tcpdump使用

tcpdump主要选项

类型

host, net, port

方向

src, dst, src or   dst, src and dst

协议

ip, tcp, udp,   arp, rarp, ether, fddi

逻辑

and, or, not 或者 &&, ||, !

选项

-i指定网卡, -n显示ip, -A文本显示

-c抓包数, -x/-xx/-X/-XX二进制显示, -r读, -w写

 

 

 

监听来自192.168.1.10 或 192.168.1.11的80端口:

tcpdump port 80 and \(src 192.168.1.10 or src 192.168.1.11\)

注:括号需要转义

 

 

选项

-i:指定网卡。

-n:显示ip,而不是主机名。

-c:指定抓多少个包后退出。

-A:以ASCII方式显示包内容,这个选项对文本格式的协议包非常有用。

-s:指定抓包显示一行的宽度,-s0表示显示完整的包,经常和-A一起用。

-x/-xx/-X/-XX:以十六进制显示包内容,几个选项只有细微的差别,详见man手册。

-vv:详细信息。

-r:从文件中读取。

-w:导出到指定文件。

监听来自172.25.38.145到端口7012的数据,并到处到指定文件:

tcpdump tcp dst port 7012 and src host 172.25.38.145 -vv –w output.dat

从指定文件加载监听数据:

tcpdump -r output.dat

监听网卡eth1端口7012的数据:

tcpdump tcp port 7012 -ieth1 –n

 

 

每一行中间都有这个包所携带的标志:

S=SYN,发起连接标志。

P=PUSH,传送数据标志。

F=FIN,关闭连接标志。

ack    表示确认包。

RST=RESET,异常关闭连接。

. 表示没有任何标志。

 

 

抓192.168.1.123的80端口和110和25以外的其他端口的包 

tcpdump -i eth1 host 192.168.1.123 and ! port 80 and ! port 25 and ! port 110 -w /tmp/xxx.cap 

抓vlan 1的包 

tcpdump -i eth1 port 80 and vlan 1 -w /tmp/xxx.cap 

抓pppoe的密码 

tcpdump -i eth1 pppoes -w /tmp/xxx.cap 

以100m大小分割保存文件, 超过100m另开一个文件 -C 100m 

抓10000个包后退出 -c 10000 

后台抓包, 控制台退出也不会影响: 

nohup tcpdump -i eth1 port 110 -w /tmp/xxx.cap & 

抓下来的文件可以直接用ethereal 或者wireshark打开。

你可能感兴趣的:(C++,c,.net,F#,C#)