linux-日常运维-Linux下抓包

Posted 2021-01-15

tcpdump
安装：　yum install -y tcpdump

tcpdump -nn -i网卡名称　　　＃＃有的机器好像不用加
第一个ｎ，指的是，将你的主机名以ｉｐ＋端口的方式显示出来
18:14:41.513481　　　＃时间
IP 172.31.54.91.22　　＃本机ｉｐ＋端口
222.177.141.50.47488　　＃到这个ｉｐ地址＋端口．
剩下的．则是一些数据包的信息

tcpdump -nn port 22 #指定22端口
tcpdump -nn not port 22 #排除法，除去22端口，查看其它端口
tcpdump -nn not port 22 and host ip地址 #两个条件用and连接，除去22端口，只要后面条件ip地址的包

tcpdump -nn -c 100 # 只抓100个数据包。

tcpdump -nn -c 100 -w /tmp/1.cap #只抓100个包，并保存到/tmp下的1.cap里面，不能cat查看。
tcpdump -r /tmp/1.cap #查看刚才抓包的文件

tshark
安装： yum install -y wireshark #和tcpdump类似

tshark -n -t a -R http.request -T fields -e "frame.time" -e "ip.src" -e "http.host" -e "http.request.method" -e "http.request.uri" #只有有在访问80端口，才可以抓到
内容为：
"Oct 24, 2018 23:20:23 时间
183.227.127.20 ip地址
www.lifelonglearning.vip 访问的域名
/ 访问的连接是什么

类似web的访问日志，哪个ip来访问我的网站，访问网站的什么链接