常用命令:
tcpdump -s 0 -i any -w tcpdump.scp
参数解释及实例:
Last login: Fri Mar 8 15:56:07 2019 from 172.16.22.65
[root@localhost ~]# tcpdump -h
tcpdump version 4.1-PRE-CVS_2012_03_26
libpcap version 1.4.0
Usage: tcpdump [-aAdDefIKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
[ -i interface ] [ -M secret ] [ -r file ]
[ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ]
[ -y datalinktype ] [ -z command ] [ -Z user ]
[ expression ]
# -i 是指定要抓取的网卡
# -w 指定要保存的位置
[root@localhost ~]# tcpdump -s 0 -i any -w tcpdump.scp
tcpdump: listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
^C280 packets captured
324 packets received by filter
0 packets dropped by kernel
常用选项
-i # 指定监听的网络接口。
-n # 将地址显示为数字格式
-nn # 将地址、端口显示为数字格式
-c # 在收到指定的数量的分组后,tcpdump就会停止。
-F # 从指定的文件中读取表达式,忽略命令行中给出的表达式。
-N # 不输出主机名中的域名部分。例如,‘nic.ddn.mil‘只输出’nic‘。
-P # 不将网络接口设置成混杂模式
-q # 快速输出。只输出较少的协议信息。
-X # 分别以16进制和ASCII码格式显示
-XX # 显示链路层首部信息
-A # 以ASCII码格式显示
-T # 将监听到的包直接解释为指定的类型的报文,常见的类型有rpc远程过程调用和snmp 简单网络管理协议。
-v # 输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息。
-vv # 输出详细的报文信息。
-w # 直接将分组写入文件中,而不是不分析并打印出来。
-r # 读取抓包的文件并分析
-S 将tcp的序列号以绝对值形式输出,而不是相对值。
-s 从每个分组中读取最开始的snaplen个字节,而不是默认的68个字节。