使用Tcpdump捕获SSH流量

环境

本地Windows主机安装Xshell，连接Linux云服务器安装tcpdump

一、安装tcpdump（Ubuntu版本）

sudo apt install tcpdump

二、运行tcpdump（SSH协议，分组限制，保存文件，后台记录）

tcpdump port ssh -c 1000 -w result.pcap &

三、安装上传下载工具（lrzsz）

sudo apt install lrzsz

四、上传一个文件产生大量的SSH流量

rz

五、保存pcap文件到本地Windows主机

sz result.pcap

六、总结

1、xshell连接云服务器是采用SSH协议连接的，输入代码、上传下载都会产生SSH流量。

2、上传过程中达到1000个ssh分组就会自动结束tcpdump程序，并保存文件在用户文件夹。

3、用Windows系统下的WireShark打开pcap文件进行后续分析

4、查阅资料后总结出的最简单的方法了。