tcpdump命令

  sre

tcpdump是linux命令行下常用的的一个抓包工具,需要root权限
结果中每一行的各个数据表示的含义:抓到包的时间 IP 发包的主机和端口 > 接收的主机和端口 数据包内容
tcpdump [-i 网卡] -nnAX ‘表达式’
各参数说明如下:
-i:interface 监听的网卡。
-nn:表示以ip和port的方式显示来源主机和目的主机,而不是用主机名和服务。
-A:以ascii的方式显示数据包,抓取web数据时很有用。
-X:数据包将会以16进制和ascii的方式显示。
表达式:表达式有很多种,常见的有:host 主机;port 端口;src host 发包主机;dst host 收包主机。多个条件可以用and、or组合,取反可以使用!,更多的使用可以查看man 7 pcap-filter。
tcpdump -i eth0 -nn ‘icmp’ 监听icmp协议的数据,就是ping命令使用的协议。

监听指定的主机
tcpdump -i eth0 -nn ‘host 192.168.1.231’
这样的话,192.168.1.231这台主机接收到的包和发送的包都会被抓取。
tcpdump -i eth0 -nn ‘src host 192.168.1.231’
这样只有192.168.1.231这台主机发送的包才会被抓取。
tcpdump -i eth0 -nn ‘dst host 192.168.1.231’
这样只有192.168.1.231这台主机接收到的包才会被抓取。

监听指定端口 tcpdump -i eth0 -nnA ‘port 80’
上例是用来监听主机的80端口收到和发送的所有数据包

监听指定主机和端口
tcpdump -i eth0 -nnA ‘port 80 and src host 192.168.1.231’
多个条件可以用and,or连接。上例表示监听192.168.1.231主机通过80端口发送的数据包。

监听除某个端口外的其它端口 tcpdump -i eth0 -nnA ‘!port 22’
如果需要排除某个端口或者主机,可以使用“!”符号,上例表示监听非22端口的数据包。

3 thoughts on - tcpdump命令

  • 抓http包:
    tcpdump -A -s 0 ‘tcp port 80 and (((ip[2:2] – ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)’
    tcpdump -X -s 0 ‘tcp port 80 and (((ip[2:2] – ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)’

  • tcpdump -A -s 0 ‘tcp port 80 and (((ip[2:2] – ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)’ -i lo

LEAVE A COMMENT

Captcha Code