tcpdump命令

一：命令介绍

tcpdump 是一个在 UNIX 和类UNIX（例如Linux ）系统上用于抓取网络数据包的强大工具。它可以捕获经过指定网络接口的数据包，并且提供了许多选项来过滤和分析捕获到的数据包。它是一个非常灵活和强大的工具，可以用于诊断网络问题、分析网络流量以及进行安全审计等。熟练掌握其使用方法可以提高网络故障排查的效率，同时也有助于理解网络通信的原理。
以下是 tcpdump 命令的一些常见用法和选项：

二：基本语法

tcpdump [options] [filter_expression]

三、常用选项

• -i：指定要抓取数据包的网络接口。例如，-i eth0 表示抓取 eth0 网卡的数据包。
• -n：使用数字形式显示主机地址和端口号，而不进行 DNS 反向解析。
• -c：指定抓取的数据包数量。
• -w：将抓取到的数据包保存到文件中，而不是在终端输出。
• -r：从文件中读取数据包进行分析。
• -s：设置抓取的数据包长度。
• -A：以 ASCII 形式显示数据包内容。
• -X：以十六进制和 ASCII 形式显示数据包内容。

四： 过滤表达式

tcpdump 还允许使用过滤表达式来指定捕获的数据包。以下是一些常见的过滤表达式：

• host：指定捕获某个主机的数据包。
• port：指定捕获某个端口的数据包。
• src、dst：指定捕获源地址或目标地址的数据包。
• tcp、udp：指定捕获 TCP 或 UDP 协议的数据包。

五： 示例

• 抓取 eth0 网卡上所有的数据包：

  tcpdump -i eth0
  

• 抓取指定主机 192.168.1.100 的数据包：

  tcpdump host 192.168.1.100
  

• 抓取指定端口 80 的数据包：

  tcpdump port 80
  

• 抓取源地址为 192.168.1.100 的数据包：

  tcpdump src 192.168.1.100
  

• 抓取目标地址为 192.168.1.100 的数据包：

  tcpdump dst 192.168.1.100
  

• 将抓取到的数据包保存到文件中：

  tcpdump -i eth0 -w capture.pcap