linux抓包命令之tcpdump

        顧名思義，tcpdump能夠將網絡中傳送的數據包的「頭」徹底截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾，並提供and、or、not等邏輯語句來幫助你去掉無用的信息,tcpdump憑藉強大的功能和靈活的截取策略，使其成爲類UNIX系統下用於網絡分析和問題排查的首選工具.

實用命令實例:

(1).默認啓動

#普通狀況下，直接啓動tcpdump將監視第一個網絡接口上全部流過的數據包.
[root@localhost ~]# tcpdump

(2).監視指定網絡接口的數據包

[root@localhost ~]# tcpdump -i eth0 -c 10

(3).監視指定主機的數據包

[root@localhost ~]# tcpdump -i eth0 host 10.20.3.25

(4.).獲取主機10.20.3.25發送的全部數據

[root@localhost ~]#tcpdump -i eth0 src host 10.20.3.25

(5).監視全部發送到主機10.20.3.25的數據包

[root@localhost ~]# tcpdump -i eth0 dst host 10.20.3.25

(6).監視指定主機和端口的數據包

[root@localhost ~]# tcpdump tcp port 22 and host 10.20.3.25

(7).監視指定網絡的數據包，如本機與10.20.3網段通訊的數據包，"-c 10"表示只抓取10個包

[root@localhost ~]# tcpdump -c 10 net 10.20.3

(8).抓取ping包

[root@localhost ~]# tcpdump -c 5 -nn -i eth0 icmp 

(9).解析包數據

[root@localhost ~]# tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 22
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:22:22.334383 IP (tos 0x0, ttl 63, id 26834, offset 0, flags [DF], proto TCP (6), length 40)
    10.20.3.25.60401 > 10.20.9.131.22: tcp 0
        0x0000:  0050 5685 2ba8 0074 9c0f c748 0800 4500  .PV.+..t...H..E.
        0x0010:  0028 68d2 4000 3f06 b23a 0a14 0319 0a14  .(h.@.?..:......
        0x0020:  0983 ebf1 0016 93e3 6ba8 cd6b d1ce 5010  ........k..k..P.
        0x0030:  f6b4 0d8e 0000 0000 0000 0000            ............
10:22:22.376759 IP (tos 0x0, ttl 63, id 26835, offset 0, flags [DF], proto TCP (6), length 40)
    10.20.3.25.60401 > 10.20.9.131.22: tcp 0
        0x0000:  0050 5685 2ba8 0074 9c0f c748 0800 4500  .PV.+..t...H..E.
        0x0010:  0028 68d3 4000 3f06 b239 0a14 0319 0a14  .(h.@.?..9......
        0x0020:  0983 ebf1 0016 93e3 6ba8 cd6b d392 5010  ........k..k..P.
        0x0030:  faf0 078e 0000 0000 0000 0000            ............
2 packets captured
2 packets received by filter
0 packets dropped by kernel
[root@test-core-services-03 ~]# 

(10).tcpdump抓取HTTP包

tcpdump  -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854

0x4745 爲"GET"前兩個字母"GE",0x4854 爲"HTTP"前兩個字母"HT"。

 

tcpdump經常使用選項:

它的命令格式爲：

tcpdump [ -DenNqvX ] [ -c count ] [ -F file ] [ -i interface ] [ -r file ]
        [ -s snaplen ] [ -w file ] [ expression ]

抓包選項：
-c：指定要抓取的包數量。注意，是最終要獲取這麼多個包。例如，指定"-c 10"將獲取10個包，但可能已經處理了100個包，只不過只有10個包是知足條件的包。
-i interface：指定tcpdump須要監聽的接口。若未指定該選項，將從系統接口列表中搜尋編號最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
            ：一旦找到第一個符合條件的接口，搜尋立刻結束。可使用'any'關鍵字表示全部網絡接口。
-n：對地址以數字方式顯式，不然顯式爲主機名，也就是說-n選項不作主機名解析。
-nn：除了-n的做用外，還把端口顯示爲數值，不然顯示端口服務名。
-N：不打印出host的域名部分。例如tcpdump將會打印'nic'而不是'nic.ddn.mil'。
-P：指定要抓取的包是流入仍是流出的包。能夠給定的值爲"in"、"out"和"inout"，默認爲"inout"。
-s len：設置tcpdump的數據包抓取長度爲len，若是不設置默認將會是65535字節。對於要抓取的數據包較大時，長度設置不夠可能會產生包截斷，若出現包截斷，
      ：輸出行中會出現"[|proto]"的標誌(proto實際會顯示爲協議名)。可是抓取len越長，包的處理時間越長，而且會減小tcpdump可緩存的數據包的數量，
      ：從而會致使數據包的丟失，因此在能抓取咱們想要的包的前提下，抓取長度越小越好。

輸出選項：
-e：輸出的每行中都將包括數據鏈路層頭部信息，例如源MAC和目標MAC。
-q：快速打印輸出。即打印不多的協議相關信息，從而輸出行都比較簡短。
-X：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出。
-XX：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出，更詳細。
-v：當分析和打印的時候，產生詳細的輸出。
-vv：產生比-v更詳細的輸出。
-vvv：產生比-vv更詳細的輸出。

其餘功能性選項：
-D：列出可用於抓包的接口。將會列出接口的數值編號和接口名，它們均可以用於"-i"後。
-F：從文件中讀取抓包的表達式。若使用該選項，則命令行中給定的其餘表達式都將失效。
-w：將抓包數據輸出到文件中而不是標準輸出。能夠同時配合"-G time"選項使得輸出文件每time秒就自動切換到另外一個文件。可經過"-r"選項載入這些文件以進行分析和打印。
-r：從給定的數據包文件中讀取數據。使用"-"表示從標準輸入中讀取。

 

參考文檔：

　　　　https://www.cnblogs.com/f-ck-need-u/p/7064286.html#blog13

　　　　https://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html