抓包工具tcpdump的用法说明

刺骨的言语ヽ痛彻心扉 2022-05-24 07:16 221阅读 0赞

**tcpdump采用命令行方式对接口的数据包进行筛选抓取，其丰富特性表现在灵活的表达式上。**  
不带任何选项的tcpdump，默认会抓取第一个网络接口，且只有将tcpdump进程终止才会停止抓包。ctrl+c

#### tcpdump常用选项 ####

**格式：tcpdump \[ -DenNqvX \] \[ -c count \] \[ -F file \] \[ -i interface \] \[ -r file \] \[ -s snaplen \] \[ -w file \] \[ expression \]**

##### 抓包选项： #####

**-c：指定要抓取的包数量。**注意，是最终要获取这么多个包。例如，指定”-c 10”将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。  
**-i interface：指定tcpdump需要监听的接口。**若未指定该选项，将从系统接口列表中搜寻编号最小的已配置好的接口(不包括loopback接口，要抓取loopback接口使用tcpdump -i lo）  
\-n：对地址以数字方式显示，否则显示为主机名，也就是说-n选项不做主机名解析。  
**-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。**  
\-N：不打印出host的域名部分。例如tcpdump将会打印’nic’而不是’nic.ddn.mil’。  
\-P：指定要抓取的包是流入还是流出的包。可以给定的值为”in”、”out”和”inout”，默认为”inout”。

##### 输出选项： #####

\-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。  
\-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。  
\-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。  
\-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。  
\-v：当分析和打印的时候，产生详细的输出。 -vv，-vvv

##### 其他功能性选项： #####

\-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于”-i”后。  
\-r：从给定的数据包文件中读取数据。使用”-“表示从标准输入中读取。

#### tcpdump示例： ####

##### (1) 默认启动 #####

tcpdump

默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。

##### (2) 监视指定网络接口的数据包 #####

tcpdump -i eth1

如果不指定网卡，默认tcpdump只会监视第一个网络接口，如eth0。

##### (3) 截获主机hostname发送的所有数据 #####

tcpdump src host hostname

##### (4).监视所有发送到主机hostname的数据包 #####