TCPDump

linux 下用tcpdump 抓包，再用wireshark来分析：

tcpdump host *** and port 80 -i eth0 -X -s 0

要让wireshark能分析tcpdump的包，关键的地方是 -s 参数， 还有要保存为 -w文件， 例如下面的例子：

./tcpdump -i eth0 -s 0 -w SuccessC2Server.pcap host 192.168.1.20 抓主机上的所有包，让wireshark过滤

./tcpdump -i eth0 'dst host 239.33.24.212' -w raw.pcap 抓包的时候就进行过滤


wireshark的过滤， 就不用我说了把， 很简单的。

比如 tcp.port eq 5541

ip.addr eq 192.168.2.1

过滤出来后， 用 fllow tcp 查看包的内容

花下眠工作室： [url]http://huaxiamian.cc[/url]