tcpdump抓包，并使用wireshark进行分析
---恢复内容开始---
一直想写来着，但是一直没去写，自己还是太懒了，废话不多说。
本次的使用环境是centos7，首先看下tcpdump命令的基本语法
执行：man tcpdump命令可以看到tcpdump的基本语法
我这里就不再截图了，上面对于 有兴趣的可以自己去看看，如果不方便的也可以查看这个帖子：https://blog.csdn.net/lgh1117/article/details/80213397
我这里就只介绍几种比较常用的方法：
1、过滤主机
抓取所有经过 ens33，目的或源地址是 192.168.78.1 的网络数据
tcpdump -i ens33 host 192.168.78.1
ens33是代表的是网卡，看自己的网卡名称可以直接使用ifconfig查看：
有些设备可能不是ens33.
源地址
tcpdump -i ens33 src host 192.168.78.1
目的地址
tcpdump -i ens33 dst host 192.168.78.1
2、过滤端口
抓取所有经过 ens33，目的或源端口是 8080 的网络数据
tcpdump -i ens33 port 8080
源端口
tcpdump -i ens33 src port 8080
目的端口
tcpdump -i ens33 dst port 8080
3、网络过滤
tcpdump -i ens33 net 192.168.78.1
tcpdump -i ens33 src net 192.168.78.1
tcpdump -i ens33 dst net 192.168.78.1
4、常用表达式
非 : ! 或者 not 且 : && 或者 and 或 : || 或者 or
- 抓取所有经过 ens33，目的地址是 192.168.78.1 或 192.168.1.200 端口是 80 的 TCP 数据
tcpdump -i ens33 '((tcp) and (port 80) and ((dst host 192.168.78.1) or (dst host 192.168.1.200)))'
注意事项：将每个过滤条件都用"()"给括起来，并且在最外层还要用"()"将所有条件都括起来，最后用单引号引起来就ok了。
抓取所有经过 ens33，目标 MAC 地址是 00:01:02:03:04:05 的 ICMP 数据
tcpdump -i ens33 '((icmp) and (ether dst host 00:01:02:03:04:05))'
抓取所有经过 ens33，目的网络是 192.168，但目的主机不是 192.168.1.200 的 TCP 数据
tcpdump -i ens33 '((tcp) and ((dst net 192.168) and (not dst net 192.168.1.200)))'
更多的常用命令：https://www.cnblogs.com/pyng/p/9698723.html
抓取百度网站试试，我们来练练手。
通过tcpdump截获主机www.baidu.com发送与接收的所有数据
tcpdump -i ens33 host www.baidu.com
要抓取到www.baidu.com发送的数据包，我们就需要去访问它，我们用命令
wget www.baidu.com
执行了上面的命令，才能抓取到数据包。
我们会发现抓取到的ack数值为1，这个是相对值，那怎么获取绝对值呢？
查看详细的HTTP报文：
将抓取到的结果保存到文件，命令为file1
如何采用命令读取文件的基本信息：
查看文件的详细信息，比如HTTP报文
再举个例子，我启动Django服务器，服务器ip：192.168.78.123 ，我们抓取我传输的json数据
tcpdump -i ens33 host 192.168.78.128 -w 8080.pcap
查看抓取到的详细信息：
查看三次握手和四次挥手：
采用wireshark查看数据。
关于wireshark分析三次握手，四次挥手可以看看这篇博客https://www.cnblogs.com/suddoo/p/4870591.html
详细介绍三次握手，四次挥手，可以看看这篇博客：https://blog.csdn.net/qzcsu/article/details/72861891
