在linux中使用tcpdump抓包的方法:

Posted xutopia

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了在linux中使用tcpdump抓包的方法:相关的知识,希望对你有一定的参考价值。

在linux中使用tcpdump抓包的方法:

1,运行下面命令来从所有网卡中捕获数据包:

tcpdump -i any

2,从指定网卡中捕获数据包

tcpdump -i eth0

3,指定网卡,IP地址,写入文件

tcpdump -i eth0 host 10.19.150.242 -w ./datdump.cap

4,指定网卡,源ip 且 目的ip,写入文件

tcpdump -i eth0 src host 10.10.100.19 and dst host 10.10.100.153 -w ./datdump1.cap

5,指定网卡,源ip 或 目的ip,写入文件

tcpdump -i eth0 src host 10.10.100.19 or dst host 10.10.100.153 -w ./datdump1.cap

6,指定网卡,tcp端口 且 源ip 且 目的ip,写入文件

tcpdump -i eth0 tcp port 52312 and src host 10.10.100.19 and dst host 10.10.100.153 -w ./datdump3.cap

7,指定网卡,tcp端口 且 源ip 且 目的ip,写入文件

tcpdump -i eth0 host ! 10.10.100.19 and ! 10.10.100.153 -w ./datdump4.cap

8,只抓取sync的数据包 具体什么意思,详见

tcpdump -i eth0 tcp[13] == 2 -w ./datdump5.cap

9,只抓取HTTP包

tcpdump -i eth0 \'tcp[(tcp[12]>>2):4] = 0x48545450\' -w ./datdump5.cap

10,只抓取ip数据帧中没有数据的包,详见

tcpdump -i eth0 \'((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0\' -w ./datdump6.cap

tcpdump [ 选项 ] [ -c 数量 ] [ -i 网络接口 ] [ -w 文件名 ] [ 表达式 ]

man tcpdump


tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]

​    [ -c count ]

​    [ -C file_size ] [ -G rotate_seconds ] [ -F file ]

​    [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]

​    [ --number ] [ -Q in|out|inout ]

​    [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ]

​    [ -W filecount ]

​    [ -E spi@ipaddr algo:secret,... ]

​    [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]

​    [ --time-stamp-precision=tstamp_precision ]

​    [ --immediate-mode ] [ --version ]

​    [ expression ]



选项翻译如下: 

-l:使标准输出变为缓冲行形式;

-c:抓包次数;

-nn:直接以 IP 及 Port Number 显示,而非主机名与服务名称;

-s :<数据包大小> 设置每个数据包的大小;

-i:指定监听的网络接口;

-r:从指定的文件中读取包;

-w:输出信息保存到指定文件;

-a:将网络地址和广播地址转变成名字;

-d:将匹配信息包的代码以人们能够理解的汇编格式给出;

-e:在输出行打印出数据链路层的头部信息;

-f:将外部的Internet地址以数字的形式打印出来;

-t:在输出的每一行不打印时间戳;

-v :输出稍微详细的报文信息;--vv则输出更详细信息。

抓取带有特殊标记的数据包

https://www.jb51.net/LINUXjishu/118388.html?pc

示例:抓取只包含SYN位的数据包

1.客户端发送SYN

2.服务端回应SYN和ACK

3.客户端发送ACK

现在我们仅捕获包含SYN位的数据包。 注意,不希望步骤2(SYN-ACK)的数据包,只是一个普通的初始SYN。

tcp头的结构

TCP头包含20个字节固定长度的数据(上图中的前4行),而控制位位于第13个字节(字节计算从0开始)

只看我们感兴趣的控制位:

这些是我们感兴趣的TCP控制位。我们对这个八位组中的位进行了编号,从0到7,从右到左,所以PSH位是位编号3,而URG位是编号5,SYN位是2。

如果只包含 SYN 位,那就是 tcp头的第13个字节(0开始)的值为2,即tcp[13] == 2。

tcpdump -i eth0 tcp[13] == 2 -w ./datdump5.cap

如果抓取包含SYN位的数据包

tcpdump -i eth0 \'tcp[13] & 2 == 2\' -w ./datdump5.cap

示例:只抓取ip数据包没有数据的包

tcpdump -i eth0 \'((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) == 0\' -w ./datdump6.cap

ip[2:2]

表示整个ip数据包总长度,即ip头的第2个字节(0开始)开始的两个字节(2,3)的值。

(ip[0]&0xf)<<2

ip头的第0个字节取低4位,然后左移两位(乘4),即ip头的长度。乘4的原因是首部长度表示有多少个32位的数据。

(tcp[12]&0xf0)>>2)

表示tcp头的长度。

示例:只抓取http数据包

tcpdump -i eth0 \'tcp[(tcp[12]>>2):4] = 0x47455420\' -w ./datdump5.cap

tcp[(tcp[12]>>2):4] 表示tcp头部之后的4个字节的值,0x47455420 就是HTTP的16进制。

以上是关于在linux中使用tcpdump抓包的方法:的主要内容,如果未能解决你的问题,请参考以下文章

Linux 抓包工具 tcpdump

TCPDUMP 抓包 怎么查看 抓的包的内容

Linux 抓包工具——tcpdump

TCPDUMP 抓包 怎么查看 抓的包的内容

关于在linux中使用tcpdump命令进行简单的抓包操作方法

tcpdump 常见问题