tcpdump

tcpdump 是后台开发抓包必备命名

格式： tcpdump 选项 表达式

tcpdump
[ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]
[ -c count ]
[ -C file_size ] [ -G rotate_seconds ] [ -F file ]
[ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]
[ --number ] [ -Q|-P in|out|inout ]
[ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ]
[ -W filecount ]
[ -E spi@ipaddr algo:secret,... ]
[ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]
[ --time-stamp-precision=tstamp_precision ]
[ --immediate-mode ] [ --version ]
[ expression ]

参数

• -A 以ASCII格式打印出所有分组，并将链路层的头最小化
• -b 数据链路层上选择协议，包括ip/arp/rarp/ipx都在这一层
• -B 设置操作系统捕获的包大小
• -c 指定收取数据包的次数，即在收到指定数量的数据包后退出tcpdump
• -C 指定写入文件中包的总大小，超过了指定值，关闭文件，重新打开一个文件存捕获到的包
• -d 将匹配信息包的代码以人们能够理解的汇编格式输出
• -dd 将匹配信息包的代码以c语言程序段的格式输出
• -ddd 将匹配信息包的代码以十进制的形式输出
• -D 打印系统中所有可以监控的网络接口
• -e 在输出行打印出数据链路层的头部信息
• -f 将外部的Internet地址以数字的形式打印出来，即不显示主机名
• -F 从指定的文件中读取表达式，忽略其他的表达式
• -i 指定监听网络接口
• -l 使标准输出变为缓冲形式，可以数据导出到文件
• -L 列出网络接口已知的数据链路
• -n 不把网络地址转换为名字
• -N 不输出主机名中的域名部分
• -nn 不进行端口名称的转换
• -P 不将网络接口设置为混杂模式
• -q 快速输出，即只输出较少的协议信息
• -r 从指定的文件中读取数据，一般是-w保存的文件
• -w 将捕获到的信息保存到文件中，且不分析和打印在屏幕
• -s 从每个组中读取在开始的snaplen个字节，而不是默认的68个字节
• -S 将tcp的序列号以绝对值形式输出，而不是相对值
• -T 将监听到的包直接解析为指定的类型的报文，常见的类型有rpc（远程过程调用）和snmp（简单网络管理协议）
• -t 在输出的每一行不打印时间戳
• -tt 在每一行中输出非格式化的时间戳
• -ttt 输出本行和前面以后之间的时间差
• -tttt 在每一行中输出data处理的默认格式的时间戳
• -u 输出未解码的NFS句柄
• -v 输出稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息
• -vv输出相信的保报文信息

表达式

tcpdump的表达式，语法参考 pcap-filter

type : host net port portrange （数据类型的关键字）
dir : src dst src or dst src and dst addr1 addr2 addr3 addr4 ( 数据传输的方向)
proto: ether fddi tr wlan ip ip6 arp rarp decnet tcp udp （协议关键字）
其他： or and not ！