mac下tcpdum安装及使用

安装:        

        在 macOS 上,可以通过 Homebrew 安装 tcpdump 工具。下面是安装和使用 tcpdump 的步骤:

  1. 打开终端应用程序,输入以下命令安装 Homebrew(如果你已经安装了 Homebrew,可以跳过这一步):

    /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
    
  2. 安装 tcpdump:

    brew install tcpdump
    
  3. 确认安装是否成功:

    tcpdump --version
    
  4. 使用 tcpdump 抓取网络数据包:

    sudo tcpdump -i en0
    
    # 这将抓取 en0 网络接口的数据包,并在终端中显示它们的内容。
    
    # 注意:需要使用 sudo 命令运行 tcpdump,因为它需要 root 权限才能访问网络接口。

  5.  使用tcpdump抓取指定ip的命令:

    sudo tcpdump host 
    # 将  替换为您要抓取的IP地址。此命令需要使用管理员权限,因为它需要访问网络设备。
    

使用:

命令功能

tcpdump:在网络上抓取并转储流量报文。

命令格式

tcpdump采用命令行方式对接口的数据包进行筛选抓取,其丰富特性表现在灵活的表达式上。

不带任何选项的tcpdump,默认会抓取第一个网络接口,且只有将tcpdump进程终止才会停止抓包。

Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
        [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
        [ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
        [ -Q in|out|inout ]
        [ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
        [ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
        [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
        [ -Z user ] [ expression ]
  
注意:
    tcpdump只能抓取流经本机的数据包!!


命令参数:

tcpdump -a    |--将网络地址和广播地址转变成名字;
        -A 
        -B
        -c    |--指定要抓取的包数量。注意,是最终要获取这么多个包。例如,指定"-c 10"将获取10个包,但可能已经处理了100个包,只不过只有10个包是满足条件的包。
        -C    |--在将一个原始分组写入文件之前,检查文件当前的大小是否超过了参数file_size中指定的大小。如果超过了指定大小,则关闭当前文件,然后在打开一个新的文件。
        -d    |--将匹配信息包的代码以人们能够理解的汇编格式给出;
        -dd   |--将匹配信息包的代码以c语言程序段的格式给出;
        -ddd  |--将匹配信息包的代码以十进制的形式给出;
        -D    |--列出可用于抓包的接口。将会列出接口的数值编号和接口名,它们都可以用于"-i"后。
        -e    |--输出的每行中都将包括数据链路层头部信息,例如源MAC和目标MAC。
        -G
        -f    |--将外部的Internet地址以数字的形式打印出来;
        -F    |--从文件中读取抓包的表达式。若使用该选项,则命令行中给定的其他表达式都将失效。
        -i    |--指定tcpdump需要监听的接口。若未指定该选项,将从系统接口列表中搜寻编号最小的已配置好的接口
        -I    |--使标准输出变为缓冲行形式;
        -j
        -m
        -M
        -n    |--对地址以数字方式显式,否则显式为主机名,也就是说-n选项不做主机名解析。
        -nn   |--指定将每个监听到的数据包中的域名转换成IP、端口从应用名称转换成端口号后显示
        -N    |--不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil'。
        -p    |--将网卡设置为非混杂模式,不能与host或broadcast一起使用;
        -P    |--指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout",默认为"inout"。
        -q    |--快速打印输出。即打印很少的协议相关信息,从而输出行都比较简短。
        -r    |--从指定的文件中读取包(这些包一般通过-w选项产生);
        -S    |--将tcp的序列号以绝对值形式输出,而不是相对值。
        -s    |--从每个分组中读取最开始的snaplen个字节,而不是默认的68个字节。 
        -v    |--输出一个稍微详细的信息,例如在ip包中可以包括ttl和服务类型的信息;
        -vv   |--输出详细的报文信息;
        -V
        -s    |--设置tcpdump的数据包抓取长度为len,如果不设置默认将会是68字节。
        -t    |--在输出的每一行不打印时间戳;
        -T    |--将监听到的包直接解释为指定的类型的报文,常见的类型有rpc (远程过程调用)和snmp(简单网络管理协议;)
        -v    |--当分析和打印的时候,产生详细的输出。
        -vv   |--产生比-v更详细的输出。
        -vvv  |--产生比-vv更详细的输出。
        -w    |--将抓包数据输出到文件中而不是标准输出。
        -W
        -X    |--输出包的头部数据,会以16进制和ASCII两种方式同时输出。
        -XX   |--输出包的头部数据,会以16进制和ASCII两种方式同时输出,更详细。
        -E
        -y
        -z
        -Z 


