超级详细的Linux抓包工具tcpdump详解！

最新推荐文章于 2025-10-27 19:38:22 发布
原创 最新推荐文章于 2025-10-27 19:38:22 发布 · 537 阅读 · 7 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #tcpdump #运维 #安全 #服务器 #测试工具 #网络

超级详细的Linux抓包工具tcpdump详解！

简介

tcpdump 是Linux下一款命令行抓包程序，使用 tcpdump 之前，可以先看一下它提供的帮助。

tcpdump 官方文档手册：https://www.tcpdump.org/manpages/tcpdump.1.html

root@kali:~# tcpdump --help
tcpdump version 4.9.3
libpcap version 1.9.1 (with TPACKET_V3)
OpenSSL 1.1.1g  21 Apr 2020
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
        [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
        [ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
        [ -Q in|out|inout ]
        [ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
        [ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
        [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
        [ -Z user ] [ expression ]

nulllALPGpqNbM0WWbbNAgbNBDc_1079_518.png_720x720q90g.jpg

下面是一个linux访问百度的抓包实例

#下面为TCP的三次握手
22:24:08.927326IP192.168.254.133.43710 > 183.232.231.174.http: Flags [S], seq 3739719434, win 64240, options [mss 1460,sackOK,TS val 3245036665 ecr0,nop,wscale 7], length 0
22:24:08.975622IP183.232.231.174.http > 192.168.254.133.43710: Flags [S.], seq 536888616, ack 3739719435, win 64240, options [mss 1460], length 0
22:24:08.975730IP192.168.254.133.43710 > 183.232.231.174.http: Flags [.], ack 1, win 64240, length 0

#请求百度的网页
22:24:08.975988IP192.168.254.133.43710 > 183.232.231.174.http: Flags [P.], seq 1:78, ack 1, win 64240, length 77: HTTP: GET / HTTP/1.1
22:24:08.976314IP183.232.231.174.http > 192.168.254.133.43710: Flags [.], ack 78, win 64240, length 0

#下面为TCP的四次挥手
22:24:09.042036IP192.168.254.133.43710 > 183.232.231.174.http: Flags [F.], seq 78, ack 2782, win 62780, length 0
22:24:09.043757IP183.232.231.174.http > 192.168.254.133.43710: Flags [.], ack 79, win 64239, length 0
22:24:09.096935IP183.232.231.174.http > 192.168.254.133.43710: Flags [FP.], seq 2782, ack 79, win 64239, length 0
22:24:09.097018IP192.168.254.133.43710 > 183.232.231.174.http: Flags [.], ack 2783, win 62780, length 0

Flags 标识符

  • • [S] : SYN（开始连接）
  • • [P] : PSH（推送数据）
  • • [F] : FIN （结束连接）
  • • [R] : RST（重置连接）
  • • [.] : 没有 Flag （意思是除上面四种类型外的其他情况，有可能是 ACK 也有可能是 URG）
可选参数解析

设置不解析域名提升速度

  • • -n：不把ip转化成域名，直接显示 ip，避免执行 DNS lookups 的过程，速度会快很多
  • • -nn：不把协议和端口号转化成名字，速度也会快很多。
  • • -N：不打印出host 的域名部分.。比如,，如果设置了此选现，tcpdump 将会打印’nic’ 而不是 ‘nic.ddn.mil’.

