2. 程式人生 > >抓包工具tcpdump用法說明

抓包工具tcpdump用法說明

阿新 • • 發佈：2017-06-22
mac ive 方向 接口 res 分析 方式 interface tcp

本文目錄：

1.1 tcpdump選項

1.2 tcpdump表達式

1.3 tcpdump示例

tcpdump采用命令行方式對接口的數據包進行篩選抓取，其豐富特性表現在靈活的表達式上。

不帶任何選項的tcpdump，默認會抓取第一個網絡接口，且只有將tcpdump進程終止才會停止抓包。

例如：

shell> tcpdump -nn -i eth0 icmp

下面是詳細的tcpdump用法。

1.1 tcpdump選項

它的命令格式為：

tcpdump [ -DenNqvX ] [ -c count ] [ -F file ] [ -i interface ] [ -r file
 
 ]
        [ -s snaplen ] [ -w file ] [ expression ]

抓包選項：
-c：指定要抓取的包數量。註意，是最終要獲取這麽多個包。例如，指定"-c 10"將獲取10個包，但可能已經處理了100個包，只不過只有10個包是滿足條件的包。
-i interface：指定tcpdump需要監聽的接口。若未指定該選項，將從系統接口列表中搜尋編號最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo)，
            ：一旦找到第一個符合條件的接口，搜尋馬上結束。可以使用‘any‘關鍵字表示所有網絡接口。
-n：對地址以數字方式顯式，否則顯式為主機名，也就是說-n選項不做主機名解析。

 
-nn：除了-n的作用外，還把端口顯示為數值，否則顯示端口服務名。
-N：不打印出host的域名部分。例如tcpdump將會打印‘nic‘而不是‘nic.ddn.mil‘。
-P：指定要抓取的包是流入還是流出的包。可以給定的值為"in"、"out"和"inout"，默認為"inout"。
-s len：設置tcpdump的數據包抓取長度為len，如果不設置默認將會是65535字節。對於要抓取的數據包較大時，長度設置不夠可能會產生包截斷，若出現包截斷，
      ：輸出行中會出現"[|proto]"的標誌(proto實際會顯示為協議名)。但是抓取len越長，包的處理時間越長，並且會減少tcpdump可緩存的數據包的數量，
      ：從而會導致數據包的丟失，所以在能抓取我們想要的包的前提下，抓取長度越小越好。

輸出選項：

 
-e：輸出的每行中都將包括數據鏈路層頭部信息，例如源MAC和目標MAC。
-q：快速打印輸出。即打印很少的協議相關信息，從而輸出行都比較簡短。
-X：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出。
-XX：輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出，更詳細。
-v：當分析和打印的時候，產生詳細的輸出。
-vv：產生比-v更詳細的輸出。
-vvv：產生比-vv更詳細的輸出。

其他功能性選項：
-D：列出可用於抓包的接口。將會列出接口的數值編號和接口名，它們都可以用於"-i"後。
-F：從文件中讀取抓包的表達式。若使用該選項，則命令行中給定的其他表達式都將失效。
-w：將抓包數據輸出到文件中而不是標準輸出。可以同時配合"-G time"選項使得輸出文件每time秒就自動切換到另一個文件。可通過"-r"選項載入這些文件以進行分析和打印。
-r：從給定的數據包文件中讀取數據。使用"-"表示從標準輸入中讀取。

所以常用的選項也就這幾個：

  • tcpdump -D
  • tcpdump -c num -i int -nn -XX -vvv

1.2 tcpdump表達式

表達式用於篩選輸出哪些類型的數據包，如果沒有給定表達式，所有的數據包都將輸出，否則只輸出表達式為true的包。在表達式中出現的shell元字符建議使用單引號包圍。

tcpdump的表達式由一個或多個"單元"組成，每個單元一般包含ID的修飾符和一個ID(數字或名稱)。有三種修飾符：

(1).type：指定ID的類型。

可以給定的值有host/net/port/portrange。例如"host foo"，"net 128.3"，"port 20"，"portrange 6000-6008"。默認的type為host。

(2).dir：指定ID的方向。

可以給定的值包括src/dst/src or dst/src and dst，默認為src or dst。例如，"src foo"表示源主機為foo的數據包，"dst net 128.3"表示目標網絡為128.3的數據包，"src or dst port 22"表示源或目的端口為22的數據包。

