Tcpdump简单使用

tcpdump 是在工作中用于在linux/UNIX平台上抓包的工具。

原理：

用tcpdump进行抓包，然后用wareshark进行协议分析。

抓包命令：

tcpdump 抓取所有网络包，并在terminal中显示抓取的结果，将包以16尽早的形式显示。

tcpdump -w test.cap 抓取所有的网络包，并存到test.cap中。

tcpdump -i eth0 -w test.cap 抓取所有的经过eth0网卡的网络包，并存到test.cap中。

tcpdump src host 192.168.0.1 -w test.cap 抓取源地址是192.168.0.1的包。

tcpdump host 192.168.0.1 -w test.cap 抓取地址包含是192.168.0.1的包。

tcpdump dest host 192.168.0.1 -w test.cap 抓取目的地址包含是192.168.0.1的包。

下面的例子全是以抓取eth0接口为例，如果不加”-i eth0”是表示抓取所有的接口包括lo。

Tcpdump参数

-a	尝试将网络和广播地址转换成名称。 
-c 	<数据包数目>收到指定的数据包数目后，就停止进行倾倒操作。 
-d	把编译过的数据包编码转换成可读的格式，并倾倒到标准输出。 
-dd	把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出。 
-ddd	把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。 
-e	在每列倾倒资料上显示连接层级的文件头。 
-f	用数字显示网际网络地址。 
-F 	<表达文件>指定内含表达方式的文件。 
-i 	<网络界面>使用指定的网络截面送出数据包。 
-l	使用标准输出列的缓冲区。 
-n	不把主机的网络地址转换成名字。 
-N	不列出域名。 -O不将数据包编码最佳化。 
-p	不让网络界面进入混杂模式。 
-q	快速输出，仅列出少数的传输协议信息。 
-r 	<数据包文件>从指定的文件读取数据包数据。 
-s     <数据包大小>设置每个数据包的大小。 
-S	用绝对而非相对数值列出TCP关联数。 
-t	在每列倾倒资料上不显示时间戳记。 
-tt	在每列倾倒资料上显示未经格式化的时间戳记。 
-T 	<数据包类型>强制将表达方式所指定的数据包转译成设置的数据包类型。 
-v	详细显示指令执行过程。 
-vv	更详细显示指令执行过程。 
-x	用十六进制字码列出数据包资料。 
-w 	<数据包文件>把数据包数据写入指定的文件。

• 使用tcpdump监听主机为192.168.1.1 tcp端口为80的数据同时，将输出结果保存输出到tcpdump.log。

[root@m01-61 ~]# tcpdump tcp and host 192.168.1.1 and dst port 80 -w tcpdump.log

• 使用tcpdump抓取linux数据包，要求抓取ip地址为202.108.1.20，端口80的数据包

[root@m01-61 ~]# tcpdump tcp and hust 202.108.1.20  and  port  80

• 每天中午12点使用tcpdump命令抓取目的端口为tcp80的1000个包输出到当前目录并以当前时间命名，请写出定时任务及脚本内容。

#!/bin/bash
export  PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin
tcpdump  -c  1000  tcp  and  dst  port   80  -w  ./$(date +%F).txt
0 12 * * *   /bin/bash/    -----    $>/dev/null

• 使用tcpdump监听主机ip为192.168.1.1，tcp端口为80的数据，同时将结果保存输出到tcpdump.log，请写出相应命令

[root@m01-61 ~]# tcpdump tcp and host 192.168.1.1 and port 80 -w tcpdump.log

• 用tcpdump嗅探80端口的访问看看谁最高。

[root@m01-61 ~]# tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F"." '{print $1"."$2"."$3"."$4}' | sort | uniq -c | sort -nr |head -20
​
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
1000 packets captured
1003 packets received by filter
0 packets dropped by kernel
   1000 IP 10.0.0.1

• 抓取所有经过eth1，目的或源地址是192.168.1.1的网络数据

  tcpdump -i eth1 host 192.168.1.1 
  

  指定源地址tcpdump -i eth1 src host 192.168.1.1

• 指定目的地址

  tcpdump -i eth1 dst host 192.168.1.1

• 抓取所有经过eth1，目的或源端口是25的网络数据

  tcpdump -i eth1 port 25

• 指定源端口

  tcpdump -i eth1 src port 25

• 指定目的端口

  tcpdump -i eth1 dst port 25

• 网络过滤

  tcpdump -i eth1 net 192.168 
  tcpdump -i eth1 src net 192.168 
  tcpdump -i eth1 dst net 192.168 1.4、

• 协议过滤

  tcpdump -i eth1 arp 
  tcpdump -i eth1 ip 
  tcpdump -i eth1 tcp 
  tcpdump -i eth1 udp 
  tcpdump -i eth1 icmp

1、抓取包含10.10.10.122的数据包

tcpdump -i eth0 -vnn host 10.10.10.122

2、抓取包含10.10.10.0/24网段的数据包

tcpdump -i eth0 -vnn net 10.10.10.0/24

3、抓取包含端口22的数据包

tcpdump -i eth0 -vnn port 22

4、抓取udp协议的数据包

tcpdump -i eth0 -vnn udp

5、抓取icmp协议的数据包

tcpdump -i eth0 -vnn icmp

6、抓取arp协议的数据包

tcpdump -i eth0 -vnn arp

7、抓取ip协议的数据包

tcpdump -i eth0 -vnn ip

8、抓取源ip是10.10.10.122数据包。

tcpdump -i eth0 -vnn src host 10.10.10.122

9、抓取目的ip是10.10.10.122数据包

tcpdump -i eth0 -vnn dst host 10.10.10.122

10、抓取源端口是22的数据包

tcpdump -i eth0 -vnn src port 22

11、抓取源ip是10.10.10.253且目的ip是22的数据包

tcpdump -i eth0 -vnn src host 10.10.10.253 and dst port 22

12、抓取源ip是10.10.10.122或者包含端口是22的数据包（测试OK）

tcpdump -i eth0 -vnn src host 10.10.10.122 or port 22

13、抓取源ip是10.10.10.122且端口不是22的数据包

tcpdump -i eth0 -vnn src host 10.10.10.122 and not port 22

14、抓取源ip是10.10.10.2且目的端口是22，或源ip是10.10.10.65且目的端口是80的数据包。

tcpdump -i eth0 -vnn ( src host 10.10.10.2 and dst port 22 ) or ( src host 10.10.10.65 and dst port 80 )

15、抓取源ip是10.10.10.59且目的端口是22，或源ip是10.10.10.68且目的端口是80的数据包。

tcpdump -i eth0 -vnn 'src host 10.10.10.59 and dst port 22' or ' src host 10.10.10.68 and dst port 80 '

16、把抓取的数据包记录存到/tmp/fill文件中，当抓取100个数据包后就退出程序。

tcpdump –i eth0 -vnn -w /tmp/fil1 -c 100

17、从/tmp/fill记录中读取tcp协议的数据包

tcpdump –i eth0 -vnn -r /tmp/fil1 tcp

18、从/tmp/fill记录中读取包含10.10.10.58的数据包

tcpdump –i eth0 -vnn -r /tmp/fil1 host 10.10.10.58