9个tcpdump使用实例

最新推荐文章于 2025-05-23 11:23:44 发布
最新推荐文章于 2025-05-23 11:23:44 发布
阅读量718 收藏
点赞数
分类专栏： c linux
本文介绍了tcpdump命令的九个实用示例，包括指定网口、限制包数量、保存及读取包文件、禁用域名解析、增加时间戳、指定协议类型、指定端口以及过滤特定IP和端口等内容。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

转自：http://www.cnblogs.com/bangerlee/articles/2545612.html


tcpdump能帮助我们捕捉并保存网络包，保存下来的网络包可用于分析网络负载情况，包可通过tcpdump命令解析，也可以保存成后缀为pcap的文件，使用wireshark等软件进行查看。

 

以下将给出9个使用tcpdump的例子，以说明tcpdump的具体使用方法。

 

1.针对特定网口抓包(-i选项)

当我们不加任何选项执行tcpdump时，tcpdump将抓取通过所有网口的包；使用-i选项，我们可以在某个指定的网口抓包：

复制代码 
linux:/tmp/lx # tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
10:50:28.607429 IP 10.70.121.92.autodesk-lm > 10.71.171.140.ssh: . ack 116 win 64951
10:50:28.607436 IP 10.71.171.140.ssh > 10.70.121.92.autodesk-lm: P 116:232(116) ack 1 win 12864
10:50:30.384195 arp who-has 128.128.128.35 tell 128.128.128.35
复制代码

以上例子中，tcpdump抓取所有通过eth0的包。

 

2.抓取指定数目的包(-c选项)

默认情况下tcpdump将一直抓包，直到按下”ctrl+c”中止，使用-c选项我们可以指定抓包的数量：

复制代码 
linux:/tmp/lx # tcpdump -c 2 -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
10:58:05.656104 IP 10.71.171.140.ssh > 10.70.121.92.autodesk-lm: P 1210443473:1210443589(116) ack 2583117929 win 12864
10:58:05.657074 IP 10.70.121.92.autodesk-lm > 10.71.171.140.ssh: . ack 116 win 65211

2 packets captured
6 packets received by filter
0 packets dropped by kernel
复制代码

以上例子中，只针对eth0网口抓2个包。

 

3.将抓到包写入文件中(-w选项)

使用-w选项，我们可将抓包记录到一个指定文件中，以供后续分析

复制代码 
linux:/tmp/lx # tcpdump -w 20120606.pcap -i eth0
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes

75 packets captured
150 packets received by filter
0 packets dropped by kernel
复制代码

应当保存为.pcap后缀的文件，方便我们使用wireshark等工具读取分析。

 

4.读取tcpdump保存文件(-r选项)

对于保存的抓包文件，我们可以使用-r选项进行读取：

复制代码 
linux:/tmp/lx # tcpdump -r 20120606.pcap
reading from file 20120606.pcap, link-type EN10MB (Ethernet)
11:01:57.392907 IP 10.71.171.140.ssh > 10.70.121.92.autodesk-lm: P 1210446405:1210446457(52) ack 2583119957 win 12864
11:01:57.392917 IP 10.71.171.140.ssh > 10.70.121.92.autodesk-lm: P 52:168(116) ack 1 win 12864
11:01:57.393649 IP 10.70.121.92.autodesk-lm > 10.71.171.140.ssh: . ack 52 win 65327
复制代码

 

5.抓包时不进行域名解析(-n选项)

默认情况下，tcpdump抓包结果中将进行域名解析，显示的是域名地址而非ip地址，使用-n选项，可指定显示ip地址。

 

6.增加抓包时间戳(-tttt选项)

使用-tttt选项，抓包结果中将包含抓包日期：

复制代码 
linux:/tmp/lx # tcpdump -n -tttt -i eth0
2012-06-06 11:14:59.539736 IP 10.71.171.140.22 > 10.70.121.95.1787: P 1:53(52) ack 100 win 7504
2012-06-06 11:14:59.539754 IP 10.71.171.140.22 > 10.70.121.95.1787: P 53:105(52) ack 100 win 7504
2012-06-06 11:14:59.539770 IP 10.71.171.140.22 > 10.70.121.95.1787: P 105:157(52) ack 100 win 7504
复制代码

 

7.指定抓包的协议类型

我们可以只抓某种协议的包，tcpdump支持指定以下协议：ip,ip6,arp,tcp,udp,wlan等。以下例子只抓取arp协议的包：

复制代码 
linux:/tmp/lx # tcpdump -i eth0 arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:22:26.948656 arp who-has 10.10.1.30 tell 10.10.1.26
11:22:27.017406 arp who-has 10.10.1.30 tell 10.10.1.26
11:22:27.078803 arp who-has 10.10.1.30 tell 10.10.1.26
复制代码

 

8.指定抓包端口

如果想要对某个特定的端口抓包，可以通过以下命令：

复制代码 
linux:/tmp/lx # tcpdump -i eth0 port 22
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:41:04.387547 IP 10.70.121.92.autodesk-lm > 10.71.171.140.ssh: . ack 1216136825 win 64751
11:41:04.387891 IP 10.71.171.140.ssh > 10.70.121.92.autodesk-lm: P 1:233(232) ack 0 win 16080
11:41:04.398973 IP 10.70.121.92.autodesk-lm > 10.71.171.140.ssh: P 0:52(52) ack 233 win 64519
复制代码

