tcpdump 抓包解读

常用用法（这里用sudo因为当前帐号无权使用tcpdump，这里仅以一个tcp的例子来说明）：sudo /usr/sbin/tcpdump tcp port 80 and host 172.23.1.69 -ieth1 -n

 

每一行中间都有这个包所携带的标志：

S=SYN，发起连接标志

P=PUSH，传送数据标志

F=FIN，关闭连接标志

ack    表示确认包

RST=RESET，异常关闭连接

. 表示没有任何标志

 

 

常用参数：

Tcp/udp/arp等：指定协议类型。

(src/dst)Host:指定源端或者目的端ip。

(src/dst)port：指定源端或者目的端

-i：指定网卡。

-n：显示ip，而不是主机名。

-c：指定抓多少个包后退出。

-A：以ASCII方式显示包内容，这个选项对文本格式的协议包非常有用。

-s：指定抓包显示一行的宽度，-s0表示显示完整的包，经常和-A一起用。

-x/-xx/-X/-XX：以十六进制显示包内容，几个选项只有细微的差别，详见man手册。