计算机网络抓包工具——tcpdump详解

置顶 已于 2023-07-03 09:54:04 修改
阅读量2.7w 收藏 173
点赞数 22
文章标签： tcpdump 服务器 linux
于 2022-08-01 23:13:15 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_52165864/article/details/126091980
版权

目录

一、tcpdump是什么？

二、tcpdump里常用参数

1、可接的选项

 2、type类过滤器【参数】

一、tcpdump是什么？

tcpdump是Linux里的字符界面的数据抓包分析软件。tcpdump是一个用于截取网络分组，并输出分组内容的工具。

tcpdump：其中tcp：传输控制协议，位于传输层transmission control protocol。dump：导出。

Windows 抓包软件：wireshark、科来网络分析系统：抓网卡数据包。

使用tcpdump来抓包可以知道有哪些客户端的人访问到自己的服务器上了。

二、tcpdump里常用参数

只使用tcpdump命令进行抓包：截获主机收到和发出的所有数据包。

tcpdump截取的包默认数据包的头部，默认情况下，直接启动tcpdump将监听的是第一个网络接口上所有流过的数据包。

[root@nginx-kafka01 ~]# tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on docker0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

tcpdump里面的参数，这些参数是用来过滤的。

1、可接的选项

-iinterface指定抓哪个接口的数据包。
-vv显示更加详细的信息。
-e显示mac地址。
-wwrite 写入保存到文件中。导入的文件可以使用wireshark打开。
-rread 读取文件中的数据。
-c在收到指定包数目之后，tcpdump就会停止。

文件的后缀名可以自定义.pcap packet capture

例如：

1、监听指定网卡ens33的所有传输数据包 

tcpdump -i ens33

[root@nginx-kafka01 ~]# tcpdump -i ens33
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on docker0, link-type EN10MB (Ethernet), capture size 262144 bytes
21:48:51.599093 IP 192.168.2.130.55734 > nginx-kafka01.ssh: Flags [.], ack 141668, win 4103, length 0
21:48:51.599156 IP nginx-kafka01.ssh > 192.168.2.130.55734: Flags [P.], seq 141668:141928, ack 37, win 261, length 260
21:48:51.599274 IP nginx-kafka01.ssh > 192.168.2.130.55734: Flags [P.], seq 141928:142084, ack 37, win 261, length 156
21:48:51.605319 IP 192.168.2.130.55734 > nginx-kafka01.ssh: Flags [.], ack 142084, win 4101, length 0
21:48:51.605373 IP nginx-kafka01.ssh > 192.168.2.130.55734: Flags [P.], seq 142084:142240, ack 37, win 261, length 156
21:48:51.608121 IP nginx-kafka01.ssh > 192.168.2.130.55734: Flags [P.], seq 142240:142500, ack 37, win 261, length 260
^C^C

21:48:51.610340 ARP, Request who-has 192.168.2.104 tell gateway, length 46

1032 packets captured
1086 packets received by filter

 2、创建文件，文件名后缀可以随便取，然后使用tcp协议抓网卡ens33的所有传输数据包并显示mac地址并写入feng.sc文件中。

[root@nginx-kafka01 shell]# touch feng.sc
# -i ens33：指定抓ens33接口中的数据包
[root@nginx-kafka01 shell]# tcpdump -i ens33 -e -vv tcp -w feng.sc

# -r ：读取文件数据
[root@nginx-kafka01 shell]# tcpdump5 -r feng.sc

3、-i :抓取网卡ens33的所有传输数据包 ,-vv:显示更加详细的信息。

[root@nginx-kafka01 /]# tcpdump -vv -i ens33
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
22:26:53.664261 IP (tos 0x10, ttl 64, id 32581, offset 0, flags [DF], proto TCP (6), length 164)
    nginx-kafka01.ssh > 192.168.2.130.60716: Flags [P.], cksum 0x8701 (incorrect -> 0xc90f), seq 1310010851:1310010975, ack 1763474695, win 284, length 124
22:26:53.664807 IP (tos 0x0, ttl 64, id 22115, offset 0, flags [DF], proto UDP (17), length 72)
    nginx-kafka01.53273 > public1.114dns.com.domain: [bad udp cksum 0xa86a -> 0xc47a!] 235+ PTR? 130.2.168.192.in-addr.arpa. (44)
22:26:53.664962 IP (tos 0x10, ttl 64, id 32582, offset 0, flags [DF], proto TCP (6), length 172)
    nginx-kafka01.ssh > 192.168.2.130.60716: Flags [P.], cksum 0x8709 (incorrect -> 0xbf23), seq 124:256, ack 1, win 284, length 132
22:26:53.665071 IP (tos 0x0, ttl 128, id 62460, offset 0, flags [DF], proto TCP (6), length 40)
    192.168.2.130.60716 > nginx-kafka01.ssh: Flags [.], cksum 0xc900 (correct), seq 1, ack 256, win 4106, length 0
22:26:53.689765 IP (tos 0x0, ttl 152, id 0, offset 0, flags [none], proto UDP (17), length 149)
    public1.114dns.com.domain > nginx-kafka01.53273: [udp sum ok] 235 NXDomain q: PTR? 130.2.168.192.in-addr.arpa. 0/1/0 ns: 168.192.in-addr.arpa. SOA prisoner.iana.org. hostmaster.root-servers.org. 1 604800 60 604800 604800 (121)
22:26:53.691101 IP (tos 0x0, ttl 64, id 22121, offset 0, flags [DF], proto UDP (17), length 74)

