tcpdump 抓包工具

tcpdump是一个网络抓包工具，主要用于捕获和分析网络上传输的数据包。它可以将网络中传送的数据包的“头”完全截获下来并提供分析。tcpdump支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助用户去除无用的信息。

tcpdump具有以下主要功能：

1. 捕获网络数据包：tcpdump可以在指定的网络接口上捕获网络数据包，并显示它们的内容。它可以捕获各种协议的数据包，如TCP、UDP、ICMP等。
2. 数据包过滤：tcpdump允许用户使用BPF过滤器来指定捕获特定类型的数据包。用户可以根据源IP地址、目标IP地址、端口号等进行过滤，以便捕获感兴趣的数据包。
3. 数据包解析：tcpdump可以解析捕获到的数据包，并显示其详细信息，如源IP地址、目标IP地址、端口号、传输协议、数据包长度等。
4. 抓包保存：tcpdump可以将捕获到的数据包保存到文件中，以便后续分析。用户可以选择保存全部数据包或者只保存满足特定过滤条件的数据包。
5. 详细统计：tcpdump可以生成详细的统计信息，例如捕获到的数据包数量、每种协议的数据包数量、各种协议的流量占比等。

tcpdump的常用命令包括以下几种：

  1.tcpdump -D //检测系统可用接口 

此命令用于列出系统上所有可用于tcpdump抓包的网络接口。

2.tcpdump -n -i eth0 host 192.168.29.162 //抓取所有经过特定接口，且源或目的地址是特定IP的网络数据

-n 选项表示在输出时不进行网络地址到主机名的解析，而是直接以数字形式显示IP地址。这可以显著提高抓包的效率，因为不需要进行额外的DNS查询来解析主机名。

-i 选项后面通常跟的是网络接口的名称，用于指定 tcpdump 应该监听哪个网络接口来捕获数据包。例如，如果你想在 eth0 接口上捕获数据包，你会使用 tcpdump -n -i eth0。如果不指定 -i 选项，tcpdump 会默认监听系统接口列表中编号最小的已配置好的接口（不包括loopback接口）。

3.tcpdump src <source_ip> and dst <destination_ip>  //抓取指定源IP和目标IP的流量

4.tcpdump port <port_number> //抓取指定端口的流量

5.tcpdump -v <protocol>  //抓取指定协议的流量

这里<protocol>可以是icmp、tcp、udp等协议，命令会抓取所有符合该协议的数据包。

6. tcpdump -s <length> //抓取指定长度的流量

这条命令会抓取长度小于<length>的数据包。

7.tcpdump -c <number> //指定抓包的包数

这条命令会在抓取到指定数量的<number>数据包后自动停止。

8.tcpdump -w <filename> //保存抓包数据到文件

使用-w选项可以将抓包数据保存到指定的<filename>文件中。

同时会创建相应文件

9.tcpdump -r <filename>  //从文件中读取抓包数据进行分析

使用-r选项可以从之前保存的<filename>文件中读取抓包数据进行分析。

10.tcpdump -i eth0 udp //只抓udp包

10.tcpdump -i eth0 tcp //只抓tcp包

11.tcpdump -i eth0   -w output.pcap

这将把捕获到的数据包保存到名为 output.pcap 的文件中。之后，您可以使用诸如 Wireshark 这样的工具来打开和分析这个文件。

这些命令只是tcpdump功能的一部分，tcpdump还提供了更多的选项和参数供用户定制抓包行为。在使用tcpdump时，建议查阅其手册页（通过man tcpdump命令）以获取更详细的信息和示例。