Linux_tcpdump命令解释

概念

tcpdump ： dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

例子：

默认启动

sudo tcpdump

普通情况下，直接启动 tcpdump 将监视第一个网络接口上所有流过的数据包。

监视指定网络接口的数据包

tcpdump -i eth1
tcpdump -i eth0 src port 7200 //调试UDP，抓取服务器发给客户端的数据大小字节

如果不指定网卡，默认tcpdump只会监视第一个网络接口，一般是eth0，下面的例子都没有指定网络接口。　

监视指定主机的数据包

打印所有进入或离开sundown的数据包

tcpdump host sundown

也可以指定ip,例如 截获所有 192.168.100  的主机收到的和发出的所有的数据包

tcpdump host 192.168.1.100

打印pi 与 hot 或者与 ace 之间通信的数据包

tcpdump host pi and \( hot or ace \)

截获主机 192.168.1.100  和 主机192.168.1.104   或183.230.40.231 的通信

tcpdump host 192.168.1.100 and \(192.168.1.104 or 183.230.40.231\)

打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包.

tcpdump ip host ace and not helios

如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：

tcpdump ip host 210.27.48.1 and ! 210.27.48.2

截获主机hostname发送的所有数据

tcpdump -i eth0 src host hostname

监视所有送到主机hostname的数据包

tcpdump -i eth0 dst host hostname

监视指定主机和端口的数据包

如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令

tcpdump tcp port 23 and host 210.27.48.1

对本机的 udp 123  端口进行监视  123  为 ntp 的服务端口

tcpdump udp port 123