Linux tcpdump 命令使用详解

文章目录 一、介绍 二、基础用法 三、进阶用法 四、总结和建议 一、介绍 在日常工作中，我们总是能遇上各种各样奇怪的网络问题，比如我这台机器怎么 ping 不通了，我的 ssh 怎么又连不上了，这个控制台怎么又访问不了了等等各种网络问题，当然有时候可以通过 ping、telnet、arp 这些命令和工具来排查和解决，但这些都比不上去抓个包来得实在，也就是下面要分享的 tcpdump 命令。   tcpdump 是 Linux 系统中最有效的网络工具之一，凡是有网络问题十有八九都可以用它快速定位。它运行在用户态，本质是通过调用 libpcap 库的各种 api 来实现数据包的抓取功能。tcpdump 是非常强大的，并且相较其他的 Linux 命令和工具而且要稍微复杂一些，我们没必要完全掌握它，关键是灵活运用，能解决实际问题就好了。   二、基础用法 1、监听网卡 eth0，这个方式最简单了，但是用处不多，因为基本上只能看到数据包的信息刷屏，压根看不清，可以使用 ctrl+c 中断退出，如果真有需求，可以将输出内容重定向到一个文件，这样也更方便查看。   [root@benarchen ~]# tcpdump -i eth0 #如果直接使用 tcpdump 一般是抓取除 lo 外的第一张网卡 1 1 2、监听指定的主机的流量，抓包时指定 -nn 选项，不解析主机和端口名。这个参数很关键，会影响抓包的性能，一般抓包时都需要指定该选项。   [root@benarchen ~]# tcpdump -i eth0 -nn 'host 192.168.1.231' 这样的话，192.168.1.231 这台主机接收到的包和发送的包都会被抓取。 [root@benarchen ~]# tcpdump -i eth0 -nn 'src host 192.168.1.231' 这样只有 192.168.1.231 这台主机发送的包才会被抓取。 [root@benarchen ~]# tcpdump -i eth0 -nn 'dst host 192.168.1.231' 这样只有 192.168.1.231 这台主机接收到的包才会被抓取。 1 2 3 4 5 6 1 2 3 4 5 6 3、监听指定端口，用来监听主机的 80 端口收到和发送的所有数据包，结合 -A （以 ascii 的方式显示数据包）参数，在 web 开发中，真是非常有用。   [root@benarchen ~]# tcpdump -i eth0 -nnA 'port 80' 1 1 4、监听指定主机和端口   [root@benarchen ~]# tcpdump -i eth0 -nnA 'port 80 and src host 192.168.1.231' #多个条件可以用 and，or 连接。上例表示监听 192.168.1.231 主机通过 80 端口发送的数据包。 1 2 1 2 5、监听除某个端口外的其它端口   [root@benarchen ~]# tcpdump -i eth0 -nnA '!port 22' #如果需要排除某个端口或者主机，可以使用 “!” 符号，上例表示监听非 22 端口的数据包。 1 2 1 2 6、抓取指定端口范围的流量   [root@benarchen ~]# tcpdump -ni eth0 portrange 80-9000 1 1 7、抓取指定网段的流量   [root@benarchen ~]# tcpdump -ni eth0 net 192.168.1.0/24 1 1 8、监听指定协议的数据，这个是用来监听 icmp 协议的数据，类似的，如果要监听 tcp或者是 udp 协议，只需要例中的 icmp 就可以了。   [root@benarchen ~]# tcpdump -i eth0 -nn 'icmp' 1 1 9、将数据输出到一个指定的文件   [root@benarchen ~]# tcpdump -i eth0 -nn port 8000 -w xxx.pcap 1 1 三、进阶用法 这里我说的进阶用法，其实也就是基础用法通过灵活组合的方式以达到解决问题的效果，这也正是 tcpdump 的强大之处。 1、抓取指定客户端访问 ssh 的数据包   [root@benarchen ~]# tcpdump -ni eth0 src 113.88.13.223 and dst port 22 # 也可以反过来，抓取本机 22 端口发送给指定客户端的数据包 [root@benarchen ~]# tcpdump -ni eth0 src port 22 and dst 113.88.13.223 1 2 3 1 2 3 2、抓取从某个网段来，到某个网段去的流量   [root@benarchen ~]# tcpdump -nn src net 113.88.13.223/32 and dst net 10.0.0.0/24 or 172.17.0.0/16   1 1 3、抓取来自某个主机，发往非 