詳細的文件見tcpdump高階過濾技巧
基本語法
*****===
過濾主機
--------
- 抓取所有經過 eth1，目的或源位址是 192.168.1.1 的網路資料
# tcpdump -i eth1 host 192.168.1.1
- 源位址
# tcpdump -i eth1 src host 192.168.1.1
- 目的位址
# tcpdump -i eth1 dst host 192.168.1.1
過濾埠
--------
- 抓取所有經過 eth1，目的或源埠是 25 的網路資料
# tcpdump -i eth1 port 25
- 源埠
# tcpdump -i eth1 src port 25
- 目的埠
# tcpdump -i eth1 dst port 25網路過濾
--------
# tcpdump -i eth1 net 192.168
# tcpdump -i eth1 src net 192.168
# tcpdump -i eth1 dst net 192.168
協議過濾
--------
# tcpdump -i eth1 arp
# tcpdump -i eth1 ip
# tcpdump -i eth1 tcp
# tcpdump -i eth1 udp
# tcpdump -i eth1 icmp
常用表示式
----------
非 : ! or "not" (去掉雙引號)
且 : && or "and"
或 : || or "or"
- 抓取所有經過 eth1，目的位址是 192.168.1.254 或 192.168.1.200 埠是 80 的 tcp 資料
# tcpdump -i eth1 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host
192.168.1.200)))'
- 抓取所有經過 eth1，目標 mac 位址是 00:01:02:03:04:05 的 icmp 資料
# tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'
- 抓取所有經過 eth1，目的網路是 192.168，但目的主機不是 192.168.1.200 的 tcp 資料
# tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'
- 只抓 syn 包
# tcpdump -i eth1 'tcp[tcpflags] = tcp-syn'
- 抓 syn, ack
# tcpdump -i eth1 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack != 0'
抓 smtp 資料
----------
# tcpdump -i eth1 '((port 25) and (tcp[(tcp[12]>>2):4] = 0x4d41494c))'
抓取資料區開始為"mail"的包，"mail"的十六進製制為 0x4d41494c。
抓 http get 資料
--------------
# tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x47455420'
"get "的十六進製制是 47455420
抓 ssh 返回
---------
# tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x5353482d'
"ssh-"的十六進製制是 0x5353482d
# tcpdump -i eth1 '(tcp[(tcp[12]>>2):4] = 0x5353482d) and (tcp[((tcp[12]>>2)+4):2]
= 0x312e)'抓老版本的 ssh 返回資訊，如"ssh-1.99.."
- 抓 dns 請求資料
# tcpdump -i eth1 udp dst port 53
其他----
-c 引數對於運維人員來說也比較常用，因為流量比較大的伺服器，靠人工 ctrl+c 還是
抓的太多，於是可以用-c 引數指定抓多少個包。
# time tcpdump -nn -i eth0 'tcp[tcpflags] = tcp-syn' -c 10000 > /dev/null
上面的命令計算抓 10000 個 syn 包花費多少時間，可以判斷訪問量大概是多少。
實時抓取埠號8000的get包，然後寫入get.log
tcpdump -i eth0 '((port 8000) and (tcp[(tcp[12]>>2):4]=0x47455420))' -nnal -w /tmp/get.log
na tcpdump非常實用的抓包例項
基本語法篇 常用應用 過濾物理口 過濾某個port ip mac 過濾協議 顯示ip mac port不解析等tcpdump i eth0 ether host 24 df 6a f4 59 14 nnetcpdump host 192.168.1.12 不接 i表示所有介面 抓取所有經過 eth0...
tcpdump本機抓包
在進行網路測試 的時候,我們經常需要進行抓包的工作,當然有許多測試 工具可以使用,比如sniffer,ethreal等.但最為方便和簡單得就非tcpdump莫屬.linux的發行版裡基本都包括了這個工具.tcpdump將網路介面設定成混雜模式以便捕獲到達的每乙個資料報.下面給出tcpdump的部分常...
TCPdump抓包命令
tcpdump抓包命令 tcpdump是乙個用於擷取網路分組，並輸出分組內容的工具。tcpdump憑藉強大的功能和靈活的擷取策略，使其成為類unix系統下用於網路分析和問題排查的首選工具。選項介紹 a 以ascii格式列印出所有分組，並將鏈路層的頭最小化。c 在收到指定的數量的分組後，tcpdump...