将抓取到的数据包保存为文件，可以借助wireshark进行分析

tcpdump -w test.cap

先从服务器下载保存的文件，接着在电脑上使用wireshark打开即可

nullimage-20210723224014639

nullimage-20210723224044609

从文件中读取包数据

tcpdump icmp -r all.pcap

控制详细内容的输出

  • • -v：产生详细的输出. 比如包的TTL，id标识，数据包长度，以及IP包的一些选项。同时它还会打开一些附加的包完整性检测，比如对IP或ICMP包头部的校验和。
  • • -vv：产生比-v更详细的输出. 比如NFS回应包中的附加域将会被打印, SMB数据包也会被完全解码。
  • • -vvv：产生比-vv更详细的输出。比如 telent 时所使用的SB, SE 选项将会被打印, 如果telnet同时使用的是图形界面，其相应的图形选项将会以16进制的方式打印出来
root@kali:~# tcpdump -vvv
192.168.254.133.39060 > 183.232.231.172.http: Flags [S], cksum 0x5ef2 (incorrect -> 0x364f), seq 468528907, win 64240, options [mss 1460,sackOK,TS val 1367245473 ecr 0,nop,wscale 7], length 0
23:15:59.738147 IP (tos 0x0, ttl 128, id 15796, offset 0, flags [none], proto UDP (17), length 74)
183.232.231.172.http > 192.168.254.133.39060: Flags [S.], cksum 0xacad (correct), seq 938571237, ack 468528908, win 64240, options [mss 1460], length 0
23:15:59.785951 IP (tos 0x0, ttl 64, id 33435, offset 0, flags [DF], proto TCP (6), length 40)
192.168.254.133.39060 > 183.232.231.172.http: Flags [.], cksum 0x5ede (incorrect -> 0xc46a), seq 1, ack 1, win 64240, length 0
23:15:59.786517 IP (tos 0x0, ttl 64, id 33436, offset 0, flags [DF], proto TCP (6), length 117)

控制时间的显示

  • • -t：在每行的输出中不输出时间
  • • -tt：在每行的输出中会输出时间戳
  • • -ttt：输出每两行打印的时间间隔(以毫秒为单位)
  • • -tttt：在每行打印的时间戳之前添加日期的打印（此种选项，输出的时间最直观）

显示数据包的头部

  • • -x：以16进制的形式打印每个包的头部数据（但不包括数据链路层的头部）
  • • -xx：以16进制的形式打印每个包的头部数据（包括数据链路层的头部）
  • • -X：以16进制和 ASCII码形式打印出每个包的数据(但不包括连接层的头部)，这在分析一些新协议的数据包很方便。
  • • -XX：以16进制和 ASCII码形式打印出每个包的数据(包括连接层的头部)，这在分析一些新协议的数据包很方便。

其他常用的一些参数

  • • -i：指定要过滤的网卡接口，如果要查看所有网卡，可以 -i any
  • • -Q： 选择是入方向还是出方向的数据包，可选项有：in, out, inout，也可以使用 --direction=[direction] 这种写法
  • • -q : 简洁地打印输出。即打印很少的协议相关信息, 从而输出行都比较简短
  • • -c : 捕获 count 个包 tcpdump 就退出
  • • -s : tcpdump 默认只会截取前 96 字节的内容，要想截取所有的报文内容，可以使用 -s number， number 就是你要截取的报文字节数，如果是 0 的话，表示截取报文全部内容。
  • • -S : 使用绝对序列号，而不是相对序列号
  • • -C：file-size，tcpdump 在把原始数据包直接保存到文件中之前, 检查此文件大小是否超过file-size. 如果超过了, 将关闭此文件,另创一个文件继续用于原始数据包的记录. 新创建的文件名与-w 选项指定的文件名一致, 但文件名后多了一个数字.该数字会从1开始随着新创建文件的增多而增加. file-size的单位是百万字节(nt: 这里指1,000,000个字节,并非1,048,576个字节, 后者是以1024字节为1k, 1024k字节为1M计算所得, 即1M=1024 ＊ 1024 ＝ 1,048,576)
  • • -F：使用file 文件作为过滤条件表达式的输入, 此时命令行上的输入将被忽略.
过滤规则

基于IP地址过滤：host

tcpdump host 192.168.10.100

# 根据源ip进行过滤
tcpdump -i eth2 src 192.168.10.100

# 根据目标ip进行过滤
tcpdump -i eth2 dst 192.168.10.200

基于网段进行过滤：net

tcpdump net 192.168.10.0/24

# 根据源网段进行过滤
tcpdump src net 192.168

# 根据目标网段进行过滤
tcpdump dst net 192.168

基于端口进行过滤：port

tcpdump port 8088
# 根据源端口进行过滤
tcpdump src port 8088

# 根据目标端口进行过滤
tcpdump dst port 8088

#同时指定两个端口
tcpdump port 80 or port 8088 

#指定端口的范围
tcpdump portrange 8000-8080
tcpdump src portrange 8000-8080
tcpdump dst portrange 8000-8080

基于协议进行过滤：proto

tcpdump icmp

#过滤IPV4数据包（友情提示：数字 6 表示的是 tcp 在ip报文中的编号。）
tcpdump ip proto 6
tcpdump ip protochain 6

proto 后面跟的 的关键词是固定的，只能是 ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat, mopdl, moprc, iso, stp, ipx, or netbeui 这里面的其中一个。

而protochain 后面跟的 protocol 要求就没有那么严格，它可以是任意词，只要 tcpdump 的 IP 报文头部里的 protocol 字段为 就能匹配上。

