tcpdump抓取网络包的实用命令

首先，先运行ifconfig，看一下要抓的是哪个网络端口，例子里面只有eth1这一个端口。

那么我们开始介绍命令了。第一个最简单的就是直接#tcpdump -i ， 这个的话会直接输出在屏幕上。但是缺点是分析起来不太方便。

第二个我们增加了-w这个参数，这样可以把输出导入到一个文件中，后续可以用wireshark、Tshark这种网络分析工具来分析。#tcpdump -i -w

第三个我们可以用一些过滤的参数来过滤掉一些不需要的报文，这边介绍的是host，这个可以指定只抓取和这个host通信的报文。#tcpdump -i -w host

第四个，关于过滤的参数，除了host，常用的还有port，这个是用来过滤端口的，就是说明只抓取来自或者到达这个端口的报文。#tcpdump -i -w port

第五个，关于过滤的参数，除了host，port， 常用的还有net，这个其实还是用来过滤主机的，就是说明只抓取来自或者到达这个子网的报文。#tcpdump -i -w net PS:的格式可以是192.168.1.0/24， 也可以是192.168.1

第六个，介绍一下-s这个参数，这个是截取多少字节的报文的。默认值是68，也就是每个报文只取68字节。但是有些协议只取68字节会丢失掉一些有用的数据，所以有必要使用-s 0，表示抓取整个报文。#tcpdump -i  -s 0 -w host

第七个，关于过滤参数，我们还可以叠加使用，例如我们想抓来自或者到达某个IP并且还是来自或者到达某个端口的报文。可以用&&符号，但是过滤参数需要用“”括起来。e.g. #tcpdump -i   -w “host && port '

第八个，还是关于过滤参数的，如果想要一个或的关系，那么可以用||符号表示，同样过滤参数需要用''括起来。e.g. #tcpdump -i   -w “host || host '

常用的命令大致就这些啦！希望对大家有帮助。