(3).proto：通過給定協議限定匹配的數據包類型。

常用的協議有tcp/udp/arp/ip/ether/icmp等，若未給定協議類型，則匹配所有可能的類型。例如"tcp port 21"，"udp portrange 7000-7009"。

所以，一個基本的表達式單元格式為"proto dir type ID"

除了使用修飾符和ID組成的表達式單元，還有關鍵字表達式單元：gateway，broadcast，less，greater以及算術表達式。

表達式單元之間可以使用操作符" and / && / or / || / not / ! "進行連接，從而組成復雜的條件表達式。如"host foo and not port ftp and not port ftp-data"，這表示篩選的數據包要滿足"主機為foo且端口不是ftp(端口21)和ftp-data(端口20)的包"，常用端口和名字的對應關系可在linux系統中的/etc/service文件中找到。

另外，同樣的修飾符可省略，如"tcp dst port ftp or ftp-data or domain"與"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意義相同，都表示包的協議為tcp且目的端口為ftp或ftp-data或domain(端口53)。

使用括號"()"可以改變表達式的優先級，但需要註意的是括號會被shell解釋，所以應該使用反斜線"\"轉義為"\(\)"，在需要的時候，還需要包圍在引號中。

1.3 tcpdump示例

(1).默認啟動

tcpdump

默認情況下，直接啟動tcpdump將監視第一個網絡接口(非lo口)上所有流通的數據包。這樣抓取的結果會非常多，滾動非常快。

(2).監視指定網絡接口的數據包

tcpdump -i eth1

如果不指定網卡，默認tcpdump只會監視第一個網絡接口，如eth0。

(3).監視指定主機的數據包，例如所有進入或離開longshuai的數據包

tcpdump host longshuai

(4).打印helios<-->hot或helios<-->ace之間通信的數據包

tcpdump host helios and \( hot or ace \)

(5).打印ace與任何其他主機之間通信的IP數據包,但不包括與helios之間的數據包

tcpdump ip host ace and not helios

(6).截獲主機hostname發送的所有數據

tcpdump src host hostname

(7).監視所有發送到主機hostname的數據包

tcpdump dst host hostname

(8).監視指定主機和端口的數據包

tcpdump tcp port 22 and host hostname

(9).對本機的udp 123端口進行監視(123為ntp的服務端口)

tcpdump udp port 123

(10).監視指定網絡的數據包，如本機與192.168網段通信的數據包，"-c 10"表示只抓取10個包

tcpdump -c 10 net 192.168

(11).打印所有通過網關snup的ftp數據包(註意,表達式被單引號括起來了,這可以防止shell對其中的括號進行錯誤解析)

shell> tcpdump ‘gateway snup and (port ftp or ftp-data)‘

(12).抓取ping包

[[email protected] ~]# tcpdump -c 5 -nn -i eth0 icmp 

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
12:11:23.273638 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16422, seq 10, length 64
12:11:23.273666 IP 192.168.100.62 > 192.168.100.70: ICMP echo reply, id 16422, seq 10, length 64
12:11:24.356915 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16422, seq 11, length 64
12:11:24.356936 IP 192.168.100.62 > 192.168.100.70: ICMP echo reply, id 16422, seq 11, length 64
12:11:25.440887 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16422, seq 12, length 64
5 packets captured
6 packets received by filter
0 packets dropped by kernel

如果明確要抓取主機為192.168.100.70對本機的ping，則使用and操作符。

[[email protected] ~]# tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
12:09:29.957132 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16166, seq 1, length 64
12:09:31.041035 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16166, seq 2, length 64
12:09:32.124562 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16166, seq 3, length 64
12:09:33.208514 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16166, seq 4, length 64
12:09:34.292222 IP 192.168.100.70 > 192.168.100.62: ICMP echo request, id 16166, seq 5, length 64
5 packets captured
5 packets received by filter
0 packets dropped by kernel

