tcpdump

tcpdump

例 11.3. 用tcpdump看广播包

 

tcpdump -i eth1 ip    broadcast
tcpdump -i eth1 ether broadcast
		        

 

在linux可以用-i any来看看所有的包

可以用-x和-X来显示包的全部数据（不包括ether） -x :显示数据 -X :还显示assci

用-w把收到的包保存到数据文件中，然后用-r来分析

可以用ether[x:size]来得到包的每一个byte

一些例子

例 16.1 “ 用tcpdump看vlan的包”

tcpdump ether proto 0x8100

例 16.3 “ 用tcpdump看pppoe的内容”  

 

 tcpdump ether proto 0x8863 '||' ether proto 0x8864
#ether[15]为pppoe头的第2个byte,ether包头长度为14,pppoe的第2个byte为type,意思如下，可以看pppoe协议
#PPPOE_PADI = 0x09,
#PPPOE_PADO = 0x07,
#PPPOE_PADR = 0x19,
#PPPOE_PADS = 0x65,
#PPPOE_PADT = 0xa7
#0= ppp data
tcpdump '(' ether proto 0x8863 or ether proto 0x8864 ')' and  ether[15]!=0