 

9.抓取特定目标ip和端口的包

网络包的内容中，包含了源ip地址、端口和目标ip、端口，我们可以根据目标ip和端口过滤tcpdump抓包结果，以下命令说明了此用法：

linux:/tmp/lx # tcpdump -i eth0 dst 10.70.121.92 and port 22

 

Reference: Packet Analyzer: 15 TCPDUMP Command Examples


Linux抓包命令tcpdump使用技巧大全
网络技术联盟站
06-07 1052
tcpdump是一个网络数据包分析工具，由Van Jacobson、Craig Leres和Steven McCanne在1988年开发。它是一个命令行工具，能够实时地捕获和显示通过网络接口传输的数据包。tcpdump基于libpcap库工作，libpcap是一个跨平台的C/C++库，用于捕获网络数据包。
tcpdump 用法示例
shimly123456的博客
02-22 353
使用 tcpdump 监听 26099 端口。tcpdump 捕捉到了来往的 UDP 包。
流量抓包和网络问题排查，网工不要只会Wireshark，用好TCPdump才是大神！（非常详细）从零基础入门到精通，收藏这篇就够了
最新发布
leah126的博客
05-23 877
tcpdump是一款功能强大的命令行网络数据包分析工具。它由Lawrence Berkeley National Laboratory开发并作为开源项目发布。tcpdump可以将网络中传输的数据包的“头”完全截获下来提供分析，支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句来帮助去掉无用的信息。TCPdump 运行在用户态，本质上是通过调用 Libpcap 库的各种 API 来实现数据包的抓取功能。
tcpdump示例
weixin_30487701的博客
02-15 115
今天有需求要用tcpdump，给一个我使用的例子： sudo /usr/sbin/tcpdump dst 10.20.137.24 and tcp port 8080 -A -s0 -w nouse-A 表示只用ASCII码显示， 方便查看网页-x 表示用16进制-X 表示16进制和ASCII码同时显示-s0 表示不限制包的大小-w 表示写入文件参考了下面的文章，不胜感激。Let ...
tcpdump
风之子的专栏
07-07 1662
常用用法（这里用sudo因为当前帐号无权使用tcpdump，这里仅以一个tcp的例子来说明）：sudo /usr/sbin/tcpdump tcp port 80 and host 172.23.1.69 -ieth1 -n 每一行中间都有这个包所携带的标志：S=SYN，发起连接标志P=PUSH，传送数据标志F=FIN，关闭连接标志ack    表示确认包R
TCPDUMP Command Examples
weixin_33725515的博客
01-08 399
tcpdump command is also called as packet analyzer. tcpdump command will work on most flavors of unix operating system. tcpdump allows us to save the packets that are captured, so that we can use it f...
Linux系统抓包命令tcpdump使用实例.docx
09-26
Linux 系统抓包命令 tcpdump 使用实例 tcpdump 是 Linux 命令行下常用的一个抓包工具，记录一下平时常用的方式，测试机器系统是 Ubuntu 12.04。tcpdump 的命令格式为：tcpdump [-i 网卡] -nnAX 表达式。 参数说明...
Linux中tcpdump命令实例详解
09-15
Linux中的tcpdump命令是一个强大的网络数据包分析工具，主要用于在网络层截取并分析网络通信数据。这个命令允许用户根据特定的条件过滤数据包，以便更好地理解网络流量和诊断网络问题。tcpdump支持多种协议和过滤...
Linux下tcpdump命令解析及使用详解
01-09
这些命令实例展示了tcpdump的强大功能，可以根据实际需求组合使用过滤条件，以获取所需的网络流量信息。在网络安全、故障排查、性能优化等领域，tcpdump都是一个不可或缺的工具。了解并熟练掌握其使用方法，能极大地...
tcpdump 常用例子
Listen2You的博客
03-24 461
tcpdump 是一个很常用的网络包分析工具，可以用来显示通过网络传输到本系统的 TCP/IP 以及其他网络的数据包。tcpdump 使用 libpcap 库来抓取网络报，这个库在几乎在所有的 Linux/Unix 中都有。tcpdump 可以从网卡或之前创建的数据包文件中读取内容，也可以将包写入文件中以供后续使用。必须是 root 用户或者使用 sudo 特权来运行 tcpdump。在本文中，我...
tcpdump examples
shenyan008的专栏
11-18 1015
Using tcpdump to sniff HTTP traffic from a specific host This is mostly just a reminder to myself about my preferred parameters to tcpdump on linux, so that I don't have to keep reading the man
tcpdump (examples)
realmeh的专栏
12-27 1401
tcpdump (examples) Here are some more tcpdump examples for some more advanced use cases. For simple usage examples, see the main tcpdump topic. Filter on protocol (ICMP) and protocol-speci
Tcpdump实例分析 .
mm624531604的专栏
05-22 575
命令使用 tcpdump采用命令行方式，它的命令格式为： tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c count ] [ -C file_size ] [ -F file ] [ -i interface ] [ -m module ] [ -M secret ] [ -r fil
