前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Tcpdump 详解

Tcpdump 详解

原创
作者头像
鲍远林
修改2021-09-28 11:11:38
1.9K0
修改2021-09-28 11:11:38
举报
文章被收录于专栏:TPlus

命令常用参数

-A 以ASCII格式打印出所有分组,并将链路层的头最小化。 

-c 在收到指定的数量的分组后,tcpdump就会停止。 

-C 在将一个原始分组写入文件之前,检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小,则关闭当前文件,然后在打开一个新的文件。参数 file_size 的单位是兆字节(是1,000,000字节,而不是1,048,576字节)。 

-d 将匹配信息包的代码以人们能够理解的汇编格式给出。 

-dd 将匹配信息包的代码以c语言程序段的格式给出。 

-ddd 将匹配信息包的代码以十进制的形式给出。 

-D 打印出系统中所有可以用tcpdump截包的网络接口。 

-e 在输出行打印出数据链路层的头部信息。 

-E 用spi@ipaddr algo:secret解密那些以addr作为地址,并且包含了安全参数索引值spi的IPsec ESP分组。 

-f 将外部的Internet地址以数字的形式打印出来。 

-F 从指定的文件中读取表达式,忽略命令行中给出的表达式。 

-i 指定监听的网络接口。 

-l 使标准输出变为缓冲行形式,可以把数据导出到文件。 

-L 列出网络接口的已知数据链路。 

-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次,以导入多个MIB模块。 

-M 如果tcp报文中存在TCP-MD5选项,则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要(详情可参考RFC 2385)。 

-b 在数据-链路层上选择协议,包括ip、arp、rarp、ipx都是这一层的。

-n 不把网络地址转换成名字。

-nn 不进行端口名称的转换。

-N 不输出主机名中的域名部分。例如,‘nic.ddn.mil‘只输出’nic‘。 

-t 在输出的每一行不打印时间戳。 

-O 不运行分组分组匹配(packet-matching)代码优化程序。 

-P 不将网络接口设置成混杂模式。 

-q 快速输出。只输出较少的协议信息。 

-r 从指定的文件中读取包(这些包一般通过-w选项产生)。 

-S 将tcp的序列号以绝对值形式输出,而不是相对值。 

-s 从每个分组中读取最开始的snaplen个字节,而不是默认的68个字节。 

-T 将监听到的包直接解释为指定的类型的报文,常见的类型有rpc远程过程调用)和snmp(简单网络管理协议;)。 

-t 不在每一行中输出时间戳。 

-tt 在每一行中输出非格式化的时间戳。 

-ttt 输出本行和前面一行之间的时间差。 

-tttt 在每一行中输出由date处理的默认格式的时间戳。 

-u 输出未解码的NFS句柄。 

-v 输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息。 

-vv 输出详细的报文信息。 

-w 直接将分组写入文件中,而不是不分析并打印出来。

or | and | nor 与或非,以下参数如多个使用,则需要用到

host 指定过滤的ip,比如10.0.0.1,那么只抓与该ip相关的包

port 指定过滤的端口

src host 指定过滤的源ip

dst host 指定过滤的目的ip

src port 指定过滤的源端口

dst port 指定过滤的目的端口

实例

代码语言:txt
复制
tcpdump -vvv -XX -nn -S -i en0 '((tcp) and (host 192.168.10.194 or host 192.168.10.198) and (port 8080))' -w /tmp/fa-web.cap

