![原創]()
tcpdump 用法詳解
收藏
tcpdump 用法詳解
tcpdump 採用命令行方式，它的命令格式爲：
tcpdump
[ -adeflnNOpqStvx ] [ -c 數量 ] [ -F 文件名 ]
[ -i 網絡接口 ] [ -r 文件名] [ -s snaplen ]
[ -T 類型 ] [ -w 文件名 ] [表達式 ]
(1). tcpdump 的選項介紹
-a 將網絡地址和廣播地址轉變成名字；
-d 將匹配信息包的代碼以人們能夠理解的彙編格式給出；
-dd 將匹配信息包的代碼以c語言程序段的格式給出；
-ddd 將匹配信息包的代碼以十進制的形式給出；
-e 在輸出行打印出數據鏈路層的頭部信息；
-f 將外部的Internet地址以數字的形式打印出來；
-l 使標準輸出變爲緩衝行形式；
-n 不把網絡地址轉換成名字；
-t 在輸出的每一行不打印時間戳；
-v 輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息；
-vv 輸出詳細的報文信息；
-x 打印出數據包的內容
-xx 更加詳細的打印出數據包的內容
-X 用ASCII碼的形式打印出數據包的內容
-XX 同上，不過打印出來的信息內容更加詳盡
-c 在收到指定的包的數目後，tcpdump
就會停止；
-F 從指定的文件中讀取表達式,忽略其它的表達式；
-i 指定監聽的網絡接口；
-r 從指定的文件中讀取包(這些包一般通過-w選項產生)；
-w 直接將包寫入文件中，並不分析和打印出來；
-T 將監聽到的包直接解釋爲指定的類型的報文，常見的類型有rpc （遠程過程調用）和snmp（簡單網絡管理協議；）
(2) 實戰1: 選項的使用
*如何讓抓到的數據包，顯示其ip地址而不是顯示主機名：
在使用tcpdump時，一般我們希望看到的是ip地址，而不適機器名，所以一般可以加上 -n -f選項
*在主機有多個接口的情況下如何指定其中的一個接口？
可以使用:
tcpdump -i 接口名
來指定特定的接口，比如，要抓取來自eth0接口的icmp數據包的命令是：
tcpdump -i eth0 icmp
注意，-i 選項後面必須接接口名，有的機器的接口名可以是any，此時抓取的是來之任意接口的數據包。
tcpdump -i any icmp
tcpdump -nf -i any icmp #打印數據包的ip地址而不是主機名
* 如何看到數據包中的MAC地址?
加上-e選項就可以看到數據包的MAC地址了。
tcpdump -enf -i any icmp
* 如何查看數據包頭部的各個字段的數據？
有時候我們需要看到數據包的頭部各個字段的信息，那麼只需要添加選項 -v ，若需要更加詳細則使用： -vv選項
tcpdump -enfv -i any
tcpdump -enf -vv -i any
* 如何打印出抓到的數據包的數據？
添加選項 -x 或 -xx 或 -X(ASIIC碼的形式打印數據包的內容) 或 -XX (更加詳細的打印數據包的內容)
tcpdump -x -i eth0 src port 8080
(3) 實戰2: 表達式的使用
使用表達式可以更加靈活的定製過濾條件，從而抓取到我們想要的數據包。
* 表達式的組成
表達式可以由3部分的限定詞組成：
1, 類型: host, port, portrange,net ，若沒有指定類型參數，缺省是host
2,方向 : src, dst, src or dst, src and dst, addr1, addr2, addr3, and addr4 若沒有指定，缺省是src and dst
3,協議 : ether, fddi, tr,wlan, ip, ip6, arp, rarp, decnet, tcp and udp 等。 若沒有指定，缺省的是所有協議。
可用的表達式組合請看手冊： man tcpdump，這裏只講一些實用的例子：
(4) 實例：
* 如何抓取某個主機的數據包？
tcpdump host localhost1
* 獲取目的主機是192.168.1.3的數據包？
tcpdump -en -i eth0 dst 192.168.1.3
* 獲取來自主機192.168.1.3 端口是22的數據包？
tcpdump -enf -i any dst 192.168.1.3 port 22
* 獲取來自主機192.168.1.3 或是主機192.168.1.4 端口是22 的數據包？
tcpdump -enf -i any host 192.168.1.3 or 192.168.1.4 and port 22
(4) 結果分析