ssh 端口的流量   [root@benarchen ~]# tcpdump -nni eth0 src 113.88.13.223 and not dst port 22 1 1 4、在某些复杂查询的时候需要使用引号、单引号告诉 tcpdump 忽略特定的特殊字符，这里的 () 就是特殊符号，如果不用引号的话，就需要使用转义字符   [root@benarchen ~]# tcpdump -ni eth0 'src 113.88.13.223 and (dst port 3389 or 22)' # 或者也可以使用转义 [root@benarchen ~]# tcpdump -ni eth0 src 113.88.13.223 and \(dst port 3389 or 22\) 1 2 3 1 2 3 5、还可以基于包大小进行筛选，如果你正在查看特定的包大小，可以使用这个参数   # 小于等于 48 字节 [root@benarchen ~]# tcpdump -ni less 48 # 等于 48 字节 [root@benarchen ~]# tcpdump -ni eth0 length == 48 # 大于等于 48 字节 [root@benarchen ~]# tcpdump -ni eth0 greater 48 1 2 3 4 5 6 1 2 3 4 5 6 6、过滤 TCP 特殊标记的数据包，可以帮助快速定位到网络问题   # 抓取某主机发送的 RST 数据包 [root@benarchen ~]# tcpdump -ni eth0 src host 113.88.13.223 and 'tcp[tcpflags] & (tcp-rst) != 0' # 抓取某主机发送的 SYN 数据包 [root@benarchen ~]# tcpdump -ni eth0 src host 113.88.13.223 and 'tcp[tcpflags] & (tcp-syn) != 0' # 抓取某主机发送的 FIN 数据包 [root@benarchen ~]# tcpdump -ni eth0 src host 113.88.13.223 and 'tcp[tcpflags] & (tcp-fin) != 0' # 抓取 TCP 连接中的 SYN 或 FIN 包 [root@benarchen ~]# tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0' 1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8 7、抓取端口是 80，网络层协议为 IPv4， 并且含有数据，而不是 SYN、FIN 以及 ACK 等不含数据的数据包   [root@benarchen ~]# tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' # 整个 IP 数据包长度减去 IP 头长度，再减去 TCP 头的长度，结果不为 0，就表示数据包有 data 1 2 1 2 四、总结和建议 1、常规参数   # 基础参数 -i：指定网络接口 -D：列出可用于抓包的接口 -s：指定数据包抓取的长度 -c：指定要抓取的数据包的数量 -w：将抓包数据保存在文件中 -r：从文件中读取数据 -C：指定文件大小，与 -w 配合使用 -F：从文件中读取抓包的表达式 -n：不解析主机和端口号，这个参数很重要，一般都需要加上 -P：指定要抓取的包是流入还是流出的包，可以指定的值in、out、inout # 输出参数 -e：输出信息中包含数据链路层头部信息 -t：显示时间戳，tttt 显示更详细的时间 -X：显示十六进制格式 -v：显示详细的报文信息，尝试 -vvv，v 越多显示越详细 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 2、组合表达式参数   # 操作对象 type，表示对象的类型，比如：host、net、port、portrange，如果不指定 type 的话，默认是 host dir：表示传输的方向，可取的方式为：src、dst。 proto：表示协议，可选的协议有：ether、ip、ip6、arp、icmp、tcp、udp。 # 组合连接词 or：表示或操作 and：表示与操作 not：表示非操作 1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8 3、建议   tcpdump 也不是万能的，还是要讲究灵活应用，配合其他的工具（ping、telnet、curl、arp 等）来解决实际问题 tcpdump 抓包是对系统性能有不小损耗的，生产环境慎用，并且应该尽量带上 -nn 选择，以降低性能损耗 抓包时尽可能要有针对性的指定过滤规则，减少无效数据包的干扰   连接转自：https://blog.csdn.net/wchenjt/article/details/114001914