第十五天 12-tcpdump检测流量工具

TCPDump流量监控工具

Tcpdump简介

Tcpdum是Linux上强大的网络数据采集分析工具

采用命令行方式对接口的数据包进行筛选抓取。

一、流量监控概述

对于一个通信过程的分析，首先需要把握5个基本数据：

源IP：谁发起的请求。谁就是源，任意一端都可能是源，也可能是目标。
源端口：通常情况下，第一次发起请求的，可以称之为客户端，第一次的目标机称为服务端。
目的IP：通常情况下，目标ip是确定的,并且目标端口也是确定的
目的端口：对于服务端来说，通常是固定的
协议：http，ssh，https..

然后具体查看内容

二、安装tcpdump

centos：
yum install -y tcpdump

kali：
apt-get -y install tcpdump

三、tcpdump

不带参数的tcpdump会收集网络中所有的信息包头，数据量巨大，必须过滤。

使用语法

1.使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用
		tcpdump -i ens33    		//监控ens33网卡上的流量，并输出
    

2.使用关键字- dst: 目标  port: 指明端口号，tcp协议
 tcpdump tcp and dst port 80 -i ens33		//监听tcp协议并且目标端口为80

3.使用-w参数指定将监听到的数据包写入文件中保存
    tcpdump tcp and dst port 80 -i ens33 -w ./target.pcap			//将流量保存到target.pcap，可以下载到Windows，用wireshark打开

4.使用-c参数指定要监听的数据包数量    
    tcpdump tcp and dst port 80 -i ens33 -c 100 			//只捕获100条数据包就自动

​

tcpdump的选项与含义

-c	指定抓取包的数量，即最后显示的数量
-i	指定tcpdump监听的端口。未指定，选择系统中最小的以配置端口。-i any:监听所有网络端口 -i lo:监听lookback接口。
-nn	对监听地址以数字方式呈现，且对端口也以数字方式呈现。如果不指定 ，地址以主机名方式呈现，端口以服务名方式呈现
-P	指定要抓取的包是流入还是流出 （in out inout[默认]）
-s	设置tcpdump的数据包抓取长度，默认为65535字节。
-e	输出的每行都包含数据链路层的头部信息。
-D	列出所有可以用于抓包的表达式。
-X	显示协议头和包的全部内容。
-F	从文件中读取抓包的表达式。

相关连接：https://huaweicloud.csdn.net/63561b3cd3efff3090b5a76c.html

https://huaweicloud.csdn.net/635609add3efff3090b58f4e.html

https://huaweicloud.csdn.net/635604fdd3efff3090b58c19.html