tcpdump显示udp包_Tcpdump简单使用

tcpdump 是在工作中用于在linux/UNIX平台上抓包的工具。

原理：

用tcpdump进行抓包，然后用wareshark进行协议分析。

抓包命令：

tcpdump 抓取所有网络包，并在terminal中显示抓取的结果，将包以16尽早的形式显示。

tcpdump -w test.cap 抓取所有的网络包，并存到test.cap中。

tcpdump -i eth0 -w test.cap 抓取所有的经过eth0网卡的网络包，并存到test.cap中。

tcpdump src host 192.168.0.1 -w test.cap 抓取源地址是192.168.0.1的包。

tcpdump host 192.168.0.1 -w test.cap 抓取地址包含是192.168.0.1的包。

tcpdump dest host 192.168.0.1 -w test.cap 抓取目的地址包含是192.168.0.1的包。

下面的例子全是以抓取eth0接口为例，如果不加”-i eth0”是表示抓取所有的接口包括lo。

Tcpdump参数

-a尝试将网络和广播地址转换成名称。

-c 收到指定的数据包数目后，就停止进行倾倒操作。

-d把编译过的数据包编码转换成可读的格式，并倾倒到标准输出。

-dd把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出。

-ddd把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。

-e在每列倾倒资料上显示连接层级的文件头。

-f用数字显示网际网络地址。

-F 指定内含表达方式的文件。

-i 使用指定的网络截面送出数据包。

-l使用标准输出列的缓冲区。

-n不把主机的网络地址转换成名字。

-N不列出域名。 -O不将数据包编码最佳化。

-p不让网络界面进入混杂模式。

-q快速输出，仅列出少数的传输协议信息。

-r 从指定的文件读取数据包数据。

-s 设置每个数据包的大小。

-S用绝对而非相对数值列出TCP关联数。

-t在每列倾倒资料上不显示时间戳记。

-tt在每列倾倒资料上显示未经格式化的时间戳记。

-T 强制将表达方式所指定的数据包转译成设置的数据包类型。

-v详细显示指令执行过程。

-vv更详细显示指令执行过程。

-x用十六进制字码列出数据包资料。

-w 把数据包数据写入指定的文件。

使用tcpdump监听主机为192.168.1.1 tcp端口为80的数据同时，将输出结果保存输出到tcpdump.log。

[root@m01-61 ~]# tcpdump tcp and host 192.168.1.1 and dst port 80 -w tcpdump.log

使用tcpdump抓取linux数据包，要求抓取ip地址为202.108.1.20，端口80的数据包

[root@m01-61 ~]# tcpdump tcp and hust 202.108.1.20 and port 80

每天中午12点使用tcpdump命令抓取目的端口为tcp80的1000个包输出到当前目录并以当前时间命名，请写出定时任务及脚本内容。

#!/bin/bash

export  PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin

tcpdump  -c  1000 tcp and dst port   80  -w ./$(date +%F).txt

0 12 * * *   /bin/bash/    -----    $>/dev/null

使用tcpdump监听主机ip为192.168.1.1，tcp端口为80的数据，同时将结果保存输出到tcpdump.log，请写出相应命令

[root@m01-61 ~]# tcpdump tcp and host 192.168.1.1 and port 80 -w tcpdump.log

用tcpdump嗅探80端口的访问看看谁最高。

[root@m01-61 ~]# tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F"." '{print $1"."$2"."$3"."$4}' | sort | uniq -c | sort -nr |head -20

​

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes

1000 packets captured

1003 packets received by filter

0 packets dropped by kernel

1000 IP 10.0.0.1

抓取所有经过eth1，目的或源地址是192.168.1.1的网络数据

tcpdump -i eth1 host 192.168.1.1

指定源地址tcpdump -i eth1 src host 192.168.1.1

指定目的地址

tcpdump -i eth1 dst host 192.168.1.1

抓取所有经过eth1，目的或源端口是25的网络数据

tcpdump -i eth1 port 25

指定源端口

tcpdump -i eth1 src port 25

指定目的端口

tcpdump -i eth1 dst port 25

网络过滤

tcpdump -i eth1 net 192.168

tcpdump -i eth1 src net 192.168

tcpdump -i eth1 dst net 192.168 1.4、

协议过滤

tcpdump -i eth1 arp

tcpdump -i eth1 ip

tcpdump -i eth1 tcp

tcpdump -i eth1 udp

tcpdump -i eth1 icmp

1、抓取包含10.10.10.122的数据包

tcpdump -i eth0 -vnn host 10.10.10.122

2、抓取包含10.10.10.0/24网段的数据包

tcpdump -i eth0 -vnn net 10.10.10.0/24

3、抓取包含端口22的数据包

tcpdump -i eth0 -vnn port 22

4、抓取udp协议的数据包

tcpdump -i eth0 -vnn udp

5、抓取icmp协议的数据包

tcpdump -i eth0 -vnn icmp

6、抓取arp协议的数据包

tcpdump -i eth0 -vnn arp

7、抓取ip协议的数据包

tcpdump -i eth0 -vnn ip

8、抓取源ip是10.10.10.122数据包。

tcpdump -i eth0 -vnn src host 10.10.10.122

9、抓取目的ip是10.10.10.122数据包

tcpdump -i eth0 -vnn dst host 10.10.10.122

10、抓取源端口是22的数据包

tcpdump -i eth0 -vnn src port 22

11、抓取源ip是10.10.10.253且目的ip是22的数据包

tcpdump -i eth0 -vnn src host 10.10.10.253 and dst port 22

12、抓取源ip是10.10.10.122或者包含端口是22的数据包(测试OK)

tcpdump -i eth0 -vnn src host 10.10.10.122 or port 22

13、抓取源ip是10.10.10.122且端口不是22的数据包

tcpdump -i eth0 -vnn src host 10.10.10.122 and not port 22

14、抓取源ip是10.10.10.2且目的端口是22，或源ip是10.10.10.65且目的端口是80的数据包。

tcpdump -i eth0 -vnn ( src host 10.10.10.2 and dst port 22 ) or ( src host 10.10.10.65 and dst port 80 )

15、抓取源ip是10.10.10.59且目的端口是22，或源ip是10.10.10.68且目的端口是80的数据包。

tcpdump -i eth0 -vnn 'src host 10.10.10.59 and dst port 22' or ' src host 10.10.10.68 and dst port 80 '

16、把抓取的数据包记录存到/tmp/fill文件中，当抓取100个数据包后就退出程序。

tcpdump –i eth0 -vnn -w /tmp/fil1 -c 100

17、从/tmp/fill记录中读取tcp协议的数据包

tcpdump –i eth0 -vnn -r /tmp/fil1 tcp

18、从/tmp/fill记录中读取包含10.10.10.58的数据包

tcpdump –i eth0 -vnn -r /tmp/fil1 host 10.10.10.58