Tcpdump命令详解

目录

一、tcpdump作用        

二、tcpdump命令选项和捕获主机到主机的数据包

        2.1、命令选项

        2.2、tcpdump表达式

        关于数据类型的关键字

        数据传输方向的关键字

        协议关键字

        其他关键字

        2.3、tcpdump捕获方式

​编辑


一、tcpdump作用        

        Linux作为网络服务器,特别是作为路由器和网关时,数据的采集和分析是不可少的。TcpDump是Linux中强大的网络数据采集分析工具之一。

        tcpdump可以根据使用者需求对网络上传输的数据包进行捕获的抓包工具,windows平台有wireshark等工具,tcpdump可以将网络中传输的数据包的“包头”全部捕获过来进行分析,其支持网络层、特定的传输协议、数据发送和接收的主机、网卡和端口的过滤,并提供and、or、not等语句进行逻辑组合捕获数据包或去掉不用的信息。

二、tcpdump命令选项和捕获主机到主机的数据包

        2.1、命令选项

-a #将网络地址和广播地址转变成名字
-A #以ASCII格式打印出所有分组,并将链路层的头最小化
-b #数据链路层上选择协议,包括ip/arp/rarp/ipx都在这一层
-c #指定收取数据包的次数,即在收到指定数量的数据包后退出tcpdump
-d #将匹配信息包的代码以人们能够理解的汇编格式输出
-dd  #将匹配信息包的代码以c语言程序段的格式输出
-ddd #将匹配信息包的代码以十进制的形式输出
-D #打印系统中所有可以监控的网络接口
-e #在输出行打印出数据链路层的头部信息
-f #将外部的Internet地址以数字的形式打印出来,即不显示主机名
-F #从指定的文件中读取表达式,忽略其他的表达式
-i #指定监听网络接口
-l #使标准输出变为缓冲形式,可以数据导出到文件
-L #列出网络接口已知的数据链路
-n #不把网络地址转换为名字
-N 不输出主机名中的域名部分,例如www.baidu.com只输出www
-nn #不进行端口名称的转换
-P #不将网络接口设置为混杂模式
-q #快速输出,即只输出较少的协议信息
-r #从指定的文件中读取数据,一般是-w保存的文件
-w #将捕获到的信息保存到文件中,且不分析和打印在屏幕
-s #从每个组中读取在开始的snaplen个字节,而不是默认的68个字节
-S #将tcp的序列号以绝对值形式输出,而不是相对值
-T #将监听到的包直接解析为指定的类型的报文,常见的类型有rpc(远程过程调用)和snmp(简单网络管理协议)
-t #在输出的每一行不打印时间戳
-tt #在每一行中输出非格式化的时间戳
-ttt #输出本行和前面以后之间的时间差
-tttt #在每一行中输出data处理的默认格式的时间戳
-u #输出未解码的NFS句柄
-v #输出稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息
-vv#输出相信的保报文信息

        2.2、tcpdump表达式

        关于数据类型的关键字

        包括host、port、net:

        host 192.168.130.1表示一台主机,net 192.168.130.0表示一个网络网段,port 80 指明端口号为80,在这里如果没有指明数据类型,那么默认就是host

        数据传输方向的关键字

        包括src、dst、dst or src、dst and src,这些关键字指明了传输的方向,比如src 192.168.130.1说明数据包源地址是192.168.130.1。dst net 192.168.130.0指明目的网络地址是192.168.130.0,默认是监控主机对主机的src和dst,即默认监听本机和目标主机的所有数据。

        协议关键字

        包括ip、arp、rarp、udp

        其他关键字

        运算类型:or、and、not、!

        辅助功能型:gateway、less、broadcast、greater

        2.3、tcpdump捕获方式

格式:

#tcpdump [协议类型] [源或目标] [主机名称或IP] [or/and/not/!条件组合] [源或目标] [主机名或IP] [or/and/not/!条件组合] [端口] [端口号] …… [or/and/not/!条件组合] [条件]
tcpdump  ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host  ! www.baidu.com  

tcpdump

#默认监听在第一块网卡,监听所有经过此网卡的数据包

     

tcpdump  -i  ens33

#监听指定网卡ens33的所有传输数据包 

tcpdump -i ens33 host 192.168.130.151

#捕获主机192.168.130.151经过网卡ens33的所有数据包(也可以是主机名,但要求可以解析出IP地址)

 只检测192.168.130.151这个主机发过来的包,其他的自动过滤

tcpdump host 192.168.130.151 and  /(192.168.130.152 or 192.168.130.153/)

#捕获主机 192.168.130.151 和主机192.168.130.152或192.168.130.153的所有通信数据包

tcpdump ip host node9 and not www.baidu.com

#捕获主机node9与其他主机之间(不包括www.baidu.com)通信的ip数据包

tcpdump -i ens33 src node10

#捕获源主机node10发送的所有的经过ens33网卡的所有数据包

tcpdump -i ens33 dst host www.baidu.com

#捕获所有发送到主机www.baidu.com的数据包

监听主机192.168.56.1和192.168.56.210之间ip协议的80端口的且排除www.baidu.com通信的所有数据包:
tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host ! baidu.com

#也可以写成tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host not www.baidu.com,即not和!都是相同的取反的意思

tcpdump arp

#监控指定主机的通信数据包与1.9.1方式相同

tcpdump tcp port 22 and host 192.168.56.210

#捕获主机192.168.56.210接收和发出的tcp协议的ssh的数据包

tcpdump udp port 53

#监听本机udp的53端口的数据包,udp是dns协议的端口,这也是一个dns域名解析的完整过程

        可以根据实际使用情况去抓取数据,当没有数据传输的时候是抓不到的,所以这里只展示了部分抓包例子,大多数还是要知道怎么用就行了

  • 31
    点赞
  • 270
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
tcpdump 是一款常用的网络抓包工具,可以捕获网络数据包并将其打印出来,常用于网络故障排除、网络性能分析等。以下是 tcpdump 命令的详解: 1. 命令格式 ``` tcpdump [选项] [过滤表达式] ``` 2. 常用选项 - -i:指定抓包的网络接口,如 -i eth0; - -c:指定抓包的数量,如 -c 100,表示只抓取前 100 个数据包; - -n:不将 IP 地址和端口号转换为域名和服务名称; - -X:以十六进制和 ASCII 码形式显示数据包的内容; - -w:将抓包结果保存到文件中,如 -w capture.pcap; - -r:读取保存到文件中的抓包结果,如 -r capture.pcap。 3. 过滤表达式 过滤表达式用于过滤需要捕获的数据包,常用的过滤表达式包括: - host:指定 IP 地址或域名; - port:指定端口号; - tcp、udp、icmp:指定协议类型; - src、dst:指定源IP地址或目的IP地址。 以下是一些常用的过滤表达式示例: - 捕获所有数据包:tcpdump -i eth0; - 捕获指定协议类型的数据包:tcpdump -i eth0 icmp; - 捕获指定 IP 地址的数据包:tcpdump -i eth0 host 192.168.1.1; - 捕获指定端口号的数据包:tcpdump -i eth0 port 80; - 捕获指定源IP地址和目的IP地址的数据包:tcpdump -i eth0 src 192.168.1.1 and dst 192.168.1.2。 以上就是 tcpdump 命令的详解。在实际使用中,我们可以根据需要结合选项和过滤表达式来捕获和分析网络数据包,从而进行网络故障排除和性能优化。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值