tcpdump是一款在Linux上的抓包工具,用于嗅探网络数据。
tcpdump命令是一款抓包、嗅探器工具。它可以打印所有经过网络接口的数据包的头信息,并可使用-w选项将数据包保存到文件中,以便以后进行分析。
tcpdump [选项]
直接启动tcpdump将监视第一个网络接口上所有流过的数据包:
tcpdump
监视指定网络接口的数据包:
tcpdump -i eth1
如果不指定网卡,默认tcpdump只会监视第一个网络接口(一般是eth0),下面的例子都没有指定网络接口。
监视指定主机的数据包:
tcpdump host sundown
也可以指定IP,例如截获所有目标主机为210.27.48.1的数据包:
tcpdump host 210.27.48.1
打印helios主机与hot主机或ace主机之间通信的数据包:
tcpdump host helios and \(hot or ace\)
截获主机210.27.48.1和主机210.27.48.2或210.27.48.3之间的通信:
tcpdump host 210.27.48.1 and \(210.27.48.2 or 210.27.48.3\)
打印与ace主机之间通信的IP数据包,但不包括与helios主机之间的数据包:
tcpdump ip host ace and not helios
如果想要获取主机210.27.48.1除了与主机210.27.48.2之外的所有主机通信的IP包,使用命令:
tcpdump ip host 210.27.48.1 and !210.27.48.2
抓取eth0网卡上的数据包,使用:
sudo tcpdump -i eth0
截获主机hostname发送的所有数据:
tcpdump -i eth0 src host hostname
监视所有送到主机hostname的数据包:
tcpdump -i eth0 dst host hostname
监视指定主机和端口的数据包。例如,如果想要获取主机210.27.48.1接收或发出的telnet包,使用以下命令:
tcpdump tcp port 23 and host 210.27.48.1
对本机的UDP 123端口进行监视(123为NTP的服务端口):
tcpdump udp port 123
监视指定网络的数据包。例如,打印本地主机与Berkeley网络上的主机之间的所有通信数据包:
tcpdump net ucb-ether
这里的ucb-ether可以理解为"Berkeley网络"的网络地址,这个表达式的最原始含义是打印网络地址为ucb-ether的所有数据包。
打印所有通过网关snup的FTP数据包:
tcpdump 'gateway snup and (port ftp or ftp-data)'
注意:表达式被单引号括起来,这样可以防止shell对其中的括号进行错误解析。
打印所有源地址或目标地址是本地主机的IP数据包:
tcpdump ip and not net localnet
如果本地网络通过网关连接到了其他网络,则其他网络并不能算作本地网络。
抓取80端口的HTTP报文,并以文本形式展示:
sudo tcpdump -i any port 80 -A