註意不能直接寫icmp src 192.168.100.70，因為icmp協議不支持直接應用host這個type。

(13).抓取到本機22端口包

[[email protected] ~]# tcpdump -c 10 -nn -i eth0 tcp dst port 22  

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
12:06:57.574293 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 535528834, win 2053, length 0
12:06:57.629125 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 193, win 2052, length 0
12:06:57.684688 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 385, win 2051, length 0
12:06:57.738977 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 577, win 2050, length 0
12:06:57.794305 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 769, win 2050, length 0
12:06:57.848720 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 961, win 2049, length 0
12:06:57.904057 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 1153, win 2048, length 0
12:06:57.958477 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 1345, win 2047, length 0
12:06:58.014338 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 1537, win 2053, length 0
12:06:58.069361 IP 192.168.100.1.5788 > 192.168.100.62.22: Flags [.], ack 1729, win 2052, length 0
10 packets captured
10 packets received by filter
0 packets dropped by kernel

(14).解析包數據

[[email protected] ~]# tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 22
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
12:15:54.788812 IP (tos 0x0, ttl 64, id 19303, offset 0, flags [DF], proto TCP (6), length 40)
    192.168.100.1.5788 > 192.168.100.62.22: tcp 0
        0x0000:  000c 2908 9234 0050 56c0 0008 0800 4500  ..)..4.PV.....E.
        0x0010:  0028 4b67 4000 4006 a5d8 c0a8 6401 c0a8  .(Kg@[email protected]...
        0x0020:  643e 169c 0016 2426 5fd6 1fec 2b62 5010  d>....$&_...+bP.
        0x0030:  0803 7844 0000 0000 0000 0000            ..xD........
12:15:54.842641 IP (tos 0x0, ttl 64, id 19304, offset 0, flags [DF], proto TCP (6), length 40)
    192.168.100.1.5788 > 192.168.100.62.22: tcp 0
        0x0000:  000c 2908 9234 0050 56c0 0008 0800 4500  ..)..4.PV.....E.
        0x0010:  0028 4b68 4000 4006 a5d7 c0a8 6401 c0a8  .(Kh@[email protected]...
        0x0020:  643e 169c 0016 2426 5fd6 1fec 2d62 5010  d>....$&_...-bP.
        0x0030:  0801 7646 0000 0000 0000 0000            ..vF........
2 packets captured
2 packets received by filter
0 packets dropped by kernel

總的來說，tcpdump對基本的數據包抓取方法還是較簡單的。只要掌握有限的幾個選項(-nn -XX -vvv -i -c -q)，再組合表達式即可。

姊妹篇：網絡掃描工具nmap

回到系列文章大綱：http://www.cnblogs.com/f-ck-need-u/p/7048359.html

轉載請註明出處：http://www.cnblogs.com/f-ck-need-u/p/7064286.html

抓包工具tcpdump用法說明

相關推薦

抓包工具tcpdump用法說明

mac ive 方向 接口 res 分析 方式 interface tcp 本文目錄： 1.1 tcpdump選項 1.2 tcpdump表達式 1.3 tcpdump示例 tcpdump采用命令行方式對接口的數據包進行篩選抓取，其豐富特性表現在靈活的表達式上。 不帶任

linux抓包工具-tcpdump用法說明

抓包工具tcpdump基本使用 tcpdump採用命令列方式對介面的資料包進行篩選抓取，其豐富特性表現在靈活的表示式上。 不帶任何選項的tcpdump，預設會抓取第一個網路介面，且只有將tcpdump程序終止才會停止抓包。 例如： shell> tcpdump -nn

（轉）抓包工具tcpdump用法說明

轉義 ref 抓包工具 ESS 切換 dir 連接 技術分享 win 本文原創地址在博客園：https://www.cnblogs.com/f-ck-need-u/p/7064286.html tcpdump采用命令行方式對接口的數據包進行篩選抓取，其豐富特性表現在

監控io性能、free、ps命令及netstat命令、抓包工具tcpdump，tshark

20180507一、監控io性能iostat -x 關註%utiliotop 查看哪一個進程在進行讀寫 二、free命令（查看內存使用）-m -h-gbuff 緩沖（cpu處理完的數據 > 內存 （buff）> 磁盤）cache 緩存（磁盤 >內存（cache） >cpu處理數據）公

抓包工具tcpdump

簡介 tcpdump可以抓取指定規則的流量包，並按要求儲存或者解析列印，可以通過 and、not、or等邏輯語 拼出多個條件的命令，抓取符合要求的流量資料 資料儲存到檔案 # -w儲存資料到檔案，檔名字尾為.pcap #可以儲存80埠的tcp流量，1000條 儲

linux系統的抓包工具tcpdump的使用

是windows系統下的wireshark工具的linux系統版本。 NAME         tcpdump - dump traffic on a network  SYNOPSIS     &nb