tcpdump使用案例
weixin_46048542的博客
12-05 639
tcpdump使用 3.1 语法 类型的关键字 host(缺省类型): 指明一台主机，如：host 210.27.48.2 net: 指明一个网络地址，如：net 202.0.0.0 port: 指明端口号，如：port 23 确定方向的关键字 src: src 210.27.48.2, IP包源地址是210.27.48.2 dst: dst net 202.0.0.0, 目标网络地址是202.0.0.0 dst or src(缺省值) dst and src 协议的关键字：缺省值是监听所有协议的信息包 f
tcpdump教程_Tcpdump教程示例
cunjiu9486的博客
10-13 527
tcpdump教程Tcpdump is a packet sniffer for everyday use. There is a lot of packet sniffers but tcpdump differs with his general availability and ease of use. Tcpdump use libcap library which is the core...
java linux怎么抓tcp包_linux之linux抓包工具tcpdump
weixin_33210666的博客
02-16 453
tcpdump是一个用于截取网络分组，并输出分组内容的工具，简单说就是数据包抓包工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为Linux系统下用于网络分析和问题排查的首选工具。tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的Linux系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具...
tcpdump 网络抓包工具使用及实例参考
企业实战系列集 ●●● https://ximenjianxue.blog.youkuaiyun.com
09-22 5436
前言 tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。 另外，tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性。tcpdump存在于基本的Linux系统 中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。tcpdump可
tcpdump命令详解及使用实例
weixin_43996007的博客
03-04 4816
tcpdump命令详解及使用实例 一、tcpdump简介 tcpdump可以将网络中传送的数据包完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来去掉无用的信息。 它是一个运行在命令行下的抓包工具，适用于大多数的类Unix系统操作系统(如linux,BSD等)。类Unix系统的 tcpdump 需要使用libpcap这个捕捉数据的库，就像 ...
tcpdump使用
03-20
### TCPDump 使用教程 TCPDump 是一种强大的命令行工具，用于捕获和分析网络流量。以下是关于其基本功能以及如何使用的详细介绍。 #### 基本语法 TCPDump 的通用语法如下： ```bash tcpdump [选项] [表达式] ``` 其中 `选项` 控制程序的行为，而 `表达式` 定义要捕获哪些类型的流量。 --- #### 1. 抓取指定网段的流量 可以使用 `-net` 参数来限定特定子网范围内的流量。例如，如果想抓取来自或去往 `192.168.1.0/24` 子网的所有数据包，则可执行以下命令[^1]: ```bash [root@benarchen ~]# tcpdump -ni eth0 net 192.168.1.0/24 ``` 上述命令中的参数含义为： - `-n`: 不解析主机名。 - `-i eth0`: 指定监听的网络接口为 `eth0`。 - `net 192.168.1.0/24`: 表示仅显示涉及该子网的数据流。 --- #### 2. 过滤 SYN 数据包 为了专注于某些特殊类型的数据传输过程（比如建立连接），可以通过设置过滤器捕捉仅有 SYN 标志位被置起始信号的数据帧。下面这个例子展示了怎样实现这一点[^2]: ```bash tcpdump -i xl0 'tcp[tcpflags] & (tcp-syn) != 0' ``` 或者更简洁的形式也可以写成这样: ```bash tcpdump -i xl0 tcp[13] == 2 ``` 这里的关键部分解释如下： - `'tcp[tcpflags]'` 提取出 TCP 头部标志字段的内容； - `(tcp-syn)` 对应于二进制表示下的第 2 位置上的比特值——即 SYN 标记的位置； - 当且仅当这一位有效时才匹配成功并记录下来相应的报文信息。 --- #### 3. 高级过滤条件组合 假设我们需要监测两台具体设备间通过 HTTP 协议交互的情况，并排除掉访问百度网站所产生的通讯行为，则可以用到较为复杂的布尔逻辑运算符构建查询语句[^3]: ```bash tcpdump ip dst 192.168.56.1 and src 192.168.56.210 and port 80 and host ! www.baidu.com ``` 这条指令分解来看就是分别设置了目标地址(`dst`)、源地址(`src`)、服务端口号(`port`)还有否定某个域名(`!host`)等多个筛选维度共同作用的结果。 --- #### 4. 自动化控制抓包数量 有时候我们并不希望一直持续运行直到手动终止进程，而是预先设定好想要获取多少条符合条件的日志之后就自动退出。这时就可以利用 `-c` 参数配合具体的数值完成这项需求[^4]. 下面给出的例子说明了如何让系统仅仅收集八个 ICMP 类型的消息后再停止工作: ```bash tcpdump -i eth0 -n -c 8 icmp ``` 在此基础上还可以进一步扩展其他附加特性，像关闭 DNS 反向查找等功能以提高效率(-n)，或是调整输出格式等等。 --- ### 总结 以上介绍了几种常见的场景下运用 Tcpdump 工具的方法论及其背后原理剖析。实际操作过程中可以根据具体情况灵活搭配不同的开关项与约束规则达成预期目的。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值