tcpdump，一个强大的Linux抓包分析工具

更多精彩内容在公众号。

tcpdump是一个强大的命令行网络分析工具，它能够捕获网络上的数据包，并提供详细的分析信息。它支持多种网络协议，包括但不限于TCP、UDP、ICMP等，允许用户根据特定的过滤条件来筛选和分析数据包。tcpdump广泛应用于网络故障排查、网络安全分析、性能调优等领域。

核心特性

• 多协议支持：tcpdump能够解析和显示多种网络协议的数据包，包括TCP、UDP、ICMP等。

• 过滤表达式：用户可以通过构建过滤表达式来捕获特定类型的数据包，如特定IP地址、端口号、协议类型等。

• 输出格式：tcpdump提供了丰富的输出格式，可以显示时间戳、协议类型、源/目的地址和端口、数据包内容等信息。

• 性能优化：tcpdump利用libpcap库进行高效的数据包捕获和分析，减少了对系统资源的占用。

使用案例

1. 捕获特定IP地址的数据包

假设我们需要监控和分析IP地址为192.168.10.100的主机的所有网络活动，可以使用以下命令：

tcpdump host 192.168.10.100

这个命令会捕获所有与指定IP地址相关的数据包。

2. 捕获特定端口的HTTP流量

如果要分析端口80（HTTP服务通常使用的端口）上的流量，可以使用以下命令：

tcpdump tcp port 80

这个命令会捕获所有目标或源端口为80的TCP数据包。

3. 捕获特定协议的数据包

如果我们只对ICMP数据包感兴趣，可以使用以下命令来过滤出所有的ICMP数据包：

tcpdump icmp

4. 将捕获的数据包保存到文件

使用-w选项可以将捕获的数据包保存到文件中，以便于后续分析或使用其他工具（如Wireshark）打开：

tcpdump -w capture.pcap tcp port 8080

这个命令会将所有目标或源端口为8080的TCP数据包保存到capture.pcap文件中。

5. 从文件中读取数据包

如果已经有了一个保存了数据包的文件，可以使用-r选项来读取并分析这些数据包：

tcpdump -r capture.pcap

6. 限制捕获数据包的数量

使用-c选项可以限制tcpdump捕获数据包的数量，例如，只捕获前1000个数据包：

tcpdump -c 1000 tcp port 80

7. 实时分析TCP三次握手和四次挥手

为了实时监控TCP三次握手和四次挥手的过程，可以使用以下命令：

tcpdump -i lo0 tcp -S -nn -t

8 基于逻辑运算符过滤

tcpdump支持逻辑运算符and、or和not来组合多个过滤条件。例如，捕获所有从192.168.1.2发出或到达192.168.1.3的端口为22的数据包：

tcpdump src host 192.168.1.2 or dst host 192.168.1.3 and port 22```或者捕获所有不是从`192.168.1.2`发出的数据包：

9 基于特定标志位过滤例如，捕获所有TCP SYN标志位被设置的数据包：

 tcpdump 'tcp[tcpflags] & (tcp-syn) != 0'

10 基于数据包内容过滤. 可以捕获包含特定字符串的数据包：

tcpdump 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = "http"'