tcpdump抓包命令
tcpdump是乙個用於擷取網路分組，並輸出分組內容的工具。tcpdump憑藉強大的功能和靈活的擷取策略，使其成為類unix系統下用於網路分析和問題排查的首選工具。
選項介紹
-a 以ascii格式列印出所有分組，並將鏈路層的頭最小化。
-c 在收到指定的數量的分組後，tcpdump就會停止。
-c 在將乙個原始分組寫入檔案之前，檢查檔案當前的大小是否超過了引數file_size 中指定的大小。如果超過了指定大小，則關閉當前檔案，然後在開啟乙個新的檔案。引數 file_size 的單位是兆位元組（是1,000,000位元組，而不是1,048,576位元組）。
-d 將匹配資訊包的**以人們能夠理解的彙編格式給出。
-dd 將匹配資訊包的**以c語言程式段的格式給出。
-ddd 將匹配資訊包的**以十進位制的形式給出。
-d 列印出系統中所有可以用tcpdump截包的網路介面。
-e 在輸出行列印出資料鏈路層的頭部資訊。
-e 用spi@ipaddr algo:secret解密那些以addr作為位址，並且包含了安全引數索引值spi的ipsec esp分組。
-f 將外部的internet位址以數字的形式列印出來。
-f 從指定的檔案中讀取表示式，忽略命令列中給出的表示式。
-i 指定監聽的網路介面。
-l 使標準輸出變為緩衝行形式，可以把資料匯出到檔案。
-l 列出網路介面的已知資料鏈路。
-m 從檔案module中匯入smi mib模組定義。該引數可以被使用多次，以匯入多個mib模組。
-m 如果tcp報文中存在tcp-md5選項，則需要用secret作為共享的驗證碼用於驗證tcp-md5選選項摘要（詳情可參考rfc 2385）。
-b 在資料-鏈路層上選擇協議，包括ip、arp、rarp、ipx都是這一層的。
-n 不把網路位址轉換成名字。
-nn 不進行埠名稱的轉換。
-n 不輸出主機名中的網域名稱部分。例如，『nic.ddn.mil『只輸出』nic『。
-t 在輸出的每一行不列印時間戳。
-o 不執行分組分組匹配（packet-matching）**優化程式。
-p 不將網路介面設定成混雜模式。
-q 快速輸出。只輸出較少的協議資訊。
-r 從指定的檔案中讀取包(這些包一般通過-w選項產生)。
-s 將tcp的序列號以絕對值形式輸出，而不是相對值。
-s 從每個分組中讀取最開始的snaplen個位元組，而不是預設的68個位元組。
-t 將監聽到的包直接解釋為指定的型別的報文，常見的型別有rpc遠端過程呼叫）和snmp（簡單網路管理協議；）。
-t 不在每一行中輸出時間戳。
-tt 在每一行中輸出非格式化的時間戳。
-ttt 輸出本行和前面一行之間的時間差。
-tttt 在每一行中輸出由date處理的預設格式的時間戳。
-u 輸出未解碼的nfs控制代碼。
-v 輸出乙個稍微詳細的資訊，例如在ip包中可以包括ttl和服務型別的資訊。
-vv 輸出詳細的報文資訊。
-w 直接將分組寫入檔案中，而不是不分析並列印出來。
第一種是關於型別的關鍵字，主要包括host，net，port，例如 host 210.27.48.2， 指明 210.27.48.2是一台主機，net 202.0.0.0指明202.0.0.0是乙個網路位址，port 23 指明埠號是23。如果沒有指定型別，預設的型別是host。
第二種是確定傳輸方向的關鍵字，主要包括src，dst，dst or src，dst and src。舉例說明，src 210.27.48.2 ，指明ip包中源位址是 210.27.48.2 ， dst net 202.0.0.0 指明目的網路位址是202.0.0.0。如果沒有指明 方向關鍵字，則預設是src or dst關鍵字。
第三種是協議的關鍵字，主要包括fddi，ip，arp，rarp，tcp，udp等型別。fddi指明是在fddi (分布式光纖資料介面網路)上的特定的網路協議，實際上它是」ether」的別名，fddi和ether 具有類似的源位址和目的位址，所以可以將fddi協議包當作ether的包進行處理和分析。 其他的幾個關鍵字就是指明了監聽的包的協議內容。如果沒有指定任何協議，則tcpdump 將會 監聽所有協議的資訊包。