Ubuntu下的抓包工具tcpdump

Ubuntu預設是安裝好了tcpdump工具的，如果沒有安裝的話使用sudo apt-get install tcpdump即可安裝。 （如果遇到tcpdump: no suitable device found的問題，檢查一下是不是在用root許可權執行tcpdump，tcpdump只能在root許可權下

Android抓包工具tcpdump使用教程(整理)

一、準備： 1. Android手機需要先獲得root許可權。一種是否獲得root許可權的檢驗方法：安裝並開啟終端模擬器（可通過安卓市場等渠道獲得）。在終端模擬器介面輸入su並回車，若報錯則說明未root，若命令提示符從$變#則為rooted； 2. 如果Android手機

Linux 抓包工具 tcpdump

邏輯運算 端口號 eth1 方便 ESS out 與運算 通用 gre Linux 抓包工具 tcpdump 1、概述 用簡單的話來定義tcpdump，就是：dump the traffic on a network，根據使用者的定義對網絡上的數據包進行截獲的包分析工具。?

tcpdump-抓包工具-Linux

expr ret 效果 packet 返回 dump alt ping ati 環境：VMware-Workstation-12-Pro，Windows-10，CentOS-6.9-x86_64，Xshell5 基本介紹 tcpdump是Linux自帶的抓包工具，可以詳細看

tcpdump抓包工具

ive link 簡單 網絡管理 直接 抓取 可擴展性 less read tcpdump抓包工具 一：TCPDump介紹 ? TcpDump可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾，並提供and、or、not等邏

抓包工具Charles基本用法

Charles提供兩種檢視封包的頁籤，一個是Structure，另一個是Sequence，Structure用來將訪問請求按訪問的域名分類，Sequence用來將請求按訪問的時間排序。任何程式都可以在Charles中的Structure視窗中看到訪問的域名。   二、Charles常用功能 C

nmap掃描工具，tcpdump抓包工具的安裝和使用

掃描：以獲取一些公開的、非公開資訊為目的。檢測潛在的風險，查詢可攻擊的目標，收集 裝置、主機、系統、軟體資訊，發現可利用的漏洞。 掃描方式：主動探測(scan)、被動監聽嗅探(sniff)、抓包(capture) 常用的分析工具：掃描器（NMAP）、協議分析（tcpdumpWireShark） NMAP:

手機抓包工具Charles（花瓶）的用法

 原文：http://coder-lee.lofter.com/post/3b0173_2623651 Charles是mac os和windows下的另外一個抓包軟體（均收費，可破解），功能與fiddler類似，優點是可以自定義上下行網速、External Proxy

linux下tcpdump抓包工具的安裝和使用

1.yum  install  tcpdump 2.檢視網絡卡名稱： ifconfig 3.監視指定網路介面的資料包  tcpdump -i ens33 4.也可以指定ip,例如截獲所有192.1

在mac上使用Tcpdump命令列抓包工具的安裝

首先，先從http://www.tcpdump.org網上下載原始碼，然後在進行安裝，這個Tcpdump依賴libpcap這個安裝包，這個包和Tcpdump包都在Tcpdump官網上有，這兩個包是在一起的。 安裝Tcpdump之前，先安裝libpcap，使用命令列安裝，這個

Android 下使用tcpdump 抓包工具

  在進行網路狀況分析的時候，tcpdump和wireshark是必不可少的工具，手機上進行網路分析也是如此。在此之前，我都是在手機上使用tcpdump抓包之後，儲存成一個.pacp檔案，之後再在PC上使用wireshark來進行分析。在看到了參考網站中的內容之後，發現其實還有更加簡便的方法，通過adb

抓包工具簡介

不一致 settings blog 允許 coo 手動 charles 瀏覽器中 獲取 常見的抓包工具：charles、fiddlercharles：可以跨平臺，任意瀏覽器，目前只能抓http的，https請求需要裝證書（.crtx 文件，雙擊運行即可）web端，可以直接打

抓包工具：fiddler、charles手機連接電腦代理

打開 抓包 vivo 無線 strong dos 頁面 查看 option 手機連接c

抓包 ： tcpdump

抓包 tcpdumptcpdump -i eth0 -Ans0-i 指定端口-A ASCII碼-ns 抓包大小 0 抓取所有抓包 ： tcpdump