【介绍】

TCPDUMP的抓包方式是命令行，通过使用不同的表达式，它可以非常灵活地对接口的数据包进行筛选抓取。如果不对该工具进行选项设置，它就会默认抓取第一个网络接口，而且需要用户手动终止进程。

性能引见

1、数据过滤

不带任何参数的该工具将搜刮系统中第一个网络接口，并展示它截获的一切数据，这些数据对我们纷歧定全都需求，并且数据太多晦气于解读。所以，我们该当先想好需求哪些数据，该工具供给以下参数供我们选择数据：

-b 在网络层上选择契约，包罗ip、arp、rarp、ipx都是这一层的。

例如：tcpdump -b arp 将只展示网络中的arp即地址转换契约信息。

-i 选择过滤的网络接口，若是是作为路由器最少有两个网络接口，经由这个选项，便可以只过滤指定的接口上经由的数据。

例如：

-i eth0 只展示经由eth0接口上的一切报头。

src、dst、port、host、net、ether、gateway这几个选项又别离包括src、dst 、port、host、net、ehost等附加选项。他们用来分辩数据包的来源和去向，src host 192.168.0.1指定源主机IP地址是192.168.0.1，dst net 192.168.0.0/24指定方针是网络192.168.0.0。以此类推，host是与其指定主机相干不管它是源仍是目标，net是与其指定网络相干的，ether前面跟的不是IP地址而是物理地址，而gateway则用于网关主机。能够有点繁琐，看上面例子就晓得了：

src host 192.168.0.1 and dst net 192.168.0.0/24

过滤的是源主机为192.168.0.1与目标网络为192.168.0.0的报头。

ether src 00:50:04:BA:9B and dst……

过滤源主机物理地址为XXX的报头（为何ether src前面没有host或net？物理地址固然不成能有网络喽）。

src host 192.168.0.1 and dst port not telnet

过滤源主机192.168.0.1和目标端口不是telnet的报头。

ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的定位，用来过滤数据报的类型。

例如：

ip src……

只过滤数据-链路层上的IP报头。

udp and src host 192.168.0.1

只过滤源主机192.168.0.1的一切udp报头。

2、输出输入

该工具供给了足够的参数来让我们选择若何处置获得的数据，以下所示：

-l 可以将数据重定向。

如tcpdump -l 》tcpcap.txt将获得的数据存入tcpcap.txt文件中。

-n 不开启IP地址到主机名的转换。

若是不运用这一项，当系统中存在某一主机的主机名时，该工具会把IP地址转换为主机名展示，就像如许：eth0 《 ntc9.1165》 router..telnet，运用-n后酿成了：eth0 《 192.168.0.9.1165 》 192.168.0.1.telnet。

-nn 不开启端口称号的转换。

下面这条信息运用-nn后就酿成了：eth0 《 ntc9.1165 》 router..23。

-N 不打印出默许的域名。

仍是这条信息-N 后就是：eth0 《 ntc9.1165 》 router.telnet。

-O 不开启婚配代码的优化。

-t 不打印UNIX时间戳，也就是不展示时间。

-tt 打印原始的、未格局化过的时间。

-v 具体的输出，也就比通俗的多了个TTL和服务类型。

表达式引见

表达式是一个正则表达式，该工具操纵它作为过滤报文的前提，若是一个报文完成表 达式的前提，则这个报文将会被捕捉。若是没有给出任何前提，则网络上一切的信息包将会被截获。

在表达式中普通以下几各种不同类别型的重点字：

1、第一种是关于类型的重点字，首要包罗host，net，port，例如 host 210.27.48.2， 指明 210.27.48.2是一台主机，net 202.0.0.0指明202.0.0.0是一个网络地址，port 23 指明端标语是23。若是没有指定类型，缺省的类型是host。

2、第二种是肯定传输标的目的重点字，首要包罗src，dst，dst or src，dst and src， 这些重点字指了然传输的标的目的。举例申明，src 210.27.48.2 ，指明ip包中源地址是 210.27.48.2 ， dst net 202.0.0.0 指明目标网络地址是202.0.0.0。若是没有指明 标的目的重点字，则缺省是src or dst重点字。

