tcpdump常用用法+wireshark分析cap包

最新推荐文章于 2025-05-31 21:17:09 发布

转载

最新推荐文章于 2025-05-31 21:17:09 发布 · 2.1k 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：http://blog.51cto.com/13843846/2426042

文章标签：

#网络

本文介绍了tcpdump的常用命令，如指定网口、过滤IP与端口、限制抓包数量及保存数据包到文件。同时，探讨了Wireshark如何分析网络报文，包括不同颜色的含义以及报文详细信息的查看，帮助理解网络通信过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

工作中的常用用法
一、tcpdump常用用法：

1，-i 指定网口 -vnn 常用选项，显示详细信息并且不解析IP，端口；
抓取某个网口上发往或来自某个IP的报文
tcpdump -i ethX host 192.168.1.100 -vnn

2，可以用or 或者and 连接多个过滤条件，port前的tcp表示tcp协议，也可为udp；
抓取某个网口上发往或来自某个IP、并且指定端口的报文
tcpdump -i ethX host 192.168.1.100 and tcp port 22(端口号) -vnn

3， -c 指定抓取报文的数量，用 -w 把抓取的数据包写入文件；
抓取某网口50个包并写入dump.cap(为什么是 .cap？因为wireshark识别此扩展名)文件：
tcpdump -i ethX -c 50 -w /root/dump.cap

4，可以用关键字 src 或者 dst 表示源或者目的；
抓取源端口号为22(tcp协议)的报文
tcpdump -i ethX tcp src port 22(端口号) -vnn

以上为常用用法，可以根据实际情况灵活组合。

二、wireshark分析报文：

1，淡紫色数据包为正常数据包，包括数据包和ACK包

2，黑色为异常包，包括丢包ACK、重传等

    2.1 Packet Size limited during capture
   这个标志说明数据包并没被完全抓到，而只是抓到了一部分。这种情况多数是由于抓包方式引起，在某些系统中tcpdump只抓每个帧的前96个字节。我们可以”-s”参数来指定想要的字节数。

   2.2 TCP previous segment not captured
   TCP传输过程中同一台主机发出的数据应该是连续的，即

最低0.47元/天解锁文章

200万优质内容无限畅学