过滤规则条件
  • • and：所有的条件都需要满足，也可以表示为 &&
  • • or：只要有一个条件满足就可以，也可以表示为 ||
  • • not：取反，也可以使用 !
#过滤出源地址是1.1.1.1发往任意主机的3389端口的数据包
tcpdump src 1.1.1.1 and dst port 3389

当你在使用多个过滤器进行组合时，有可能需要用到括号，而括号在 shell 中是特殊符号，因为你需要使用引号将其包含。

#过滤出源地址是1.1.1.1发往任意主机的3389端口或者22端口的数据包
tcpdump 'src 1.1.1.1 and (dst port 3389 or 22)'
  • • =：判断二者相等
  • • ==：判断二者相等
  • • !=：判断二者不相等

tcpdump 还提供了一些关键字的接口来方便我们进行判断

  • • if：表示网卡接口名、
  • • proc：表示进程名
  • • pid：表示进程 id
  • • svc：表示 service class
  • • dir：表示方向，in 和 out
  • • eproc：表示 effective process name
  • • epid：表示 effective process ID
  #过滤来自进程名为 nc 发出的流经 en0 网卡的数据包，或者不流经 en0 的入方向数据包
 tcpdump "( if=en0 and proc =nc ) || (if != en0 and dir=in)"
特殊过滤规则

根据 tcpflags 进行过滤

tcpdump -i eth0 "tcp[tcpflags] & tcp-syn != 0"

基于包大小进行过滤

tcpdump less 32 
tcpdump greater 64 
tcpdump <= 128

根据 mac 地址进行过滤

tcpdump ether host [ehost]
tcpdump ether dst    [ehost]
tcpdump ether src    [ehost]

过滤广播/多播数据包

tcpdump ether broadcast
tcpdump ether multicast

tcpdump ip broadcast
tcpdump ip multicast

tcpdump ip6 multicast
实际应用
#从 HTTP 请求头中提取 HTTP 的 User-Agent
tcpdump -nn -A -s1500 -l | grep "User-Agent:"

#抓取 HTTP GET 请求包
tcpdump -vvAls0 | grep 'GET'

#提取 HTTP 请求的主机名和路径
tcpdump -s 0 -v -n -l | egrep -i "POST /|GET /|Host:"