常用的tcpdump表达式:

表达式用于筛选输出哪些类型的数据包,如果没有给定表达式,所有的数据包都将输出,否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。

tcpdump的表达式由一个或多个"单元"组成,每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符:

(1).type:指定ID的类型。

可以给定的值有host/net/port/portrange。例如"host foo","net 128.3","port 20","portrange 6000-6008"。默认的type为host。

(2).dir:指定ID的方向。

可以给定的值包括src/dst/src or dst/src and dst,默认为src or dst。例如,"src foo"表示源主机为foo的数据包,"dst net 128.3"表示目标网络为128.3的数据包,"src or dst port 22"表示源或目的端口为22的数据包。

(3).proto:通过给定协议限定匹配的数据包类型。

常用的协议有tcp/udp/arp/ip/ether/icmp等,若未给定协议类型,则匹配所有可能的类型。例如"tcp port 21","udp portrange 7000-7009"。

所以,一个基本的表达式单元格式为"proto dir type ID"

常用命令示例:


指定网口


tcpdump -i eth1 -n
    //监视指定网口eth1上的数据包(如果不用-i参数,默认tcpdump只会监视第一个网络接口,如eth0。-n是以数字方式显示地址)


指定监听协议类型

tcpdump -i eth1 -n tcp
tcpdump -i eth1 -n udp
tcpdump -i eth1 -n arp
tcpdump -i eth1 -n ip
tcpdump -i eth1 -n ether
tcpdump -i eth1 -n icmp
    //监视 eth1 上的 icmp 数据包(也可以是其他类型的包 如tcp/udp/arp/ip/ether/icmp等)


指定监听IP

tcpdump -i eth1 -n host 172.16.81.25
tcpdump -i eth1 -n src host 172.16.81.25
tcpdump -i eth1 -n dst host 172.16.81.25
    //监视 eth1 上的 IP 为 xxx.xxx.xxx.xxx 的数据包(不区分源IP和目的IP)
    //监视 eth1 上的 IP 为 xxx.xxx.xxx.xxx 的数据包(src 就是过滤源地址)
    //监视 eth1 上的 IP 为 xxx.xxx.xxx.xxx 的数据包(dst 就是过滤目的地址)


指定监听端口

tcpdump -i eth1 -n port 22223 
tcpdump -i eth1 -n src port 22223 
tcpdump -i eth1 -n dst port 22223 
    //监视指定网口 eth1 上 端口 为 22223 的数据包(不区分源端口和目的端口)
    //监视指定网口 eth1 上 端口 为 22223 的数据包(src 过滤源端口)
    //监视指定网口 eth1 上 端口 为 22223 的数据包(dst 过滤目的端口)


指定监听网段

tcpdump -i eth1 -n net 172.16
tcpdump -i eth1 -n src net 172.16
tcpdump -i eth1 -n dst net 172.16
    //监视指定网口 eth1 上 网段 为 xxx.xxx 的数据包(不区分源地址和目的地址)
    //监视指定网口 eth1 上 网段 为 xxx.xxx 的数据包(src 过滤源地址)
    //监视指定网口 eth1 上 网段 为 xxx.xxx 的数据包(dst 过滤目的地址)


指定监听mac地址

tcpdump -i eth1 -n ether src 00:a0:c9:01:01:01
tcpdump -i eth1 -n ether dst 00:a0:c9:01:01:01
    //监视指定网口 eth1 上 mac 地址为 xx:xx:xx:xx:xx:xx 的数据包(源mac地址)
    //监视指定网口 eth1 上 mac 地址为 xx:xx:xx:xx:xx:xx 的数据包(目的mac地址)


将上面的规则整合到一起.

tcpdump -i eth1 -n host 172.16.81.25 and port 22223 and net 172.16 and ether src 00:a0:c9:01:01:01 and icmp -w dump.pcap
    //将上面的规则整合在一起


解析监听内容

tcpdump -r dump.pcap
    //读取 dump.pcap 中的内容

你可能感兴趣的:(环境配置,macos,网络,linux)