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
22:46:15.405661 IP (tos 0x10, ttl 64, id 46154, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.10.194.59486 > 192.168.10.198.8080: Flags [S], cksum 0xa29c (correct), seq 2804354072, win 29200, options [mss 1424,sackOK,TS val 1070039499 ecr 0,nop,wscale 7], length 0
        0x0000:  5254 0042 4183 feee fd93 8edd 0800 4510  RT.BA.........E.
        0x0010:  003c b44a 4000 4006 cfab 0997 51c2 0997  .<.J@.@.....Q...
        0x0020:  51c6 e85e 1f90 a727 0c18 0000 0000 a002  Q..^...'........
        0x0030:  7210 a29c 0000 0204 0590 0402 080a 3fc7  r.............?.
        0x0040:  81cb 0000 0000 0103 0307                 ..........
22:46:15.405689 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.10.198.8080 > 192.168.10.194.59486: Flags [S.], cksum 0xe319 (correct), seq 1717464984, ack 2804354073, win 28960, options [mss 1460,sackOK,TS val 1642039399 ecr 1070039499,nop,wscale 7], length 0
        0x0000:  feee fd93 8edd 5254 0042 4183 0800 4500  ......RT.BA...E.
        0x0010:  003c 0000 4000 4006 8406 0997 51c6 0997  .<..@.@.....Q...
        0x0020:  51c2 1f90 e85e 665e 6f98 a727 0c19 a012  Q....^f^o..'....
        0x0030:  7120 e319 0000 0204 05b4 0402 080a 61df  q.............a.
        0x0040:  8867 3fc7 81cb 0103 0307                 .g?.......
22:46:15.405802 IP (tos 0x10, ttl 64, id 46155, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.10.194.59486 > 192.168.10.198.8080: Flags [.], cksum 0x8221 (correct), seq 2804354073, ack 1717464985, win 229, options [nop,nop,TS val 1070039499 ecr 1642039399], length 0
        0x0000:  5254 0042 4183 feee fd93 8edd 0800 4510  RT.BA.........E.
        0x0010:  0034 b44b 4000 4006 cfb2 0997 51c2 0997  .4.K@.@.....Q...
        0x0020:  51c6 e85e 1f90 a727 0c19 665e 6f99 8010  Q..^...'..f^o...
        0x0030:  00e5 8221 0000 0101 080a 3fc7 81cb 61df  ...!......?...a.
        0x0040:  8867                                     .g
22:46:20.988717 IP (tos 0x10, ttl 64, id 46156, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.10.194.59486 > 192.168.10.198.8080: Flags [F.], cksum 0x6c51 (correct), seq 2804354073, ack 1717464985, win 229, options [nop,nop,TS val 1070045082 ecr 1642039399], length 0
        0x0000:  5254 0042 4183 feee fd93 8edd 0800 4510  RT.BA.........E.
        0x0010:  0034 b44c 4000 4006 cfb1 0997 51c2 0997  .4.L@.@.....Q...
        0x0020:  51c6 e85e 1f90 a727 0c19 665e 6f99 8011  Q..^...'..f^o...
        0x0030:  00e5 6c51 0000 0101 080a 3fc7 979a 61df  ..lQ......?...a.
        0x0040:  8867                                     .g
22:46:20.988855 IP (tos 0x0, ttl 64, id 64736, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.10.198.8080 > 192.168.10.194.59486: Flags [F.], cksum 0x5683 (correct), seq 1717464985, ack 2804354074, win 227, options [nop,nop,TS val 1642044982 ecr 1070045082], length 0
        0x0000:  feee fd93 8edd 5254 0042 4183 0800 4500  ......RT.BA...E.
        0x0010:  0034 fce0 4000 4006 872d 0997 51c6 0997  .4..@.@..-..Q...
        0x0020:  51c2 1f90 e85e 665e 6f99 a727 0c1a 8011  Q....^f^o..'....
        0x0030:  00e3 5683 0000 0101 080a 61df 9e36 3fc7  ..V.......a..6?.
        0x0040:  979a                                     ..
22:46:20.988967 IP (tos 0x10, ttl 64, id 46157, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.10.194.59486 > 192.168.10.198.8080: Flags [.], cksum 0x5681 (correct), seq 2804354074, ack 1717464986, win 229, options [nop,nop,TS val 1070045082 ecr 1642044982], length 0
        0x0000:  5254 0042 4183 feee fd93 8edd 0800 4510  RT.BA.........E.
        0x0010:  0034 b44d 4000 4006 cfb0 0997 51c2 0997  .4.M@.@.....Q...
        0x0020:  51c6 e85e 1f90 a727 0c1a 665e 6f9a 8010  Q..^...'..f^o...
        0x0030:  00e5 5681 0000 0101 080a 3fc7 979a 61df  ..V.......?...a.
        0x0040:  9e36                                     .6

FLags

tcpdump的Flags代表了这个数据包的用途,这些标记是TCP首部的内容

S:SYN同步标识

.:.表示ACK确认标识

S.:SYN同步标识,以及确认S的ACK

P.:PSH,push推送,数据传输

R.:RST,连接重置

F.:FIN结束连接

DF:Don't Fragment(不要碎裂),当DF=0时,表示允许分片,一般-v时才有这个标识

FP.:标记FIN、PUSH、ACK组合,这样做是为了提升网络效率,减少数据来回确认等

原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。

如有侵权,请联系 cloudcommunity@tencent.com 删除。

原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。

如有侵权,请联系 cloudcommunity@tencent.com 删除。

评论
作者已关闭评论
0 条评论
热度
最新
推荐阅读
目录
  • 命令常用参数
  • 实例
  • FLags
相关产品与服务
验证码
腾讯云新一代行为验证码(Captcha),基于十道安全栅栏, 为网页、App、小程序开发者打造立体、全面的人机验证。最大程度保护注册登录、活动秒杀、点赞发帖、数据保护等各大场景下业务安全的同时,提供更精细化的用户体验。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档