linux命令之tcpdump

【tcpdump】

1 抓指定的包

2 和wireshark功能同样

3 流量回放

【语法】

确保有tcpdump命令 来自包 tcpdump

tcpdump  选项  过滤条件

【经常使用选项】

-i  指定抓指定的网卡

-nn  不反解析 如 53号端开口翻译成为dns等，能够加快速度

-vv  可以打印出更多的详细信息

-c   指定抓取的数目，一旦到了数目，就会中止抓包

-e   将以太网头部信息打印出来，如mac地址

【深刻选项】

-l 指定缓冲模式为行模式，

    选项的做用就是将tcpdump的输出变为“行缓冲”方式，这样能够确保tcpdump遇到的内容一旦是换行符即将缓冲的内容输出到标准输出，以便于利用管道或重定向方式来进行后续处理。

众所周知，Linux/UNIX的标准I/O提供了全缓冲、行缓冲和无缓冲三种缓冲方式。标准错误是不带缓冲的，终端设备常为行缓冲，而其余状况默认都是全缓冲的。

-F  指定过滤表达式所在的文件(将过滤表示写入一个文件了)。 一般用不到，过滤表示通常仍是直接写在命令行中

-w 将流量保存到文件中，可是是flowdata文件，二进制的不能直接打开看

-r 以flowdata形式读取flowdata文件，和mysqlbinlog命令工做方式相似

[经常使用过滤条件]

指定端口和主机

tcpdump -nn -i eth0 port 80  and host 192.168.100.13

抓取icmp协议 ping包

cpdump -nn -vv -i eth0 icmp

抓取指定网段的某端口链接

tcpdump -nn -i eth0 net 192.168.100 and port 22

或

tcpdump -nn -i eth0 net 192.168.100 and tcp port 22