tcpdump常用參數說明及常見操作

tcpdump常用參數說明及常見操作

• -a 　　　將網絡地址和廣播地址轉變成名字
• -c 　　　指定抓包的數量
• -d 　　　將匹配信息包的代碼以人們能夠理解的匯編格式給出
• -dd 　　 將匹配信息包的代碼以c語言程序段的格式給出
• -ddd 　　將匹配信息包的代碼以十進制的形式給出
• -e 　　　在輸出行打印出數據鏈路層的頭部信息
• -f 　　　將外部的Internet地址以數字的形式打印出來
• -l 　　　使標准輸出變為緩沖行形式
• -n 　　　不把網絡地址轉換成名字
• -nnn 　　禁用tcpdump展示時把IP、端口等轉換為域名、端口對應的知名服務名稱，這樣看起來更加清晰
• -t 　　　在輸出的每一行不打印時間戳
• -v 　　　輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息
• -vv 　　 輸出詳細的報文信息
• -c 　　　在收到指定的包的數目后，tcpdump就會停止
• -F 　　　從指定的文件中讀取表達式,忽略其它的表達式
• -i 　　　指定監聽的網絡接口
• -r 　　　從指定的文件中讀取包(這些包一般通過-w選項產生)
• -w 　　　直接將包寫入文件中，並不分析和打印出來
• -T 　　　將監聽到的包直接解釋為指定的類型的報文，常見的類型有rpc (遠程過程調用)和snmp(簡單網絡管理協議)

過濾協議：tcp、udp、ipv4、ipv6、arp、icmp

tcpdump 實例

1、抓取包含10.10.10.122的數據包 
# tcpdump -i eth0 -vnn host 10.10.10.122
 
2、抓取包含10.10.10.0/24網段的數據包
# tcpdump -i eth0 -vnn net 10.10.10.0/24
 
3、抓取包含端口22(非22端口)的數據包
# tcpdump -i eth0 -vnn port 22 
# tcpdump -i eth0 -vnn port ! 22 
 
4、抓取udp協議的數據包
# tcpdump -i eth0 -vnn udp
 
5、抓取icmp協議的數據包
# tcpdump -i eth0 -vnn icmp

6、抓取arp協議的數據包
# tcpdump -i eth0 -vnn arp
 
7、抓取ip協議的數據包
# tcpdump -i eth0 -vnn ip
 
8、抓取源ip是10.10.10.122數據包。
# tcpdump -i eth0 -vnn src host 10.10.10.122
 
9、抓取目的ip是10.10.10.122數據包
# tcpdump -i eth0 -vnn dst host 10.10.10.122
 
10、抓取源端口是22的數據包
# tcpdump -i eth0 -vnn src port 22
 
11、抓取源ip是10.10.10.253且目的ip是22的數據包
# tcpdump -i eth0 -vnn src host 10.10.10.253 and dst port 22
                 
12、抓取源ip是10.10.10.122或者包含端口是22的數據包
# tcpdump -i eth0 -vnn src host 10.10.10.122 or port 22
 
13、抓取源ip是10.10.10.122且端口不是22的數據包
# tcpdump -i eth0 -vnn src host 10.10.10.122 and not port 22

14、抓取源ip是10.10.10.2且目的端口是22，或源ip是10.10.10.65且目的端口是80的數據包。
# tcpdump -i eth0 -vnn \( src host 10.10.10.2 and dst port 22 \) or  \( src host 10.10.10.65 and dst port 80 \)
 
15、抓取源ip是10.10.10.59且目的端口是22，或源ip是10.10.10.68且目的端口是80的數據包。
# tcpdump -i eth0 -vnn 'src host 10.10.10.59 and dst port 22' or 'src host 10.10.10.68 and dst port 80'
 
16、把抓取的數據包記錄存到/tmp/fill文件中，當抓取100個數據包后就退出程序。
# tcpdump –i eth0 -vnn -w /tmp/file -c 100