Linux 網絡指令必知必會之 tcpdump，一份完整的抓包指南請查收！
這篇文章我總結得比較詳盡，可以當字典查，建議收藏，不過别光顧着收藏，點贊什麼的鼓勵我一下，這能讓我更有動力給大家輸出更好的内容。
01 簡介#
tcpdump 是一款 Linux 平台的抓包工具。它可以抓取涵蓋整個 TCP/IP 協定族的資料包，支援針對網絡層、協定、主機、端口的過濾，并提供 and、or、not 等邏輯語句來過濾無用的資訊。
tcpdump 是一個非常複雜的工具，掌握它的方方面面實屬不易，也不推薦，能夠用它來解決日常工作問題才是關系。
02 tcpdump 指令選項#
tcpdump 有很多指令選項，想了解所有選項可以 Linux 指令行輸入 tcpdump -h，man tcpdump 檢視每個選項的意思。
Copy
[root@by ~]# tcpdump -h
tcpdump version 4.9.2
libpcap version 1.5.3
OpenSSL 1.0.2k-fips 26 Jan 2017
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
[ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
[ -Q|-P in|out|inout ]
[ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
[ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
[ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
[ -Z user ] [ expression ] 下面列舉一些常用選項：
-A 隻使用 ASCII 列印封包的全部資料，不要和 -X 一起使用，擷取 http 可以用 tcpdump -nSA port 80
-b 在資料鍊路層上選擇協定，包括 ip, arp, rarp, ipx 等
-c 指定要抓取包的數量
-D 列出作業系統所有可以用于抓包的接口
-e 輸對外連結路層報頭
-i 指定監聽的網卡，-i any 顯示所有網卡
-n 表示不解析主機名，直接用 IP 顯示，預設是用 hostname 顯示
-nn 表示不解析主機名和端口，直接用端口号顯示，預設顯示是端口号對應的服務名
-p 關閉接口的混雜模式
-P 指定抓取的包是流入的包還是流出的，可以指定參數 in, out, inout 等，預設是 inout
-q 快速列印輸出，即隻輸出少量的協定相關資訊
-s len 設定要抓取資料包長度為 len，預設隻會截取前 96bytes 的内容，-s 0 的話，會截取全部内容。
-S 将 TCP 的序列号以絕對值形式輸出，而不是相對值
-t 不要列印時間戳
-vv 輸出詳細資訊（比如 tos、ttl、checksum等）
-X 同時用 hex 和 ascii 顯示封包内容
-XX 同 -X，但同時顯示以太網頭部
03 過濾器#
網絡封包是很多的，很多時候我們在主機上抓包，會抓到很多我們并不關心的無用包，然後要從這些包裡面去找我們需要的資訊，無疑是一件費時費力的事情，tcpdump 提供了靈活的文法可以精确擷取我們關心的資料，這些文法說得專業點就是過濾器。
過濾器簡單可分為三類：協定（proto）、傳輸方向（dir）和類型（type）。
一般的 表達式格式 為：
關于 proto：可選有 ip, arp, rarp, tcp, udp, icmp, ether 等，預設是所有協定的包
關于 dir：可選有 src, dst, src or dst, src and dst，預設為 src or dst
關于 type：可選有 host, net, port, portrange（端口範圍，比如 21-42），預設為 host
04 常用操作#
測試環境 IP：172.18.82.173
4.1 抓取某主機的資料包#
抓取主機 172.18.82.173 上所有收到（DST_IP）和發出（SRC_IP）的所有資料包
tcpdump host 172.18.82.173
抓取經過指定網口 interface ，并且 DST_IP 或 SRC_IP 是 172.18.82.173 的資料包
tcpdump -i eth0 host 172.18.82.173
篩選 SRC_IP，抓取經過 interface 且從 172.18.82.173 發出的包
tcpdump -i eth0 src host 172.18.82.173
篩選 DST_IP，抓取經過 interface 且發送到 172.18.82.173 的包
tcpdump -i eth0 dst host 172.18.82.173
抓取主機 200.200.200.1 和主機 200.200.200.2 或 200.200.200.3 通信的包
tcpdump host 200.200.200.1 and (200.200.200.2 or 200.200.200.3)
抓取主機 200.200.200.1 和除了主機 200.200.200.2 之外所有主機通信的包
tcpdump ip host 200.200.200.1 and ! 200.200.200.2
4.2 抓取某端口的資料包#
抓取所有端口，顯示 IP 位址
tcpdump -nS
抓取某端口上的包
tcpdump port 22
抓取經過指定 interface，并且 DST_PORT 或 SRC_PORT 是 22 的資料包
tcpdump -i eth0 port 22
篩選 SRC_PORT
tcpdump -i eth0 src port 22
篩選 DST_PORT
tcpdump -i eth0 dst port 22
比如希望檢視發送到 host 172.18.82.173 的網口 eth0 的 22 号端口的包
[root@by ~]# tcpdump -i eth0 -nnt dst host 172.18.82.173 and port 22 -c 1 -vv
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
IP (tos 0x14, ttl 114, id 27674, offset 0, flags [DF], proto TCP (6), length 40)
113.98.59.61.51830 > 172.18.82.173.22: Flags [.], cksum 0x7fe3 (correct), seq 19775964, ack 1564316089, win 2053, length 0 4.3 抓取某網絡（網段）的資料包#
