首页 > 代码库 > tcpdump 命令详解
tcpdump 命令详解
- 下面的例子全是以抓取eth0接口为例,如果不加”-i eth0”是表示抓取所有的接口包括lo。
- 首先安装tcpdump包:yum install -y tcpdump
- 1、抓取包含172.16.1.122的数据包
- # tcpdump -i eth0 -vnn host 172.16.1.122
- 2、抓取包含172.16.1.0/24网段的数据包
- # tcpdump -i eth0 -vnn net 172.16.1.0/24
- 3、抓取包含端口22的数据包
- # tcpdump -i eth0 -vnn port 22
- 4、抓取udp协议的数据包
- # tcpdump -i eth0 -vnn udp
- 5、抓取icmp协议的数据包
- # tcpdump -i eth0 -vnn icmp
- 6、抓取arp协议的数据包
- # tcpdump -i eth0 -vnn arp
- 7、抓取ip协议的数据包
- # tcpdump -i eth0 -vnn ip
- 8、抓取源ip是172.16.1.122数据包。
- # tcpdump -i eth0 -vnn src host 172.16.1.122
- 9、抓取目的ip是172.16.1.122数据包
- # tcpdump -i eth0 -vnn dst host 172.16.1.122
- 10、抓取源端口是22的数据包
- # tcpdump -i eth0 -vnn src port 22
- 11、抓取源ip是172.16.1.253且目的ip是22的数据包
- # tcpdump -i eth0 -vnn src host 172.16.1.253 and dst port 22
- 12、抓取源ip是172.16.1.122或者包含端口是22的数据包
- # tcpdump -i eth0 -vnn src host 172.16.1.122 or port 22
- 13、抓取源ip是172.16.1.122且端口不是22的数据包
- [root@ ftp]# tcpdump -i eth0 -vnn src host 172.16.1.122 and not port 22
- 14、抓取源ip是172.16.1.2且目的端口是22,或源ip是172.16.1.65且目的端口是80的数据包。
- # tcpdump -i eth0 -vnn srchost172.16.1.2anddstport22 or srchost172.16.1.65anddstport80
- 15、抓取源ip是172.16.1.59且目的端口是22,或源ip是172.16.1.68且目的端口是80的数据包。
- # tcpdump -i eth0 -vnn ‘src host 172.16.1.59 and dst port 22‘ or ‘ src host 172.16.1.68 and dst port 80 ‘
- 16、把抓取的数据包记录存到/tmp/fill文件中,当抓取100个数据包后就退出程序。
- # tcpdump –i eth0 -vnn -w /tmp/fil1 -c 100
- 17、从/tmp/fill记录中读取tcp协议的数据包
- # tcpdump –i eth0 -vnn -r /tmp/fil1 tcp
- 18、从/tmp/fill记录中读取包含172.16.1.58的数据包
- # tcpdump –i eth0 -vnn -r /tmp/fil1 host 172.16.1.58
tcpdump抓包并保存成cap文件
首选介绍一下tcpdump的常用参数 tcpdump采用命令行方式,它的命令格式为: 1. tcpdump的选项介绍 当网络出现故障时,由于直接用tcpdump抓包分析有点困难,而且当网络中数据比较多时更不容易分析,使用tcpdump的-w参数+ethereal分析会很好的解决这个问题,具体参数如下: tcpdump -i eth1 -c 2000 -w eth1.cap -i eth1 只抓eth1口的数据 -c 2000代表数据包的个数,也就是只抓2000个数据包 -w eth1.cap 保存成cap文件,方便用ethereal分析 抓完数据包后ftp到你的FTP服务器,put一下,然后用ethereal软件打开就可以很直观的分析了 注:有时将.cap文件上传到FTP服务器后,发现用ethreal打开时提示数据包大于65535个,这是你在ftp上传或者下载的时候没有用bin的模式上传的原因。 另:有的网站提示在tcpdump中用-s 0命令,例如 tcpdump -i eth1 -c 2000 -s0 -w eth1.cap,可实际运行该命令时系统却提示无效的参数,去掉-s 0参数即可 例子: [root@localhost cdr]#tcpdump -i eth0 -t tcp -s 60000 -w diaoxian.cap |
tcpdump 的抓包保存到文件的命令参数是-w xxx.cap
抓eth1的包
tcpdump -i eth1 -w /tmp/xxx.cap
抓 192.168.1.123的包
tcpdump -i eth1 host 192.168.1.123 -w /tmp/xxx.cap
抓192.168.1.123的80端口的包
tcpdump -i eth1 host 192.168.1.123 and port 80 -w /tmp/xxx.cap
抓192.168.1.123的icmp的包
tcpdump -i eth1 host 192.168.1.123 and icmp -w /tmp/xxx.cap
抓192.168.1.123的80端口和110和25以外的其他端口的包
tcpdump -i eth1 host 192.168.1.123 and ! port 80 and ! port 25 and ! port 110 -w /tmp/xxx.cap
抓vlan 1的包
tcpdump -i eth1 port 80 and vlan 1 -w /tmp/xxx.cap
抓pppoe的密码
tcpdump -i eth1 pppoes -w /tmp/xxx.cap
以100m大小分割保存文件, 超过100m另开一个文件 -C 100m
抓10000个包后退出 -c 10000
后台抓包, 控制台退出也不会影响:
nohup tcpdump -i eth1 port 110 -w /tmp/xxx.cap &
抓下来的文件可以直接用ethereal 或者wireshark打开。 wireshark就是新版的ethereal,程序换名了
tcpdump 命令详解