Linux tcpdump命令使用方法

    tcpdump是Linux上常用的抓包命令，用于截取网络分组并输出分组内容，常用于网络问题分析和排查。tcpdump工具经常用于分析定位问题，比如多服务器间的消息发送、接收码流分析，界定消息发送、接收情况。消息发送时延等。

tcpdump语法

  tcpdump [-i 接口] [-nn] [-w 文件名] [-c 次数] [-Ae][-qX] [过滤条件]   

-i 指定监听的网络接口。默认为eth0。-i any 表示抓取所有抓取所有网络接口的包。

-A 以ASCII格式打印出所有分组，并将链路层的头最小化。

-c 在收到指定的数量的分组后，tcpdump就会停止。如果没有这个参数，tcpdump会持续不断的监听，直到用户输入ctrl+c为止。

-n 不把网络地址转换成名字。

-nn 直接以IP及端口号显示，而不是主机名与服务名

-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。

-vv 输出详细的报文信息。

-w 抓包结果写入文件

-r 读取抓包结果。文件为-w所生成

  tcpdump命令带上指定参数可以更精确的获取需要的信息，避免截取过多的无用信息。以上是个人常用参数，还有很多参数自己不常使用所以不一一列出。

tcpdump常用实例

（1）获取主机192.168.0.0和主机192.168.0.1的所有分组

tcpdump -i eth1 -A -nn -s 0 -w catch.cap host 192.168.0.0 and host 192.168.0.1

（2）获取主机192.168.0.0和主机192.168.0.1或192.168.0.2的所有分组

tcpdump -i eth1 -A -nn -s 0 -w catch.cap host 192.168.0.0 and host 192.168.0.1 or 192.168.0.2

（3）获取主机192.168.0.0、端口号为10005和主机192.168.0.1的所有分组

tcpdump -i eth1 -A -nn -s 0 -w catch.cap port 10005 host 192.168.0.0 and host 192.168.0.1

（4）获取发送给目标主机为192.168.0.1的所有分组

tcpdump -i any dst 192.168.0.1

（5）获取本机端口为7776所有接收和发送的分组

tcpdump -i any -n src port 7776

tcpdump数据包分析

  tcpdump抓取的数据包通常是借助wireshark工具进行分析。Wireshark工具的分析方法可以参考<wireshark抓包新手使用教程>。将tcudump生成的catch.cap包导入到wireshark即可。wireshark常用过滤命令如下：

#ip地址过滤

ip.addr ==

ip.src ==

ip.dst ==

 

#tcp/udp端口过滤

tcp.port ==

udp.port ==

 

#contains关键字用法

tcp contains youku

udp contains youku

http contains ok00

 

#协议过滤

dns and http

dns or http

arp or icmp

sip and rtp

 

#http包的过滤

http.request.method== POST

http.request.method== GET

http.response.code == 200

 

#packet lost如何查看

tcp.analysis.flags tcp.flags.syn ==1

 

#tcp包的syn字段为1

tco.flags.reset ==1

 

#过滤掉不需要的包,感叹号的用法

!(arp or dns or icmp)

参考资料

1、http://blog.csdn.net/s_k_yliu/article/details/6665673/

2、http://www.itshouce.com.cn/linux/linux-tcpdump.html

3、https://segmentfault.com/a/1190000009320118