Tcpdump 详解
原创
命令常用参数
-A 以ASCII格式打印出所有分组，并将链路层的头最小化。
-c 在收到指定的数量的分组后，tcpdump就会停止。
-C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。
-d 将匹配信息包的代码以人们能够理解的汇编格式给出。
-dd 将匹配信息包的代码以c语言程序段的格式给出。
-ddd 将匹配信息包的代码以十进制的形式给出。
-D 打印出系统中所有可以用tcpdump截包的网络接口。
-e 在输出行打印出数据链路层的头部信息。
-E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。
-f 将外部的Internet地址以数字的形式打印出来。
-F 从指定的文件中读取表达式，忽略命令行中给出的表达式。
-i 指定监听的网络接口。
-l 使标准输出变为缓冲行形式，可以把数据导出到文件。
-L 列出网络接口的已知数据链路。
-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。
-M 如果tcp报文中存在TCP-MD5选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。
-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。
-n 不把网络地址转换成名字。
-nn 不进行端口名称的转换。
-N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。
-t 在输出的每一行不打印时间戳。
-O 不运行分组分组匹配（packet-matching）代码优化程序。
-P 不将网络接口设置成混杂模式。
-q 快速输出。只输出较少的协议信息。
-r 从指定的文件中读取包(这些包一般通过-w选项产生)。
-S 将tcp的序列号以绝对值形式输出，而不是相对值。
-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。
-t 不在每一行中输出时间戳。
-tt 在每一行中输出非格式化的时间戳。
-ttt 输出本行和前面一行之间的时间差。
-tttt 在每一行中输出由date处理的默认格式的时间戳。
-u 输出未解码的NFS句柄。
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。
-vv 输出详细的报文信息。
-w 直接将分组写入文件中，而不是不分析并打印出来。
or | and | nor 与或非，以下参数如多个使用，则需要用到
host 指定过滤的ip，比如10.0.0.1，那么只抓与该ip相关的包
port 指定过滤的端口
src host 指定过滤的源ip
dst host 指定过滤的目的ip
src port 指定过滤的源端口
dst port 指定过滤的目的端口
实例
tcpdump -vvv -XX -nn -S -i en0 '((tcp) and (host 192.168.10.194 or host 192.168.10.198) and (port 8080))' -w /tmp/fa-web.cap
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
22:46:15.405661 IP (tos 0x10, ttl 64, id 46154, offset 0, flags [DF], proto TCP (6), length 60)
192.168.10.194.59486 > 192.168.10.198.8080: Flags [S], cksum 0xa29c (correct), seq 2804354072, win 29200, options [mss 1424,sackOK,TS val 1070039499 ecr 0,nop,wscale 7], length 0
0x0000: 5254 0042 4183 feee fd93 8edd 0800 4510 RT.BA.........E.
0x0010: 003c b44a 4000 4006 cfab 0997 51c2 0997 .<.J@.@.....Q...
0x0020: 51c6 e85e 1f90 a727 0c18 0000 0000 a002 Q..^...'........
0x0030: 7210 a29c 0000 0204 0590 0402 080a 3fc7 r.............?.
0x0040: 81cb 0000 0000 0103 0307 ..........
22:46:15.405689 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto TCP (6), length 60)
192.168.10.198.8080 > 192.168.10.194.59486: Flags [S.], cksum 0xe319 (correct), seq 1717464984, ack 2804354073, win 28960, options [mss 1460,sackOK,TS val 1642039399 ecr 1070039499,nop,wscale 7], length 0
0x0000: feee fd93 8edd 5254 0042 4183 0800 4500 ......RT.BA...E.
0x0010: 003c 0000 4000 4006 8406 0997 51c6 0997 .<..@.@.....Q...
0x0020: 51c2 1f90 e85e 665e 6f98 a727 0c19 a012 Q....^f^o..'....
0x0030: 7120 e319 0000 0204 05b4 0402 080a 61df q.............a.
0x0040: 8867 3fc7 81cb 0103 0307 .g?.......
