来。
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。 

1.过滤主机

- 抓取所有经过 eth1，目的或源地址是 192.168.1.1 的网络数据

# tcpdump -i eth1 host 192.168.1.1
- 源地址
# tcpdump -i eth1 src host 192.168.1.1
- 目的地址
# tcpdump -i eth1 dst host 192.168.1.1

2.过滤端口

- 抓取所有经过 eth1，目的或源端口是 25 的网络数据
# tcpdump -i eth1 port 25
- 源端口
# tcpdump -i eth1 src port 25
- 目的端口
# tcpdump -i eth1 dst port 25网络过滤

3.协议过滤
# tcpdump -i eth1 arp
# tcpdump -i eth1 ip
# tcpdump -i eth1 tcp
# tcpdump -i eth1 udp
# tcpdump -i eth1 icmp

更多