使用 TCPdump、TShark 和 Wireshark 捕获非空 TCP 包

经验笔记：使用 TCPdump、TShark 和 Wireshark 捕获非空 TCP 包

引言

在进行网络故障诊断或性能分析时，经常需要用到数据包捕获工具来查看网络中的数据流。本笔记将介绍如何使用 TCPdump 和 TShark（Wireshark 的命令行版本）来捕获并分析非空的 TCP 数据包。

工具简介

• TCPdump：一个开源的命令行工具，用于监听网络接口上的数据包并根据过滤规则捕获数据。
• TShark：Wireshark 的命令行版本，支持更复杂的过滤器和解析选项。
• Wireshark：一个图形界面的网络协议分析器，提供丰富的数据包分析功能。

安装

确保您的系统已经安装了这些工具。大多数 Linux 发行版可以通过包管理器轻松安装：

# 对于 Debian/Ubuntu 系统
sudo apt-get install tcpdump tshark wireshark

# 对于 Red Hat/CentOS 系统
sudo yum install tcpdump tshark wireshark

使用 TCPdump 捕获非空 TCP 包

TCPdump 本身并不直接支持 tcp.len 这样的过滤器，但可以通过其他方式实现类似的功能。例如，可以使用 tcp[13] 表示 TCP 包的长度字段，并且不等于 0 来过滤非空 TCP 包：

sudo tcpdump -i eth0 'tcp and not (tcp[13] == 0)'

这里 -i eth0 指定了监听的网络接口，tcp 表示只捕获 TCP 协议的数据包，not (tcp[13] == 0) 表示过滤掉 TCP 长度为 0 的数据包。

使用 TShark 捕获非空 TCP 包

TShark 支持更为直观的过滤语法，可以直接使用 tcp.len 过滤器来捕获非空的 TCP 数据包：

sudo tshark -i eth0 -Y 'tcp.len > 0'

这里 -i eth0 指定了监听的网络接口，-Y 'tcp.len > 0' 使用显示过滤器只捕获长度大于 0 的 TCP 数据包。

使用 Wireshark 捕获非空 TCP 包

如果需要图形界面的帮助，可以使用 Wireshark。打开 Wireshark 并选择要监听的接口，然后在捕获前设置过滤器：

1. 在捕获选项中设置捕获过滤器：tcp
2. 在显示过滤器栏输入：tcp.len > 0

小结

• TCPdump：适合快速捕获数据包，但对于复杂的过滤器支持有限。
• TShark：结合了命令行的便捷性和 Wireshark 的强大过滤能力，适用于需要复杂过滤的情况。
• Wireshark：图形界面工具，适合详细分析数据包内容，易于理解和操作。

注意事项

• 执行这些命令通常需要管理员权限。
• 捕获的数据可能包含敏感信息，请谨慎处理捕获的数据文件。
• 在生产环境中使用时，请确保不会影响正常的服务流量。

结语

通过上述方法，您可以有效地捕获非空的 TCP 数据包，这对于网络故障排查和性能分析非常有帮助。希望这篇笔记能为您提供有用的指导！