wireshark读写pcap文件_使用wireshark分析tcpdump出来的pcap文件

工作中的常用用法

一、tcpdump常用用法：

1，-i 指定网口 -vnn 常用选项，显示详细信息并且不解析IP，端口 ；

抓取某个网口上发往或来自某个IP的报文

tcpdump -i ethX host 192.168.1.100 -vnn

2，可以用or 或者and 连接多个过滤条件，port前的tcp表示tcp协议，也可为udp；

抓取某个网口上发往或来自某个IP、并且指定端口的报文

tcpdump -i ethX host 192.168.1.100 and tcp port 22(端口号) -vnn

3， -c 指定抓取报文的数量， 用 -w 把抓取的数据包写入文件；

抓取某网口50个包并写入dump.cap(为什么是 .cap？因为wireshark识别此扩展名)文件：

tcpdump -i ethX -c 50 -w /root/dump.cap

4，可以用关键字 src 或者 dst 表示 源 或者 目的；

抓取源端口号为22(tcp协议)的报文

tcpdump -i ethX tcp src port 22(端口号) -vnn

以上为常用用法，可以根据实际情况灵活组合。

二、wireshark分析报文：

1，淡紫色数据包为正常数据包，包括数据包和ACK包

2，黑色为异常包，包括丢包ACK、重传等

2.1 Packet Size limited during capture

这个标志说明数据包并没被完全抓到，而只是抓到了一部分。