tcpdump&Wireshark工具使用

一、使用本地Wireshark工具

1、先选择需要跟踪的网卡（相应的网络连接）；

2、输入需要该网卡过滤的条件，比如 监控本地到服务器地址192.168.1.200 交互的所有请求，则设置 ip.addr ==192.168.1.200，并手动回车；

    如果只关注单个服务，则增加端口；ip.addr ==192.168.1.200 and tcp.port==80

3、请求和响应报文的对应；

 

二、 tcpdump

抓取指定机器指定端口的数据  详细可以参见 https://www.cnblogs.com/ct20150811/p/9431976.html

①tcpdump -i em1 host 192.168.1.200 and port 80  -w  temp.cap  --抓包到文件 ctrl+c停止抓包  

（网卡信息可以通过ifconfig查看）

tcpdump -i em1 -G 60  host 192.168.1.200  -w  ww.cap

 

② 抓取报文后隔指定的时间保存一次：

tcpdump -i em1 -G 60 -Z root host 192.168.1.200 and port 80 -w %Y_%m%d_%H%M_%S.pcap

 

③. tcpdump抓取HTTP包

tcpdump -i em1 -s0 -C 1 -Z root host 192.168.1.200 and port 80 and tcp[20:2]=0x4745 or tcp[20:2]=0x4854 -w liuqian.pcap

参见 https://www.cnblogs.com/cherishry/p/5886058.html