tcpdump

简介

tcpdump，是一个运行在linux平台可以根据使用者需求对网络上传输的数据包进行捕获的抓包工具，tcpdump可以将网络中传输的数据包的“包头”全部捕获过来进行分析，其支持网络层、特定的传输协议、数据发送和接收的主机、网卡和端口的过滤，并提供and、or、not等语句进行逻辑组合捕获数据包或去掉不用的信息。

命令选项

-a #将网络地址和广播地址转变成名字

-A #以ASCII格式打印出所有分组，并将链路层的头最小化

-b #数据链路层上选择协议，包括ip/arp/rarp/ipx都在这一层

-c #指定收取数据包的次数，即在收到指定数量的数据包后退出tcpdump

-d #将匹配信息包的代码以人们能够理解的汇编格式输出

-dd  #将匹配信息包的代码以c语言程序段的格式输出

-ddd #将匹配信息包的代码以十进制的形式输出

-D #打印系统中所有可以监控的网络接口

-e #在输出行打印出数据链路层的头部信息

-f #将外部的Internet地址以数字的形式打印出来，即不显示主机名

-F #从指定的文件中读取表达式，忽略其他的表达式

-i #指定监听网络接口

-l #使标准输出变为缓冲形式，可以数据导出到文件

-L #列出网络接口已知的数据链路

-n #不把网络地址转换为名字

-N #不输出主机名中的域名部分，例如www.baidu.com只输出www

-nn #不进行端口名称的转换

-P #不将网络接口设置为混杂模式

-q #快速输出，即只输出较少的协议信息

-r #从指定的文件中读取数据，一般是-w保存的文件

-w #将捕获到的信息保存到文件中，且不分析和打印在屏幕

-s #从每个组中读取在开始的snaplen个字节，而不是默认的68个字节

-S #将tcp的序列号以绝对值形式输出，而不是相对值

-T #将监听到的包直接解析为指定的类型的报文，常见的类型有rpc（远程过程调用）和snmp（简单网络管理协议）

-t #在输出的每一行不打印时间戳

-tt #在每一行中输出非格式化的时间戳

-ttt #输出本行和前面以后之间的时间差

-tttt #在每一行中输出data处理的默认格式的时间戳

-u #输出未解码的NFS句柄

-v #输出稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息

-vv#输出相信的保报文信息
tcpdump的表达式
表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包 将会被截获。

a)：关于数据类型的关键字：

包括host、port、net，例如host 192.168.1.1表示这是一台主机，net 192.168.0.0表示这是一个网络地址，port 22指明端口号是22，如果没有指明类型，则默认的类型是host。

b)：数据传输方向的关键字：

    包括src、dst、dst or src、dst and src，这些关键字指明了传输的方向，比如src 192.168.1.1说明数据包源地址是192.168.1.1，dst net 192.168.0.0指明目的网络地址是192.168.0.0，默认是监控主机对主机的src和dst，即默认监听本机和目标主机的所有数据。

c)：协议关键字：

    包括ip、arp、rarp、tcp、udp等，

d)：其他关键字：

    运算类型的：or、and、not、!

    辅助功能型的：gateway、less、broadcast、greater
命令使用实例
#tcpdump -n -i eth0 host 192.168.29.162  //抓取所有经过 eth0，目的或源地址是 192.168.29.162 的网络数据。
#tcpdump -n -i eth0 src or dst host 192.168.29.162 //和上面的功能相同，写法不同

#tcpdump -i eth1 src host 192.168.29.16  //抓取所有经过eth1,源地址192.168.29.16的数据。

#tcpdump -n -i eth1 dst host 192.168.29.162  //抓取经过eth1,目的地址为192.168.29.162的数据。

#tcpdump -i eth1 net 10.10.10 -n  //抓取eth1网卡上所有属于10.10.10网段的数据

#tcpdump -n -i eth0 port 8080  //抓取eth0网卡上端口为8080的网络数据

#tcpdump -i bond0 icmp -n  //抓取经过bond0网卡的所有icmp协议的数据（可以查看有哪些主机在ping本机器）

#tcmdump -i bond0 udp port 53 -n  //抓取bond0网卡上的端口号为53的udp协议的所有数据

#tcpdump -i eth1 host 10.10.10.1 -c 10  //抓取eth1网卡上关于10.10.10.1主机的10个数据包

#tcpdump -i eth1 -w /home/packe_file  //将在eth1上抓取的包写入packe_file文件

注意：如果不指定抓取的网卡，默认从第一块网卡抓取数据。

参考资料

https://www.cnblogs.com/howhy/p/6396664.html

https://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html

https://www.cnblogs.com/chenpingzhao/p/9108570.html

https://www.linuxprobe.com/linux-tcpdump.html