概念
tcpdump : dump the traffic on a network,根据使用者的定义对网络上的数据包进行截获的包分析工具。tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
例子:
默认启动
sudo tcpdump
普通情况下,直接启动
tcpdump
将监视第一个网络接口上所有流过的数据包。
监视指定网络接口的数据包
tcpdump -i eth1
tcpdump -i eth0 src port 7200 //调试UDP,抓取服务器发给客户端的数据大小字节
如果不指定网卡,默认tcpdump只会监视第一个网络接口,一般是eth0,下面的例子都没有指定网络接口。
监视指定主机的数据包
打印所有进入或离开sundown的数据包
tcpdump host sundown
也可以指定ip,例如
截获所有
192.168.100
的主机收到的和发出的所有的数据包
tcpdump host 192.168.1.100
打印pi 与 hot 或者与 ace 之间通信的数据包
tcpdump host pi and \( hot or ace \)
截获主机
192.168.1.100
和 主机192.168.1.104
或183.230.40.231
的通信
tcpdump host 192.168.1.100 and \(192.168.1.104 or 183.230.40.231\)
打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包.
tcpdump ip host ace and not helios
如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包,使用命令:
tcpdump ip host 210.27.48.1 and ! 210.27.48.2
截获主机hostname发送的所有数据
tcpdump -i eth0 src host hostname
监视所有送到主机hostname的数据包
tcpdump -i eth0 dst host hostname
监视指定主机和端口的数据包
如果想要获取主机210.27.48.1接收或发出的telnet包,使用如下命令
tcpdump tcp port 23 and host 210.27.48.1
对本机的
udp 123
端口进行监视
123
为
ntp
的服务端口
tcpdump udp port 123