22:46:15.405802 IP (tos 0x10, ttl 64, id 46155, offset 0, flags [DF], proto TCP (6), length 52)
192.168.10.194.59486 > 192.168.10.198.8080: Flags [.], cksum 0x8221 (correct), seq 2804354073, ack 1717464985, win 229, options [nop,nop,TS val 1070039499 ecr 1642039399], length 0
0x0000: 5254 0042 4183 feee fd93 8edd 0800 4510 RT.BA.........E.
0x0010: 0034 b44b 4000 4006 cfb2 0997 51c2 0997 .4.K@.@.....Q...
0x0020: 51c6 e85e 1f90 a727 0c19 665e 6f99 8010 Q..^...'..f^o...
0x0030: 00e5 8221 0000 0101 080a 3fc7 81cb 61df ...!......?...a.
0x0040: 8867 .g
22:46:20.988717 IP (tos 0x10, ttl 64, id 46156, offset 0, flags [DF], proto TCP (6), length 52)
192.168.10.194.59486 > 192.168.10.198.8080: Flags [F.], cksum 0x6c51 (correct), seq 2804354073, ack 1717464985, win 229, options [nop,nop,TS val 1070045082 ecr 1642039399], length 0
0x0000: 5254 0042 4183 feee fd93 8edd 0800 4510 RT.BA.........E.
0x0010: 0034 b44c 4000 4006 cfb1 0997 51c2 0997 .4.L@.@.....Q...
0x0020: 51c6 e85e 1f90 a727 0c19 665e 6f99 8011 Q..^...'..f^o...
0x0030: 00e5 6c51 0000 0101 080a 3fc7 979a 61df ..lQ......?...a.
0x0040: 8867 .g
22:46:20.988855 IP (tos 0x0, ttl 64, id 64736, offset 0, flags [DF], proto TCP (6), length 52)
192.168.10.198.8080 > 192.168.10.194.59486: Flags [F.], cksum 0x5683 (correct), seq 1717464985, ack 2804354074, win 227, options [nop,nop,TS val 1642044982 ecr 1070045082], length 0
0x0000: feee fd93 8edd 5254 0042 4183 0800 4500 ......RT.BA...E.
0x0010: 0034 fce0 4000 4006 872d 0997 51c6 0997 .4..@.@..-..Q...
0x0020: 51c2 1f90 e85e 665e 6f99 a727 0c1a 8011 Q....^f^o..'....
0x0030: 00e3 5683 0000 0101 080a 61df 9e36 3fc7 ..V.......a..6?.
0x0040: 979a ..
22:46:20.988967 IP (tos 0x10, ttl 64, id 46157, offset 0, flags [DF], proto TCP (6), length 52)
192.168.10.194.59486 > 192.168.10.198.8080: Flags [.], cksum 0x5681 (correct), seq 2804354074, ack 1717464986, win 229, options [nop,nop,TS val 1070045082 ecr 1642044982], length 0
0x0000: 5254 0042 4183 feee fd93 8edd 0800 4510 RT.BA.........E.
0x0010: 0034 b44d 4000 4006 cfb0 0997 51c2 0997 .4.M@.@.....Q...
0x0020: 51c6 e85e 1f90 a727 0c1a 665e 6f9a 8010 Q..^...'..f^o...
0x0030: 00e5 5681 0000 0101 080a 3fc7 979a 61df ..V.......?...a.
0x0040: 9e36 .6FLags
tcpdump的Flags代表了这个数据包的用途，这些标记是TCP首部的内容
S：SYN同步标识
.：
.表示ACK确认标识S.：SYN同步标识，以及确认S的ACK
P.：PSH,push推送，数据传输
R.：RST,连接重置
F.：FIN结束连接
DF：Don't Fragment（不要碎裂），当DF=0时，表示允许分片，一般
-v时才有这个标识FP.：标记FIN、PUSH、ACK组合，这样做是为了提升网络效率，减少数据来回确认等
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。
腾讯云开发者
