TCPDump可以将网络中传送的数据包完全截获下来提供分析,有助于判断网络故障所在
语法
[root@liukai ~]# tcpdump [-AennqX] [-i] [- w ] [-c] [-r ]
选项与参数
-A 数据包的内容以ASCII显示,通常用来抓取www的网页数据包数据
-e 输出的每行中都将包括数据链路层头部信息,例如源MAC和目标MAC。
-n 对地址以数字方式显式,否则显式为主机名,也就是说-n选项不做主机名解析。
-nn 除了-n的作用外,还把端口显示为数值,否则显示端口服务名。
-q 快速打印输出。即打印很少的协议相关信息,从而输出行都比较简短。
-X 输出包的头部数据,会以16进制和ASCII两种方式同时输出。
-XX 输出包的头部数据,会以16进制和ASCII两种方式同时输出,更详细。
-i 后面接监听的端口,如eth0、ens33等
-w 将监听所得的数据包数据存储下来,后面接文件名。
-r 从后面接的文件将数据包数据读出来,这个文件是已经存在的文件。并且是由-w制作出来的
案例
tcpdump -i eth0 -nn //以ip与端口号获取eth0网卡上的数据包
tcpdump -i eth0 -nn port 22 //仅获取端口22的数据包
以下案例转自简书天天向上_ac78
tcpdump示例
==tcpdump只能抓取流经本机的数据包 ==
默认启动
tcpdump 默认情况下,直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多,滚动非常快。
. 监视指定网络接口的数据包
tcpdump -i ens33
监视指定主机的数据包,例如所有进入或离开node1的数据包
tcpdump -i ens33 host node1
打印node1<-->node2或node1<-->node3之间通信的数据包
tcpdump -i ens33 host node1 and \(node2 or node3\)
打印node1与任何其他主机之间通信的IP数据包,但不包括与node4之间的数据包
tcpdump -i ens33 host node1 and not node4
截获主机node1 发送的所有数据
tcpdump -i ens33 src host node1
监视所有发送到主机node1 的数据包
tcpdump -i ens33 dst host node1
监视指定主机和端口的数据包
tcpdump -i ens33 port 8080 and host node1
监视指定网络的数据包,如本机与192.168网段通信的数据包,"-c 10"表示只抓取10个包
tcpdump -i ens33 -c 10 net 192.168
打印所有通过网关snup的ftp数据包
tcpdump 'gateway snup and (port ftp or ftp-data)'
注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析
抓取ping包
tcpdump -c 5 -nn -i ens33
==指定主机抓ping包==
tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62
抓取到本机22端口包
tcpdump -c 10 -nn -i ens33 tcp dst port 22
解析包数据
tcpdump -c 2 -q -XX -vvv -nn -i ens33 tcp dst port 22