抓取經過指定 interface，并且 DST_NET 或 SRC_NET 是 172.18.82 的包
tcpdump -i eth0 net 172.18.82
篩選 SRC_NET
tcpdump -i eth0 src net 172.18.82
篩選 DST_NET
tcpdump -i eth0 dst net 172.18.82
4.4 抓取某協定的資料包#
tcpdump -i eth0 icmp
tcpdump -i eth0 ip
tcpdump -i eth0 tcp
tcpdump -i eth0 udp
tcpdump -i eth0 arp
4.5 複雜的邏輯表達式抓取過濾條件#
抓取經過 interface eth0 發送到 host 200.200.200.1 或 200.200.200.2 的 TCP 協定 22 号端口的資料包
tcpdump -i eth0 -nntvv -c 10 '((tcp) and (port 22) and ((dst host 200.200.200.1) or (dst host 200.200.200.2)))'
PS：對于複雜的過濾器表達式，為了邏輯清晰，可以使用 ()，不過預設情況下，tcpdump 會将 () 當做特殊字元，是以必須使用 '' 來消除歧義。
抓取經過 interface eth0， DST_MAC 或 SRC_MAC 位址是 00:16:3e:12:16:e7 的 ICMP 資料包
tcpdump -i eth0 '((icmp) and ((ether host 00:16:3e:12:16:e7)))' -nnvv
抓取經過 interface eth0，目标網絡是 172.18 但目标主機又不是 172.18.82.173 的 TCP 且非 22 号端口号的資料包
tcpdump -i eth0 -nntvv '((dst net 172.18) and (not dst host 172.18.82.173) and (tcp) and (not port 22))'
抓取流入 interface eth0，host 為 172.18.82.173 且協定為 ICMP 的資料包
tcpdump -i eth0 -nntvv -P in host 172.18.82.173 and icmp
抓取流出 interface eth0，host 為 172.18.82.173 且協定為 ICMP 的資料包
tcpdump -i eth0 -nntvv -P out host 172.18.82.173 and icmp
05 與 wireshark、Snort 等工具的結合#
tcpdump 抓包的時候，預設是列印到螢幕輸出，如果是抓取包少還好，如果包很多，很多行資料，刷刷刷從眼前一閃而過，根本來不及看清内容。不過，tcpdump 提供了将抓取的資料儲存到檔案的功能，檢視檔案就友善分析多了，而且還能與其他圖形工具一起配合分析，比如 wireshark、Snort 等。
-w 選項表示把資料封包輸出到檔案
tcpdump -w capture_file.pcap port 80 # 把所有 80 端口的資料導出到檔案
-r 選項表示讀取檔案裡的資料封包，顯示到螢幕上
tcpdump -nXr capture_file.pcap host host1
PS：.pcap 格式的檔案需要用 wireshark、Snort 等工具檢視，使用 vim 或 cat 會出現亂碼。
06 tcpdump 的輸出格式#
tcpdump 的輸出格式總體上為：
系統時間 源主機.端口 > 目标主機.端口 資料包參數
比如下面的例子，顯示了 TCP 的三次握手過程：
21:27:06.995846 IP (tos 0x0, ttl 64, id 45646, offset 0, flags [DF], proto TCP (6), length 64)
192.168.1.106.56166 > 124.192.132.54.80: Flags [S], cksum 0xa730 (correct), seq 992042666, win 65535, options [mss 1460,nop,wscale 4,nop,nop,TS val 663433143 ecr 0,sackOK,eol], length 0
21:27:07.030487 IP (tos 0x0, ttl 51, id 0, offset 0, flags [DF], proto TCP (6), length 44)
124.192.132.54.80 > 192.168.1.106.56166: Flags [S.], cksum 0xedc0 (correct), seq 2147006684, ack 992042667, win 14600, options [mss 1440], length 0
21:27:07.030527 IP (tos 0x0, ttl 64, id 59119, offset 0, flags [DF], proto TCP (6), length 40)
192.168.1.106.56166 > 124.192.132.54.80: Flags [.], cksum 0x3e72 (correct), ack 2147006685, win 65535, length 0 第一條是 SYN 封包，通過 Flags[S] 看出。第二條是 [S.]，表示 SYN-ACK 封包。常見的 TCP 封包的 Flags 如下：
[S]： SYN（開始連接配接）
06 總結#
本文可以當字典查閱，記住一些常用的 tcpdump 抓包案例，其他的用到再通過 man tcpdump 輔助編寫。和 wireshark 等圖形化工具配合使用，能更加深了解。
背景回複“加群”，帶你進入高手如雲交流群
參考
https://blog.csdn.net/Jmilk/article/details/86618205?tdsourcetag=s_pctim_aiomsg https://danielmiessler.com/study/tcpdump/ http://bencane.com/2014/10/13/quick-and-practical-reference-for-tcpdump/我的公衆号 「Linux雲計算網絡」(id: cloud_dev) ，号内有 10T 書籍和視訊資源，背景回複 「1024」 即可領取，分享的内容包括但不限于 Linux、網絡、雲計算虛拟化、容器Docker、OpenStack、Kubernetes、工具、SDN、OVS、DPDK、Go、Python、C/C++程式設計技術等内容，歡迎大家關注。
![linux-svn解除安裝與安裝[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)