Linux下使用tcpdump抓包

Linux下使用tcpdump抓包

1、简述

项目里难免遇到扯皮的情况，你说请求发过去了，对端非说没收到，怎么办？抓包就对了！！！
抓完甩对方脸上（没被打脸的话）

2、抓包步骤

目标：抓取目标主机的包（抓所有的包确实更省事，但是抓出来的包很大不说，还要再做一次筛选，正常定位问题，还是抓指定主机的更划算）

管理员身份登录！！！
管理员身份登录！！！
管理员身份登录！！！

重要的事情说三遍，不知道管理员密码就难办

2.1、查看网卡

ifconfig

我们看到本机使用的网卡是：ens33

2.2、切换至管理员用户

登录的时候直接登管理员用户也可以，这个顺序无所谓

2.3、建个目录用来放抓包的结果

mkdir -m 777 tcpdump_data

cd tcpdump_data

2.4、抓包(tcpdump)

2.4.1、tcpdump介绍

tcpdump命令 是一款抓包，嗅探器工具，它可以打印所有经过网络接口的数据包的头信息，也可以使用-w选项将数据包保存到文件中，方便以后分析。

主要命令参数：
-a：尝试将网络和广播地址转换成名称；
-c<数据包数目>：收到指定的数据包数目后，就停止进行倾倒操作；
-d：把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出；
-dd：把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出；
-ddd：把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出；
-e：在每列倾倒资料上显示连接层级的文件头；
-f：用数字显示网际网络地址；
-F<表达文件>：指定内含表达方式的文件；
-i<网络界面>：使用指定的网络截面送出数据包；
-l：使用标准输出列的缓冲区；
-n：不把主机的网络地址转换成名字；
-N：不列出域名；
-O：不将数据包编码最佳化；
-p：不让网络界面进入混杂模式；
-q ：快速输出，仅列出少数的传输协议信息；
-r<数据包文件>：从指定的文件读取数据包数据；
-s<数据包大小>：设置每个数据包的大小；
-S：用绝对而非相对数值列出TCP关联数；
-t：在每列倾倒资料上不显示时间戳记；
-tt： 在每列倾倒资料上显示未经格式化的时间戳记；
-T<数据包类型>：强制将表达方式所指定的数据包转译成设置的数据包类型；
-v：详细显示指令执行过程；
-vv：更详细显示指令执行过程；
-x：用十六进制字码列出数据包资料；
-w<数据包文件>：把数据包数据写入指定的文件。

2.4.2、抓

tcpdump -i ens33 host www.baidu.com and 192.168.6.128 -w ./log.cap

即，抓取本机ens33网卡和www.baidu.com之间的包 ，并保存到当前目录的log.cap文件中

这个时候咱们再开一个窗口，比如随便ping一下百度的地址

ping完把抓包也停掉 Ctrl+C

2.4.3、查看抓包结果

将抓包结果log.cap下载到本地，使用wireshark打开

2.4.4、常用写法

本机IP：192.168.6.128

1、抓网卡全部包
tcpdump -i ens33

2、只抓目标主机是www.baidu.com的包
tcpdump -i ens33 dst host www.baidu.com -w ./log.cap

3、只抓本机发出去的包
tcpdump -i ens33 src host 192.168.6.128 -w ./log.cap

4、抓取192.168.6.128和www.baidu.com之间的包
tcpdump -i ens33 host www.baidu.com and 192.168.6.128 -w ./log.cap

5、抓取192.168.6.128与其他主机(除了www.baidu.com以外)的包
tcpdump -i ens33 host 192.168.6.128 and not www.baidu.com -w ./log.cap