其他重要的關鍵字如下：gateway， broadcast，less， greater， 還有三種邏輯運算，取非運算是 『not ' '! 『， 與運算是』and』，』&&';或運算是』or』 ，』||』； 這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要。
輸出結果介紹
介紹幾種典型的tcpdump命令的輸出資訊
(1) 資料鏈路層頭資訊
使用命令：
#tcpdump --e host ice
ice 是一台裝有linux的主機。它的mac位址是0：90：27：58：af：1a h219是一台裝有solaris的sun工作站。它的mac位址是8：0：20：79：5b：46； 上一條命令的輸出結果如下所示：
引用21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice. telne t 0:0(0) ack 22535 win 8760 (df)
21：50：12是顯示的時間， 847509是id號，eth0 《表示從網路介面eth0接收該分組， eth0 >表示從網路介面裝置傳送分組， 8:0:20:79:5b:46是主機h219的mac位址， 它表明是從源位址h219發來的分組. 0:90:27:58:af:1a是主機ice的mac位址， 表示該分組的目的位址是ice。 ip 是表明該分組是ip分組，60 是分組的長度， h219.33357 > ice. telnet 表明該分組是從主機h219的33357埠發往主機ice的 telnet(23)埠。 ack 22535 表明對序列號是222535的包進行響應。 win 8760表明發 送視窗的大小是8760。
(2) arp包的tcpdump輸出資訊
使用命令：
#tcpdump arp
得到的輸出結果是：
引用22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)
22:32:42是時間戳， 802509是id號， eth0 >表明從主機發出該分組，arp表明是arp請求包， who-has route tell ice表明是主機ice請求主機route的mac位址。 0:90:27:58:af:1a是主機 ice的mac位址。
舉例
(1) 想要截獲所有210.27.48.1 的主機收到的和發出的所有的分組：
#tcpdump host 210.27.48.1
(2) 想要截獲主機210.27.48.1 和主機210.27.48.2或210.27.48.3的通訊，使用命令（注意：括號前的反斜槓是必須的）：
#tcpdump host 210.27.48.1 and
210.27.48.2or
210.27.48.3
(3) 如果想要獲取主機210.27.48.1除了和主機210.27.48.2之外所有主機通訊的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
使用 tcpdump --help 來檢視一下使用方法
擷取本機（192.168.31.147）和主機114.114.114.114之間的資料
tcpdump -n -i eth0 host 192.168.31.147 and 114.114.114.114
Tcpdump抓包命令使用
tcpdump命令需要使用root執行 檢視網絡卡命令 ifconfig 監視編址到指定埠的tcp或udp資料報，那麼執行以下命令 tcpdump i eth0 host 10.43.159.11 and port 8983 輸出資訊到檔案 tcpdump i eth0 host 10.43.159...
tcpdump抓包命令介紹
tcpdump抓包命令 tcpdump vv s 0 i eth0 port 3306 w 123 a.txt tcpdump nnr a.txt more tcpdump是乙個用於擷取網路分組，並輸出分組內容的工具。tcpdump憑藉強大的功能和靈活的擷取策略，使其成為類unix系統下用於網路分析...
tcpdump命令抓包神器
一 語法 1.1.型別的關鍵字 關鍵字意義 host 指定一台主機 net指定乙個網路位址 port 指定埠號 1.2.確定方向的關鍵字 關鍵字意義 src xx.xx.xx.xx ip包源位址是xx.xx.xx.xx dst xx.xx.xx.xx ip包目的位址是xx.xx.xx.xx 1.3....