Linux下tcpdump的简单使用
首先介绍一下什么是tcpdump
tcpdump是Linux下的命令行抓包分析软件,而且在Linux下抓包很好用,一般企业的Linux运行等级为3,
即多用户命令行模式,为了排错经常使用Tcpdump,tcpdump本身功能十分强大,保存的文件也可以直接使用Wireshark打开
Tcpdump抓包指南之关键字的使用
1.类型关键字: host,net,port
2.传输关键字:src,dst
3.协议关键字:tcp,udp,http,arp,ftp
一、类型关键字的使用
1.抓取单个目标IP的包
tcpdump -i host 192.168.1.1
-i 的作用是指定监听哪个网卡
2.抓取目标网段的包
tcpdump -i eth0 net 192.168.1.0/24 需要注意的是,抓取一个网段的数据包时记得带上掩码
192.168.1.0主机位为0表示网段
3.抓取指定端口的包
tcpdump -i eth0 port 22
二、按照传输关键字抓包
1.抓取源地址为XXX的包
tcpdump -i eth0 src host 192.168.1.1
2.抓取目的地址是XXX的包
tcpdump -i eth0 dst host 182.92.20.186
182.92.20.186是熊猫TV的ip地址
3.按照协议关键字抓包
例:
1.按照抓取ARP协议的包
2.抓取tcp协议包
三、Tcpdump抓包简单实战
1抓取172.16.1.122的数据包
2.抓取ICMP协议的数据包
tcpdump -i eth0 icmp
3.抓取源ip为182.92.20.186的数据包
tcpdump -i eth0 src host 182.92.20.186
4.抓取目的端口为80的数据包(80端口默认是web服务端口)
tcpdump -i eth0 dst port 80
5.抓取源ip是192.168.1.101 而且端口是22的数据包 (192.168.1.101是kali系统的IP)
tcpdump -i eth0 src host 192.168.1.101 and port 22
6..抓取源ip是192.168.1.101 而且端口不是22的数据包
tcpdump -i eth0 src host 192.168.1.101 and not port 22
7.把抓取的数据包记录到/tmp/chao.txt 文件中,当抓取10个数据包后退出
tcpdump -i eth0 -vnn -w /tmp/chao.txt -c 10
8.将抓包结果输出为cap格式的文件,可以在Wireshark和其他软件中打开