在實際應用中開發中，嵌入式設備使用網絡通信時，經常不好分析數據，通常只能使用串口打印和依耐服務器端使用抓包工具獲取網絡數據，使開發工作有不同程度的受到阻礙，這裏簡單的介紹一下如何使用tcpdump工具在嵌入式設備上抓包。
移植：
下載資源tcpdump，libpcap，可到官網上：http://www.tcpdump.org/ 下載，我這裏下載的版本如下：
tcpdump-4.7.4.tar.gz
libpcap-1.7.4.tar.gz
也可以到我的csdn中下載：
http://download.csdn.net/detail/yuanbinquan/9556572
http://download.csdn.net/detail/yuanbinquan/9556592
交叉編譯tcpdump:
1、交叉編譯libpcap
打開configure屏蔽5254-5256行
#if test -z "$with_pcap" && test "$cross_compiling" = yes; then
# as_fn_error $? "pcap type not determined when cross-compiling; use --with-pcap=..." "$LINENO" 5
#fi
#./configure --prefix=/home/tcpdump/Demo/ CC=arm-hisiv100nptl-linux-gcc --host=arm-linux
# make
#make install
2、交叉編譯tcpdump
#./configure --prefix=/home/tcpdump/Demo/ CC=arm-hisiv100nptl-linux-gcc --host=arm-linux
#make
#make install
3、將/home/tcpdump/Demo/sbin 下的tcpdump 複製到你的開發上即可運行。
使用
下面就是對抓包工具的的使用簡單介紹如下，直接複製網友的，嘿嘿嘿。。。
1.第一種是關於類型的關鍵字主要包括host，net，port
例如： host host 10.10.10.12，指明host 10.10.10.12是一臺主機，net 202.0.0.0 指明 202.0.0.0是一個網絡地址，port 80 指明端口號是80。如果沒有指定類型，缺省的類型是host.
[root@platform_c ~]# tcpdump host 10.10.10.12 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:47:54.338648 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:47:55.339591 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:47:55.460784 IP 10.10.10.17.5540 > 10.10.10.12.scp-config: P 990305450:990305578(128) ack 3936126663 win 10281 <nop,nop,timestamp 128715924 4061149870>
14:47:55.461037 IP 10.10.10.12.scp-config > 10.10.10.17.5540: P 1:134(133) ack 128 win 10285 <nop,nop,timestamp 4061151871 128715924>
14:47:55.461090 IP 10.10.10.17.5540 > 10.10.10.12.scp-config: . ack 134 win 10281 <nop,nop,timestamp 128715924 4061151871>
14:47:56.340551 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:47:56.682367 arp who-has 10.10.10.12 tell 10.10.10.89
14:47:57.341512 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:47:57.461844 IP 10.10.10.17.5540 > 10.10.10.12.scp-config: P 128:256(128) ack 134 win 10281 <nop,nop,timestamp 128717925 40611518
2.第二種是確定傳輸方向的關鍵字主要包括src , dst ,dst or src, dst and src
這些關鍵字指明瞭傳輸的方向，例如：src 10.10.10.12，指明ip包中源地址是10.10.10.12, dst net 202.0.0.0 指明目的網絡地址是202.0.0.0。如果沒有指明方向關鍵字，則缺省是src or dst關鍵字。
[root@platform_c ~]# tcpdump src 10.10.10.12 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:50:48.504155 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:50:49.132905 IP 10.10.10.12.21002 > 10.10.10.17.20742: P 1000890141:1000890152(11) ack 1991025729 win 2998
14:50:49.134210 IP 10.10.10.12.21002 > 10.10.10.17.20742: P 11:862(851) ack 209 win 3108
14:50:49.135543 IP 10.10.10.12.21002 > 10.10.10.17.20742: P 862:873(11) ack 230 win 3108
14:50:49.504790 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
14:50:49.548064 IP 10.10.10.12.scp-config > 10.10.10.17.5540: P 3936138234:3936138367(133) ack 990316714 win 10285 <nop,nop,timestamp 4061325974 128890011>
