tcpdump

1.tcpdump 安装

tcpdump: Couldn't find user 'tcpdump'；

找不到用户，可能是安装前passwd等文件被锁定了，安装时不能创建“tcpdump” 需要在安装的时候打开这几个文件修改权限

lsattr /etc/passwd 查看是否被chattr锁定

在/etc/passwd 等几个文件都用chattr锁定了

于是：(chattr  +i :锁定文件，-i：解锁文件),导致的原因是密码文件被锁定，导致tcpdump用户无法条件，最终造成其无法找到对应的用户命令。

yum remove tcpdump

chattr -i /etc/passwd /etc/shadow /etc/group /etc/gshadow

yum install  tcpdump

2.tcpdump使用

可以用tcpdump -i 网卡 -w /filename 将抓到的数据存到文件中 然后在用 wireshark等工具分析数据包

3. 基本参数

dst 目的IP

src 源IP

port 端口

-i  any/指定网卡

-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析

-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名

-v：当分析和打印的时候，产生详细的输出。(包含协议)
-vv：产生比-v更详细的输出。
-vvv：产生比-vv更详细的输出。

-c：指定要抓取的包数量。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包。