3、第三种是契约的重点字，首要包罗fddi，ip，arp，rarp，tcp，udp等类型。Fddi指明是在FDDI （散布式光纤数据接口网络）上的特定的网络契约，现实上它是ether的别号，fddi和ether 具有近似的源地址和目标地址，所以可以将fddi契约包看成ether的包开启处置和解读。 其他的几个重点字就是指了然监听的包的契约内容。若是没有指定任何契约，则该工具 将会 监听一切契约的信息包。

4、除了这三种类型的关键字之外，其他重要的关键字如下：gateway， broadcast，less， greater， 还有三种逻辑运算，取非运算是 ‘not ‘ ’! ‘， 与运算是’and’，’&&‘;或运算是’or’ ，’||’; 这些关键字可以组合起来构成强大的组合条件来满足人们的需要。

输出成果引见

我们首要引见几种典型的该工具指令的输出信息

1、数据链路层头信息

运用指令：

# --e host ICE

ICE 是一台装有linux的主机。它的MAC地址是0：90：27：58：AF：1A H219是一台装有Solaris的SUN任务站。它的MAC地址是8：0：20：79：5B：46； 上一条指令的输出成果以下所示：

21:50:12.847509 eth0 《 8:0：20:79:5b:46 0:90:27:58:af:1a ip 60： h219.33357 》 ICE. telne t 0:0（0） ack 22535 win 8760 （DF）

21：50：12是展示的时间， 847509是ID号，eth0 《暗示从网络接口eth0领受该分组， eth0 》暗示从网络接口产品发送分组， 8:0：20:79:5b:46是主机H219的MAC地址， 它表白是从源地址H219发来的分组。 0:90:27:58:af:1a是主机ICE的MAC地址， 暗示该分组的目标地址是ICE。 ip 是表白该分组是IP分组，60 是分组的长度， h219.33357 》 ICE. telnet 表白该分组是从主机H219的33357端口发往主机ICE的 TELNET（23）端口。 ack 22535 表白对序列号是222535的包开启呼应。 win 8760表白发 送窗口的大小是8760。

2、ARP包的该工具输出信息

运用指令：

# arp

获得的输出成果是：

22:32:42.802509 eth0 》 arp who-has route tell ICE （0:90:27:58:af:1a）

22:32:42.802902 eth0 《 arp reply route is-at 0:90:27:12:10:66 （0:90:27:58:af:1a）

22:32:42是时间戳， 802509是ID号， eth0 》表白从主机收回该分组，arp表白是ARP要求包， who-has route tell ICE表白是主机ICE要求主机route的MAC地址。0:90:27:58:af:1a是主机 ICE的MAC地址。

3、TCP包的输出信息

用该工具捕捉的TCP包的普通输出信息是：

src 》 dst： flags data-seqno ack window urgent options

src 》 dst：表白从源地址到目标地址， flags是TCP报文中的标记信息，S 是SYN标记， F （FIN）， P （PUSH） ， R （RST） 。 （没有记录）; data-seqno是报文中的数据 的顺序号， ack是下次希冀的顺序号， window是领受缓存的窗口大小， urgent表白 报文中是不是有告急指针。 Options是选项。

4、UDP包的输出信息

用该工具捕捉的UDP包的普通输出信息是：

route.port1 》 ICE.port2： udp lenth

UDP非常易懂，下面的输出行表白从主机route的port1端口收回的一个UDP报文 到主机ICE的port2端口，类型是UDP， 包的长度是lenth。

小编评价

用户可以在抓包选项中设置想要抓取的数据包数量和抓取长度，并能够指定流入或者流出的包，还可以设置想要监听的接口。它还提供输出选项面板，您可以选择让每行输出都包括数据链路层头部信息，或者以16进制和ASCII两种方式同时输出。

好了，今天的TCPDUMP分享就到这里了，想要下载更多软件就来软件爱好者，快快收藏吧，更多精彩不容错过！