tcpdump抓取网络

一、抓取机顶盒指定网口(wifi,eth)获取网络的过程包，dhcp协议；

1. 连接好板子，将板子网线，电源线，以及插上一个u盘
2. 打开xshell，新建会话，协议选择SERIA串口选择com3，点击连接

（注：没有com3检查一下有没有连接好板子，以及电脑的232驱动有没有更新)

3、进入/mnt/media_rw/sda1（进入到连接板子上的u盘里，如果没有插u盘，则没有sda1目录）

4、输入命令：tcpdump -i eth0 port 67 and 68 -c 10 -w file（抓取数据）

注：67，68是dhcp的端口号，一个为输入，一个为输出，-c选择抓取多少条数据，-w保存为什么文件，后跟文件名，文件名后缀为pcap。

5、将网线拔下再插上，重复几次，一次操作有4条数据，直到抓取完毕。

二、抓取dns解析网络包；

1. 前三步与上面一致，然后在xshell输入ifconfig（或者add ip）查看xshell的ip。
2. 借助adb工具进行数据的传输，在adb工具的目录下，打开cmd，然后输入adb connect ip（xshell的ip）进行连接。
3. 然后输入adb shell进入adb shell界面。
4. 在xshell里输入命令：tcpdump -i eth0 port 53 -c 10 -w file进行数据的抓取。

（53为dns的端口号）

5、在adb shell中ping网站进行数据传输，可以ping多个网站。

最后在u盘里有抓取的数据包，

tcpdump抓包相关参数命令

-a #将网络地址和广播地址转变成名字

-b #数据链路层上选择协议，包括ip/arp/rarp/ipx都在这一层

-c #指定收取数据包的次数，即在收到指定数量的数据包后退出tcpdump

-D #打印系统中所有可以监控的网络接口

-e #在输出行打印出数据链路层的头部信息

-f #将外部的Internet地址以数字的形式打印出来，即不显示主机名

-i #指定监听网络接口

-L #列出网络接口已知的数据链路

-n #不把网络地址转换为名字

-r #从指定的文件中读取数据，一般是-w保存的文件

-w #将捕获到的信息保存到文件中，且不分析和打印在屏幕

-t #在输出的每一行不打印时间戳

-tt #在每一行中输出非格式化的时间戳

-ttt #输出本行和前面以后之间的时间差

-tttt #在每一行中输出data处理的默认格式的时间戳

-v #输出稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息

-vv#输出详细的保报文信息