黑客/网络安全学习包

资料目录

  1. 成长路线图&学习规划

  2. 配套视频教程

  3. SRC&黑客文籍

  4. 护网行动资料

  5. 黑客必读书单

  6. 面试题合集

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。


需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

网络安全学习路线&学习资源在这里插入图片描述

Linux中的tcpdump抓包命令详解：抓取TCP和UDP数据包并按小时输出文件
笔者从事电信媒体开发多年，愿意将多年的开发经验分享给同行
01-02 1535
tcpdump是一个运行在Linux平台上的网络抓包工具，它可以根据使用者的需求对网络上传输的数据包进行捕获。tcpdump支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来精确截取关心的数据报，简化分析的工作量。通过本文的介绍，您应该已经掌握了如何在Linux系统中使用tcpdump命令抓取TCP和UDP数据包，并按小时输出文件。tcpdump是一款功能强大的网络抓包工具，它可以帮助您分析调试网络数据，解决网络故障。
Linux抓包工具tcpdump使用详解
genius_002的专栏
07-24 508
1. 交叉编译 编译tcpdump需要提前下载libpcap，这两个库都可以在tcpdump官网上进行下载，链接如下： http://www.tcpdump.org/#mailing-lists 1.1 编译libpcap 交叉编译libpcap，libpcap支持CMake，既可以使用configure进行编译，也可以使用cmake cmake .. -DCMAKE_TOOLCHAIN_FILE=XXXX.cmake -DCMAKE_INSTALL_PREFIX=XXXX 或者 ./con.
linux抓包工具
02-21
Linux系统抓包工具，可直接运行，传上来方便大家使用.
Linux -- 抓包工具 blktrace/blkparse
weixin_44517278的博客
06-09 1740
Linux -- 抓包工具 blktrace/blkparse
如何在linux抓包&tcpdump&wireshark如何使用
最新发布
qq_73797346的博客
10-27 601
摘要：本文介绍了如何使用tcpdump进行网络数据包分析。通过安装tcpdump工具，在Linux服务器上捕获80端口的HTTP请求数据包，保存为pcap文件后用Wireshark图形化工具分析。详细展示了TCP三次握手、HTTP请求响应和四次挥手过程，并提供了常用的wireshark过滤语法，如IP地址、端口号等过滤条件，帮助更高效地进行网络问题诊断。文章建议结合命令行捕获和图形化分析工具使用，以提高网络分析效率。
Linux系统应用与设置（4）：Linux抓包工具tcpdump
tecsai的博客
07-04 1609
tcpdump 是一款广泛使用的命令行网络分析工具，它能够捕获和分析网络上的数据包。这个强大的工具对于网络故障排查、安全监控和网络流量分析非常有用。 值得注意的是，通过tcpdump抓取的数据还可以通过保存为*.pcap文件，然后使用wireshark进行更深层次的可视化分析。
Linux抓包工具
weixin_33853827的博客
09-30 762
tcpdump -i em1 host 1.203.80.138 -w ~/aa.data 使用em1网卡，网卡可以通过命令ifconfig查看 host：目的或源地址是1.203.80.138的网络数据 -w ~/aa.data：将抓包转换成wireshark工具识别的格式  ...
【Linux】抓包工具-tcpdump
weixin_43510208的博客
05-15 2625
命令行网络抓包工具，基于 libpcap 库实现，支持 BPF（Berkeley Packet Filter） 语法过滤。
干货!超级详细的Linux抓包工具tcpdump详解！
Java程序员的知识博客
06-10 1306
后面跟的 protocol 要求就没有那么严格，它可以是任意词，只要 tcpdump 的 IP 报文头部里的 protocol 字段为 就能匹配上。当你在使用多个过滤器进行组合时，有可能需要用到括号，而括号在 shell 中是特殊符号，因为你需要使用引号将其包含。官方文档手册：https://www.tcpdump.org/manpages/tcpdump.1.html。后面跟的 的关键词是固定的，只能是。根据 tcpflags 进行过滤。基于协议进行过滤：proto。基于端口进行过滤：port。
Linux下抓包工具tcpdump应用详解
09-10
### Linux下抓包工具tcpdump应用详解 #### TCPDUMP：网络分析的利刃 在IT运维和网络安全领域，抓包工具（Packet Sniffer）扮演着至关重要的角色，尤其是在Linux环境下，**tcpdump**作为一款经典且强大的网络数据包...
Linux/Unix平台实用抓包工具tcpdump详解
其中，**tcpdump** 是一款在 Linux/Unix 平台下非常实用的网络抓包工具，它能够对网络中流动的数据包进行捕获和分析，从而帮助运维人员和开发人员深入了解网络行为、定位网络问题。本知识点将围绕 tcpdump 的基本...
linux抓包工具（wireshark与tcpdump）
a_b_e_l_的博客
08-21 3289
这里提示我yum正在被占用即yum被进程号为17830的服务占用了，这里我的处理方式是使用kill -9命令。命令：tcpdump -I eth0 dst host 192.168.239.129（即主机名）Tcpdump是linux下的抓包工具，但是它是以命令形式的操作，并没有wireshark好用。命令：tcpdump -I 【网卡名】-nn host 【主机ip】-w【文件名】-n ：显示IP地址，不查主机名。命令：yum install -y wireshark*-nn ：不显示协议和端口名。
Linux网络抓包分析工具
settng style
07-05 2935
介绍了Linux的网络的抓包分析工具TCPdump和wireshark，并详细解释了他们在黑屏操作中如何使用，以及wiresharkLinux白屏中如何安装和使用。
linux下的抓包工具
春风得意，马蹄仍急；少年豪情，一笑难回。
07-18 1113
昨天在windows下面装了一个wireshark,但是是在linux下测试的socket，于是想想在ubuntu下面是不是也有同名软件，果然。不错。 sudo apt-get install wireshark 耗时5分钟，装完了。直接命令行启动，wireshark 工作界面如下：
Linux抓包
Blessing Lee
01-30 4025
Linux抓包
Linux抓包工具TCPdump，用过的网工，都说好用！
ICT系统集成阿祥
08-24 1192
背景tcpdump作为Linux常用的抓包工具，原理是它使用 libpcap 库来抓取网络数据包，这个库几乎在所有的 Linux/Unix 中都有，抓取到的数据包用来提供网络分析。工具支持针对网络层、协议、主机、网络或端口的过滤，并可使用and、or、not等逻辑指令来帮助使用者筛掉无用信息。工具安装一、tcpdump安装1、云主机：CentOS 7.62、安装tcpdumpyum-yinst...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值