tcpdump是一款在Linux系统上使用的抓包工具,用于嗅探网络数据包。
tcpdump命令是一个抓包和嗅探器工具,它可以打印所有经过网络接口的数据包的头信息。使用-w选项可以将数据包保存到文件中,以便进行后续分析。
tcpdump [选项]
直接启动tcpdump将监视第一个网络接口上所有流过的数据包:
$ tcpdump
监视指定网络接口的数据包:
$ tcpdump -i eth1
如果不指定网卡,默认tcpdump只会监视第一个网络接口(一般是eth0),下面的例子都没有指定网络接口。
监视指定主机的数据包:
打印所有进入或离开sundown的数据包。
$ tcpdump host sundown
也可以指定IP,例如截获所有主机210.27.48.1收到的和发出的所有数据包:
$ tcpdump host 210.27.48.1
打印helios与hot或ace之间通信的数据包:
$ tcpdump host helios and \( hot or ace \)
截获主机210.27.48.1和主机210.27.48.2或210.27.48.3的通信:
$ tcpdump host 210.27.48.1 and \(210.27.48.2 or 210.27.48.3\)
打印ace与任何其他主机之间通信的IP数据包,但不包括与helios之间的数据包:
$ tcpdump ip host ace and not helios
如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的IP包,使用命令:
$ tcpdump ip host 210.27.48.1 and ! 210.27.48.2
抓取eth0网卡上的包:
$ sudo tcpdump -i eth0
截获主机hostname发送的所有数据:
$ tcpdump -i eth0 src host hostname
监视所有送到主机hostname的数据包:
$ tcpdump -i eth0 dst host hostname
监视指定主机和端口的数据包:
如果想要获取主机210.27.48.1接收或发出的telnet包,使用如下命令:
$ tcpdump tcp port 23 and host 210.27.48.1
监视本机的UDP 123端口:
$ tcpdump udp port 123
监视指定网络的数据包:
打印本地主机与Berkeley网络上的主机之间的所有通信数据包:
$ tcpdump net ucb-ether
ucb-ether可理解为"Berkeley网络"的网络地址,此表达式表示打印网络地址为ucb-ether的所有数据包。
打印所有通过网关snup的FTP数据包:
$ tcpdump 'gateway snup and (port ftp or ftp-data)'
注意:表达式被单引号括起来,这可以防止shell对其中的括号进行错误解析。
打印所有源地址或目标地址是本地主机的IP数据包:
$ tcpdump ip and not net localnet
如果本地网络通过网关连接到了另一个网络,则另一个网络并不能算作本地网络。
抓取80端口的HTTP报文,并以文本形式展示:
$ sudo tcpdump -i any port 80 -A