4、-i :抓取网卡ens33的所有传输数据包 ,-vv:显示更加详细的信息。-e:显示mac地址。

 tcpdump  -i ens33 -vv -e
[root@nginx-kafka01 ~]# tcpdump  -i ens33 -vv -e

 2、type类过滤器【参数】

type类过滤器后面需要接相应的参数。

host根据主机ip来抓包
port根据端口进行抓包
net根据网段进行抓包
protocol根据协议进行抓包
protocol协议

tcp、udp、icmp、ip、arp、rarp、ether协议等

icmp协议

ping命令
mac地址指定mac地址进行抓包 src mac：源mac ，dst mac：目的mac

多条件组合的时候：需要运算符进行连接：and   、 or 、not

host：src host、 dst host

1、指定主机ip进行抓包分析。抓取ip为 192.168.2.152的数据包

[root@nginx-kafka01 /]# tcpdump -i ens33 host 192.168.2.152
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
2:09:09.020981 IP nginx-kafka01.ssh > 192.168.2.130.60716: Flags [P.], seq 1528452:1528616, ack 181, win 284, length 164
22:09:09.021904 IP nginx-kafka01.ssh > 192.168.2.130.60716: Flags [P.], seq 1528616:1528884, ack 181, win 284, length 268
22:09:09.023833 IP 192.168.2.130.60716 > nginx-kafka01.ssh: Flags [.], ack 1528884, win 4102, length 0
22:09:09.023872 IP nginx-kafka01.ssh > 192.168.2.130.60716: Flags [P.], seq 1528884:1529048, ack 181, win 284, length 164
22:09:09.023879 IP 192.168.2.130.60716 > nginx-kafka01.ssh: Flags [P.], seq 181:217, ack 1528884, win 4102, length 36
^C
10889 packets captured
10889 packets received by filter
0 packets dropped by kernel

src host：根据源ip地址来抓包 

dst host：根据目的ip地址来抓包

根据源ip抓包：需要两台虚拟机配合，虚拟机A去ping，虚拟机B去抓包。

虚拟机A的ip为192.168.2.43，虚拟机B的ip为192.168.2.152。

先在A机器进行ping 192.168.2.152。

然后在B机器上（192.168.2.152）根据源ip：192.168.2.43进行抓包。

[root@nginx-kafka01 shell]# tcpdump -i ens33 icmp and src host 192.168.2.43
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
12:03:18.050672 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 22, length 64
12:03:19.029060 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 23, length 64
12:03:20.026979 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 24, length 64
12:03:21.033853 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 25, length 64
12:03:22.028979 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 26, length 64
12:03:23.044427 IP 192.168.2.43 > nginx-kafka01: ICMP echo request, id 13063, seq 27, length 64
^C
6 packets captured
7 packets received by filter
0 packets dropped by kernel

 2、port 端口：src port、dst port

src port：源端口

dst port：目的端口

举例：抓取访问本机的80号端口的数据包。

[root@nginx-kafka01 /]# tcpdump -i ens33 port 80

 3、net：网段

抓取源IP从192.168.0.0/24网段来的，访问本机80端口的数据包。

[root@nginx-kafka01 /]# tcpdump -i ens33 port 80 and src net 192.168.0.0/24
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes

 4、mac：根据mac地址进行抓包

src 00:0c:29:ae:89:5d ：是指源mac地址为：00:0c:29:ae:89:5d 

ether：是值icmp协议中没有源ip和目的ip，所以需要依赖于ether 协议。

[root@nginx-kafka01 ~]# tcpdump -i ens33 ether src  00:0c:29:ae:89:5d

 5、抓取源ip地址为192.168.2.137访问本机的tcp协议的80端口的数据包。

[root@nginx-kafka01 /]# tcpdump -i ens33 src host 192.168.2.137 and dst port 80 and tcp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes

  6、抓ens33接口的数据包，源ip是192.168.0.1 目的端口是80 目的mac是00:0c:29:ea:ac:65的数据包,是tcp协议，请实现这个需求的tcpdump命令

[root@nginx-kafka01 shell]# tcpdump -i ens33 -e -vv tcp and src host 192.168.0.1  and dst port 80  and ether src 00:0c:29:ea:ac:65

[root@nginx-kafka01 ~]# tcpdump  -i ens33 tcp and src host 192.168.0.1 and dst port 80 and ether src 02:42:50:15:dc:29
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
^C
0 packets captured
1 packet received by filter
0 packets dropped by kernel

 7、抓取192.168.2.137这台机器ping过来的数据包。

[root@nginx-kafka01 ~]# tcpdump -i ens33 icmp and src host 192.168.2.137
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
22:55:58.510368 IP nginx-kafka03 > nginx-kafka01: ICMP echo request, id 7518, seq 225, length 64
22:55:59.513581 IP nginx-kafka03 > nginx-kafka01: ICMP echo request, id 7518, seq 226, length 64
22:56:00.515075 IP nginx-kafka03 > nginx-kafka01: ICMP echo request, id 7518, seq 227, length 64
22:56:01.518040 IP nginx-kafka03 > nginx-kafka01: ICMP echo request, id 7518, seq 228, length 64
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel

 8、抓取访问本机的icmp报文或者arp报文。

[root@nginx-kafka01 /]# tcpdump -nn -i ens33 icmp or arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
22:59:25.984345 ARP, Request who-has 192.168.2.129 tell 192.168.2.1, length 46
22:59:25.993326 IP 192.168.2.137 > 192.168.2.152: ICMP echo request, id 7518, seq 432, length 64
22:59:25.993363 IP 192.168.2.152 > 192.168.2.137: ICMP echo reply, id 7518, seq 432, length 64
22:59:26.290334 ARP, Request who-has 192.168.2.126 tell 192.168.2.1, length 46
22:59:26.995193 IP 192.168.2.137 > 192.168.2.152: ICMP echo request, id 7518, seq 433, length 64
22:59:26.995234 IP 192.168.2.152 > 192.168.2.137: ICMP echo reply, id 7518, seq 433, length 64
^C
6 packets captured
6 packets received by filter
0 packets dropped by kernel

对输出结果进行分析： 

第一列：时分秒毫秒 

第二列：网络协议 IP

第三列：发送方的ip地址

第四列：箭头 >， 表示数据流向

第五列：接收方的ip地址

第六列：冒号

第七列：数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length，其中 [P.] 表示 PUSH 标志位为 1。

更多标识符：使用 tcpdump 抓包后，会遇到的 TCP 报文 Flags，有以下几种：

  • [S] : SYN（开始连接）
  • [P] : PSH（推送数据）
  • [F] : FIN （结束连接）
  • [R] : RST（重置连接）
  • [.] : 没有 Flag （意思是除上面四种类型外的其他情况，有可能是 ACK 也有可能是 URG）。  