14:50:50.505743 IP 10.10.10.12 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 90, authtype simple, intvl 1s, length 20
3.第三種是協議的關鍵字，主要包括fddi，ip，arp，rarp，tcp，udp等類型。
Fddi指明是在FDDI(分佈式光纖數據接口網絡)上的特定的網絡協議，實際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協議包當作ether的包進行處理和分析。其他的幾個關鍵字就是指明瞭監聽的包的協議內容。如果沒有指定任何協議，則tcpdump將會監聽所有協議的信息包。
[root@platform_c ~]# tcpdump tcp port 80 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:48:51.852424 IP 10.10.10.12.20278 > 10.10.10.17.http: S 1416876662:1416876662(0) win 14600 <mss 1460,nop,nop,sackOK,nop,wscale 4>
14:48:51.852447 IP 10.10.10.17.http > 10.10.10.12.20278: S 1206855618:1206855618(0) ack 1416876663 win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 4>
14:48:51.852568 IP 10.10.10.12.20278 > 10.10.10.17.http: . ack 1 win 913
14:48:51.852590 IP 10.10.10.12.20278 > 10.10.10.17.http: R 1:1(0) ack 1 win 913
除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是'not ' ，'! '，與運算是'and'，'&&';或運算 是'or'，'││'；這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要，下面舉幾個例子來說明。普通情況下，直接啓動tcpdump將監視第一個網絡界面上所有流過的數據包。
[root@platform_c ~]# tcpdump src 10.10.10.12 and dst 10.10.10.17 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:51:45.867526 IP 10.10.10.12.20336 > 10.10.10.17.http: S 492616728:492616728(0) win 14600 <mss 1460,nop,nop,sackOK,nop,wscale 4>
14:51:45.867663 IP 10.10.10.12.20336 > 10.10.10.17.http:
A. tcpdump –i eth0 –c 10
使用-i參數指定tcpdump監聽的網絡界面，這在計算機具有多個網絡界面時非常有用，
使用-c參數指定要監聽的數據包數量，
使用-w參數指定將監聽到的數據包寫入文件中保存
B.想要截獲主機172.16.14.107和主機172.16.14.27或172.16.14.99的通信，使用命令：（在命令行中使用括號時，一定要用’/’
tcpdump host 172.16.14.107 and / (172.16.14.27or172.16.14.99 /)
C.如果想要獲取主機172.16.14.107除了和主機172.16.14.27之外所有主機通信的ip包，使用命令：
tcpdump ip host 172.16.14.107 and ! 172.16.14.27
D.如果想要獲取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107
E.對本機的udp 123 端口進行監視 （123 爲ntp的服務端口）
tcpdump udp port 123
F.系統將只對名爲hostname的主機的通信數據包進行監視。主機名可以是本地主機，也可以是網絡上的任何一臺計算機。下面的命令可以讀取主機hostname發送的所有數據：
tcpdump -i eth0 src host hostname
G.下面的命令可以監視所有送到主機hostname的數據包：
tcpdump -i eth0 dst host hostname
#src表示源，即發送
#dst表示目的地，即接收
H.我們還可以監視通過指定網關的數據包：
tcpdump -i eth0 gateway Gatewayname
I.如果你還想監視編址到指定端口的TCP或UDP數據包，那麼執行以下命令：
tcpdump -i eth0 host hostname and port 80
J.如果想要獲取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107
K. 如果我們只需要列出送到80端口的數據包，用dst port 80；如果我們只希望看到返回80端口的數據包，用src port 80。
tcpdump –i eth0 host hostname and dst port 80 目的端口是80
或者
tcpdump –i eth0 host hostname and src port 80 源端口是80
80端口一般是提供http的服務的主機
tcpdump輸出格式
總的的輸出格式爲：系統時間 來源主機.端口 > 目標主機.端口 數據包參數
如果要用wireshark分析數據：
tcpdump -i eth0 -c 100 -s 0 -w /home/data.pcap
直接使用wireshark /home/data.pcap即可 分析結果如下圖
————————————————
版權聲明：本文爲CSDN博主「yuanbinquan」的原創文章，遵循 CC 4.0 BY-SA 版權協議，轉載請附上原文出處鏈接及本聲明。
原文鏈接：https://blog.csdn.net/yuanbinquan/article/details/51735138