语法格式:
tcpdump [option] [proto] [dirction] [type]
option:可选参数。
proto:协议过滤器。包括 http,tcp,udp,icmp,ip,ip6,arp,rarp
type:类型过滤器。包括host,net,port,portrange
directiron:数据流向过滤器。包括src,dst,src or dst
常用可选参数及含义:
-D:查看可抓取的网卡
-i:后接网卡名,指定抓取的网卡
-c:后接数字,表示要抓取包的数量
-w:后接输出文件路径,将抓包结果输出到该路径
-s:后接数字,表示每个包截取前多少个字节,默认96
示例:
# 抓取eth0网卡1000个包输出到test.pcap文件
tcpdump -i eth0 -c 1000 -w ./test.pcap
数据流向过滤器、类型过滤器:
host:后接域名或ip,抓取src或dst为该host的包
dst与src:后接host参数,指定抓取dst或src为host的包
port:后接需要抓取包的端口号
示例:
# 抓取eth0网卡,目的为192.168.1.3主机,1000个tcp包,输出到test.pcap文件
tcpdump -i eth0 -c 1000 -w ./test.pcap tcp dst host 192.168.1.3
# 抓取eth0网卡,192.168.1.3主机与百度的会话,1000个端口80的tcp包,输出到test.pcap文件
tcpdump -i eth0 -c 1000 -w ./test.pcap tcp port 80 and host 192.168.1.3 and host www.baidu.com
# 抓取eth0网卡,起始为192.168.1.3主机,目的为百度,1000个端口80的tcp包,输出到test.pcap文件
tcpdump -i eth0 -c 1000 -w ./test.pcap tcp port 80 and src host 192.168.1.3 and dst host www.baidu.com