Linux網(wǎng)絡(luò)分析tcpdump的基本用法

我們先通過(guò)幾個(gè)簡(jiǎn)單的示例來(lái)介紹 tcpdump 基本用法。

1. 不加任何參數(shù)，默認(rèn)情況下將抓取第一個(gè)非 lo 網(wǎng)卡上所有的數(shù)據(jù)包

$tcpdump

2. 抓取 eth0 網(wǎng)卡上的所有數(shù)據(jù)包

$tcpdump-ieth0

3. 抓包時(shí)指定 -n 選項(xiàng)，不解析主機(jī)和端口名。這個(gè)參數(shù)很關(guān)鍵，會(huì)影響抓包的性能，一般抓包時(shí)都需要指定該選項(xiàng)。

$tcpdump-n-ieth0

4. 抓取指定主機(jī) 192.168.1.100 的所有數(shù)據(jù)包

$tcpdump-nieth0host192.168.1.100

5. 抓取指定主機(jī) 10.1.1.2 發(fā)送的數(shù)據(jù)包

$tcpdump-nieth0srchost10.1.1.2

6. 抓取發(fā)送給 10.1.1.2 的所有數(shù)據(jù)包

$tcpdump-nieth0dsthost10.1.1.2

7. 抓取 eth0 網(wǎng)卡上發(fā)往指定主機(jī)的數(shù)據(jù)包，抓到 10 個(gè)包就停止，這個(gè)參數(shù)也比較常用

$tcpdump-nieth0-c10dsthost192.168.1.200

8. 抓取 eth0 網(wǎng)卡上所有 SSH 請(qǐng)求數(shù)據(jù)包，SSH 默認(rèn)端口是 22

$tcpdump-nieth0dstport22

9. 抓取 eth0 網(wǎng)卡上 5 個(gè) ping 數(shù)據(jù)包

$tcpdump-nieth0-c5icmp

10. 抓取 eth0 網(wǎng)卡上所有的 arp 數(shù)據(jù)包

$tcpdump-nieth0arp

11. 使用十六進(jìn)制輸出，當(dāng)你想檢查數(shù)據(jù)包內(nèi)容是否有問(wèn)題時(shí)，十六進(jìn)制輸出會(huì)很有幫助。

$tcpdump-nieth0-c1arp-X

listeningoneth0,link-typeEN10MB(Ethernet),capturesize262144bytes

12:13:31.602995ARP,Requestwho-has172.17.92.133tell172.17.95.253,length28

0x0000:0001080006040001eeffffffffffac11................

0x0010:5ffd000000000000ac115c85_..........

12. 只抓取 eth0 網(wǎng)卡上 IPv6 的流量

$tcpdump-nieth0ip6

13. 抓取指定端口范圍的流量

$tcpdump-nieth0portrange80-9000

14. 抓取指定網(wǎng)段的流量

$tcpdump-nieth0net192.168.1.0/24