TcpDump 使用

TcpDump 使用

TCP 数据包头部信息和标识位

• SYN: 连接请求
• FIN： 连接结束
• RST： 连接重置
• PSH: 催促标识，接收缓冲区内数据向上交付给应用程序
• URG: 紧急标识，将紧急灵气 排在普通 数据之前
• 序号
• 确认号
• 窗口

tcpdump 常见符号:

• [S]： SYN
• [P]： PSH
• [F]: FIN
• [R]: RST
• [.]: 没有Flag 队了

	# 3次握手
21:59:18.687861 IP localhost.51204 > localhost.http-alt:
	Flags [S], seq 252295625, win 65495, options [mss 65495,sackOK,TS val 1527931057 ecr 0,nop,wscale 7], length 0
21:59:18.687896 IP localhost.http-alt > localhost.51204: 
	Flags [S.], seq 670102239, ack 252295626, win 65483, options [mss 65495,sackOK,TS val ,nop,wscale 7], length 0
21:59:18.687924 IP localhost.51204 > localhost.http-alt: 
	Flags [.], ack 1, win 512, options [nop,nop,TS val 1527931058 ecr 1527931058], length 0
	# 数据传输
21:59:18.688018 IP localhost.51204 > localhost.http-alt: 
	Flags [P.], seq 1:84, ack 1, win 512, options [nop,nop,TS], length 83: HTTP: GET /index HTTP/1.1
21:59:18.688029 IP localhost.http-alt > localhost.51204: 
	Flags [.], ack 84, win 511, options [nop,nop,TS val 1527931058 ecr 1527931058], length 0
21:59:18.694693 IP localhost.http-alt > localhost.51204: 
	Flags [P.], seq 1:121, ack 84, win 512, options [nop,nop,TS val 1527931064 ecr 1527931058], length 120: HTTP: HTTP/1.1 200 
21:59:18.694736 IP localhost.51204 > localhost.http-alt: 
	Flags [.], ack 121, win 512, options [nop,nop,TS val 1527931064 ecr 1527931064], length 0
	
	# 44次挥手
21:59:18.694995 IP localhost.51204 > localhost.http-alt: 
	Flags [F.], seq 84, ack 121, win 512, options [nop,nop,TS val 1527931065 ecr 1527931064], length 0
21:59:18.697134 IP localhost.http-alt > localhost.51204: 
	Flags [F.], seq 121, ack 85, win 512, options [nop,nop,TS val 1527931067 ecr 1527931065], length 0
21:59:18.697168 IP localhost.51204 > localhost.http-alt: 
	Flags [.], ack 122, win 512, options [nop,nop,TS val 1527931067 ecr 1527931067], length 0

指定网卡

默认使用监听第一块网卡

tcpdump -i etho # 监听 eth0网卡
tcpdump -i lo  # 监听本地
tcpdump -i any # 监听所有网卡

-w

将捕获的信息保存到文件，且不分析和打印至屏幕

tcpdump -i eth0 -w tt
# 扩展： 导出文件为cap 或者pcap 格式，可以被wireshark打开

tcpdump -w test.pcap

-r

从文件中读取数据

tcpdump -r tt.pcap

-n,-nn, -N

• -n: 不把ip转成域名，直接显示ip, 避免执行 DNS lookups 过程，速度快很多
• -nn: 不把协议和商品号转成名字， 速度快
• -N: 不打印 host 域名部分

tcpdump -n
tcpdump -nn
tcpdump -N

-t,-tt,-ttt,-tttt

• -t: 每行 中不输出时间
• -tt: 在每行中会输出时间戳
• -ttt: 输出每两行时间间隔(毫秒)
• -tttt: 每行打印的时间戳之前添加 日期打印，最直观

tcpdump -t

-v,-vv,-vvv

• -v: 详细信息
• -vv: 比 -v 更详细

tcpdump -v

-c,-C

• -c 指定取数据包的个数
• -C: 与 -w FILE 配合使用，指定超过file-size 大小后，另创一个文件继续保存数据包

tcpdump -i eth0 -c 10 -w a.cap
tcpdump -C 1 -W 3 -w abc # 指定1M 文件后就换文件，最多写3个文件，如 abc0,abc1,abc2

-Q,-q

• -Q: 选择出入方向的数据包
  • in
  • out
  • inout
• -q: 简洁打印输出
• -D: 显示所有可用网络接口列表
• -L: 列出网络接口书籍数据链路
• -s ： 指定每个名捕获长度，单位 是byte, 默认是 262144 bytes

tcpdump -Q in
tcpdump -Q out
tcpdump -Q inout
tcpdump -D
tcpdump -L