tcpdump抓包

tcpdump 是一个强大的命令行数据包分析器，用于在网络接口上捕获和分析网络流量。它广泛应用于网络故障排查、安全监控以及网络研究等领域。

安装 `tcpdump`

在 Debian/Ubuntu 系统上

bash
sudo apt-get update
sudo apt-get install tcpdump

在 CentOS/RHEL 系统上

bash
sudo yum install tcpdump

在 macOS 上

如果你使用的是 Homebrew 包管理器，可以通过以下命令安装：

bash
brew install tcpdump

基本用法

检查网络接口 首先，你需要知道系统上的网络接口名称：
```
bash
ip link show
```
或者在 macOS 上使用：
```
bash
ifconfig -a
```
开始抓包 抓取指定接口的所有流量：
```
bash
sudo tcpdump -i eth0
```
如果你想监听所有可用的网络接口，可以使用 any：
```
bash
sudo tcpdump -i any
```
保存抓包数据 将抓包的数据保存到一个文件中，以便后续分析：
```
bash
sudo tcpdump -w capture_file.pcap
```
读取之前保存的抓包文件：
```
bash
sudo tcpdump -r capture_file.pcap
```
过滤特定类型的流量 使用 BPF（Berkeley Packet Filter）表达式来过滤感兴趣的流量类型。例如，只捕获HTTP流量（端口80）：
```
bash
sudo tcpdump 'tcp port 80'
```
捕获来自或发往特定IP地址的流量：
```
bash
sudo tcpdump host 192.168.1.1
```
捕获特定协议的流量，如ICMP（ping请求）：
```
bash
sudo tcpdump icmp
```
显示更详细的信息 使用 -v, -vv, 或 -vvv 来增加输出的详细程度。例如：
```
bash
sudo tcpdump -vvv
```
限制抓包数量 使用 -c 参数来限制捕获的数据包数量：
```
bash
sudo tcpdump -c 100
```
格式化输出 使用 -t 参数去掉时间戳，或者 -tttt 显示更详细的时间信息：
```
bash
sudo tcpdump -tttt
```

高级功能

组合条件 可以使用逻辑运算符（and、or、not）组合多个过滤条件：
```
bash
sudo tcpdump 'tcp and port 80 and host 192.168.1.1'
```
读取大文件 对于较大的抓包文件，可以使用 tcpdump 结合 grep 或者其他工具进行筛选：
```
bash
sudo tcpdump -r capture_file.pcap | grep 'some pattern'
```
与其他工具结合使用 tcpdump 输出可以直接通过管道传递给其他工具，如 wireshark 进行图形化分析：
```
bash
sudo tcpdump -w - | wireshark -k -i -
```

示例场景

假设你想要监控局域网内某台服务器（192.168.1.100）与外部Web服务器之间的HTTP通信，你可以这样操作：

bash
sudo tcpdump 'tcp and (host 192.168.1.100) and (port 80 or port 443)'

tcpdump 的输出格式非常详细，它提供了丰富的信息来帮助你分析网络流量。以下是 tcpdump 输出的基本结构和各部分的含义：

基本输出格式

一个典型的 tcpdump 输出行可能如下所示：


17:10:32.123456 IP 192.168.1.100.54321 > 192.168.1.1.80: Flags [S], seq 123456789, win 65535, options [mss 1460,sackOK,TS val 123456 ecr 0,nop,wscale 7], length 0

时间戳
```
17:10:32.123456
```
这是数据包被捕捉到的时间，精确到微秒。
协议
```
IP
```
表示此数据包使用的网络层协议。在大多数情况下，你会看到 IP（IPv4）或 IP6（IPv6）。
源地址和端口
```
192.168.1.100.54321
```
指明了数据包的源IP地址和端口号。在这个例子中，源地址是 192.168.1.100，源端口是 54321。
方向符号
```
>
```
箭头表示数据包的方向，从源地址发送到目标地址。
目标地址和端口
```
192.168.1.1.80
```
目标IP地址和端口号。这里的目标地址是 192.168.1.1，目标端口是 80（HTTP服务的标准端口）。
标志位
```
Flags [S]
```
TCP标志位，显示当前数据包中的TCP标志。常见的标志包括：
- [S]：SYN，连接建立请求。
- [.]：ACK，确认收到的数据包。
- [P]：PSH，推送数据。
- [F]：FIN，关闭连接。
- [R]：RST，重置连接。
序列号
```
seq 123456789
```
数据包的序列号，用于确保数据按顺序到达。
窗口大小
```
win 65535
```
发送方愿意接受的最大数据量，以字节为单位。
选项字段
```
options [mss 1460,sackOK,TS val 123456 ecr 0,nop,wscale 7]
```
包含一系列可选参数，如最大段大小（MSS）、选择性确认（SACK）、时间戳、无操作（NOP）和窗口缩放因子等。
长度
```
length 0
```
数据包的有效载荷长度，以字节为单位。如果为0，则表示没有实际数据传输，仅包含控制信息。

目录

安装 tcpdump