tcpdump实例

1.tcpdump -D 获取网络适配器列表

linux:~ # tcpdump –D

 

1.eth0

2.br0

3.any (Pseudo-device that captures on all interfaces)

4.lo

 

2. tcpdump -i <需要监控的网络适配器编号/名称>

当我们不加任何选项执行tcpdump时，tcpdump将抓取通过所有网口的包；使用-i选项，我们可以在某个指定的网口抓包：

 

linux:~ # tcpdump -i eth0

 

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

19:56:11.936986 IP 192.168.0.148.sitaradir > linux.site.telnet: . ack 3650267677 win 16241

 

3.抓取指定数目的包(-c选项)

默认情况下tcpdump将一直抓包，直到按下”ctrl+c”中止，使用-c选项我们可以指定抓包的数量

 

linux:~ # tcpdump -c 1

 

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

19:57:45.442444 IP 192.168.0.148.sitaradir > linux.site.telnet: . ack 3650271151 win 15950

1 packets captured

4 packets received by filter

0 packets dropped by kernel

 

4. 抓取特定目标ip和端口的包

linux:~ # tcpdump host 192.9.200.59 and tcp port 8000

 

5. 如果想要显示数据包的内容，需要使用-X参数

linux:~ # tcpdump -i eth0 –X

 

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

20:05:13.368589 IP 192.168.0.148.sitaradir > linux.site.telnet: . ack 3650272030 win 15071

        0x0000:  4500 0028 c239 4000 7d06 1281 0a72 0994  E..(.9@.}....r..

        0x0010:  0a72 0a9e 0a47 0017 0f63 294c d992 bb1e  .r...G...c)L....

        0x0020:  5010 3adf 7421 0000 0000 0000 0000       P.:.t!........

 

6.捕获的数据太多，不断刷屏，可能需要将数据内容记录到文件里，需要使用-w参数：

linux:~ #tcpdump -X -s 0 -w test.cap host 192.9.200.59 and tcp port 8000

则将之前显示在屏幕中的内容，写入tcpdump可执行文件同级目录下的test.cap文件中。

 

文件查看方式如下，需要使用-r参数：

linux:~ #tcpdump -X -s 0 -r test.cap host 192.9.200.59 and tcp port 8000

 

如果这样写：

linux:~ #tcpdump -r test.cap

则只能看到最简单的数据传输交互过程，看不到数据包内容，查看时也需要使用相应的参数。

 

 

7.增加抓包时间戳(-tttt选项)

使用-tttt选项，抓包结果中将包含抓包日期：

linux:~ # tcpdump -tttt -i eth0

 

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

2013-10-24 20:09:01.064206 IP 192.168.0.148.sitaradir > linux.site.telnet: . ack 3650285440 win 15823

2013-10-24 20:09:01.064221 IP linux.site.telnet > 192.168.0.148.sitaradir: P 1:148(147) ack 0 win 5840

2013-10-24 20:09:01.064482 IP linux.site.47588 > dns1.zte.com.cn.domain: 4185+ PTR? 148.9.114.10.in-addr.arpa. (43)

 

8.抓取特定目标ip和端口的包

linux:~ # tcpdump -tttt -i eth0 -s 0 -w test.cap host 192.168.0.148 and tcp port 23

 

注：-s 0 表示不限制包长度，全部写入。