欢喜躲在眉梢里
关注
  • 22
    点赞
  • 踩
  • 173
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
tcpdump（windows版）.zip
01-27
windows系统下免安装tcpdump下载包
安卓版抓包工具tcpdump
11-25
安卓版抓包工具
Linux网络抓包工具tcpdump是如何实现抓包的，在哪个位置抓包的？
最新发布
李姓门徒
04-29 1911
随着G行架构从集中式体系向分布式式体系转型，行内系统服务快速增多，不同的服务短期内需要在集中式体系、分布式体系之间互相调用，调用链复杂，网络通讯相关问题时有发生。系统管理员在排查网络问题时就用到一款网络抓包工具tcpdump,该工具可以将网络中传送的数据包完全截获下来进行分析，能有效的排查复杂环境的网络问题。本文将从原理的角度分析tcpdump在Linux系统的实现。 主要是希望能够分析实现原理，以协助判断tcpdump抓的是网卡的包，还是经过内核处理后的包？对于分析服务器处理网络包过程有很大帮助。
【数据库测试】tcpdump抓包
test_dog的博客
11-04 2793
tcpdump是一个常用的网络包分析工具，可以通过网络传输到本系统的TCP/IP以及其他网络的数据包。tcpdump使用libpcap库来抓取网络包，可以将网络中传输的数据包的头部完全截获进行分析，它支持针对网络层、协议层、主机、网络或端口的过滤，并提供and、or、not等逻辑语句进行过滤。
tcpdump使用详解及数据包分析
凉_白开的博客
03-20 4万+
tcpdump使用与数据分析 语法 tcpdump(选项) 选项 -A 以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据(nt: 即Handy for capturing web pages). -c count tcpdump将在接受到count个数据包后退出. -C file-size ...
tcpdump抓包
03-16
tcpdump抓包工具，比较详细，Linux系统的命令可以使用。
Tcpdump命令的用法详解
IT技术猿猴的博客
11-15 3019
tcpdump命令，即：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具.tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。 tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c cou...
【linux】tcpdump抓包
alexliu2360的专栏
12-10 2万+
tcpdump命令需要在root权限下运行。 1、指定端口Port抓包 示例：12500端口上抓包。 命令如下： tcpdump -n -X -i any port 12500 将会把抓包结果打印到控制台界面上。 命令如下： tcpdump -n -X -i any port 12500 > 1.txt 将会把抓包结果保存到当前路径下的1.txt中。 注意：指定端口抓包时，显示的抓包结果最大为1472字节的数据。udp大包的情况，一个4KB的包分成多个片，其他数据片的显示打印不出来。
TCPDump/WinDump（用于网络监测和数据收集的优秀嗅探器）
dylan的专栏
04-10 1265
工具：TCPDump/WinDump（用于网络监测和数据收集的优秀嗅探器）       网址：http://www.tcpdump.org/，http://windump.polito.it/       类别：开放源码       平台：Linux/BSD/Unix/Windows       简介：      Tcpdump是一款众人皆知和受人喜欢的基于命令行的网络数据包分析和嗅探工具。它
tcpdump 详细使用指南（请尽情食用）
叮当猫的喵i
09-06 1万+
本文主要介绍了tcpdump的基本语法和使用方法，并通过一些示例来展示它强大的过滤功能。将 tcpdump 与 wireshark 进行组合可以发挥更强大的功效，本文也展示了如何优雅顺滑地结合 tcpdump 和 wireshark。如果你想了解更多的细节，可以查看 tcpdump 的man手册。
TCPDUMP 详细介绍：使用方法和常见协议示例
深耕嵌入式领用多年， 致力于分享嵌入式领域技术!
07-13 1018
TCPDUMP 详细介绍：使用方法和常见协议示例
tcpdump抓包工具
12-29
tcpdump抓包工具，离线安装工具包
TCP Dump
06-17
TCP/IP Dump
抓包工具-tcpdump
07-14
两个字--值得保留，直接在liunx 下随意使用，使用方法简单易学
arm平台下抓包工具tcpdump
08-24
arm下抓包工具 Linux version 4.14
tcp抓包工具，tcpdump
04-21
tcp抓包工具，tcpdump
tcpdump抓包工具离线安装包
10-13
tcpdump抓包工具离线安装包
tcpdump命令详解
热门推荐
wj31932的博客
06-05 11万+
本文介绍tcpdump的命令常用格式，参数详解和常见用法技巧范例，并有解决具体问题的实例。是全网最好的入门教程，从命令格式，参数说明，用法范例到解决问题实例，一步步深入说明。
tcpdump 网络抓包工具使用及实例参考
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
09-22 4401
前言 tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。 另外，tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性。tcpdump存在于基本的Linux系统 中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。tcpdump可
tcpdump 抓包工具
06-10
tcpdump 是一个常用的抓包工具，可以在 Linux、Unix 等操作系统上使用。它可以通过监听网络接口抓取网络数据包，并通过控制台输出或保存到文件中，供后续分析和研究。 以下是 tcpdump 的常用选项和示例: - `-i` 选项：指定监听的网络接口 - `-n` 选项：将 IP 地址和端口号转换为数字形式显示，提高抓包效率 - `-X` 选项：以 ASCII 码形式显示数据包的内容 - `-w` 选项：将抓到的数据包保存到文件中 例如，要监听本地网卡 `eth0` 上的 HTTP 流量并将抓到的数据包输出到控制台上，可以使用以下命令： ``` sudo tcpdump -i eth0 -n -X 'tcp port 80' ``` 这个命令将监听本地网卡 `eth0` 上的 TCP 端口号为 80 的流量，将抓到的数据包以 ASCII 码形式输出到控制台上。 如果要将抓到的数据包保存到文件中，可以使用 `-w` 选项，例如： ``` sudo tcpdump -i eth0 -n -X 'tcp port 80' -w http.pcap ``` 这个命令将抓到的数据包保存到 `http.pcap` 文件中，可以使用其他抓包工具（如 Wireshark）进行后续分析。 需要注意的是，tcpdump 命令需要以 root 权限运行，如果没有 root 权限，可以使用 `sudo` 命令进行运行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值