Tcpdump使用

tcpdump是linux系统下强大的数据包分析工具，通过将网卡设置为混杂模式来截取经过网口的每一个分组进行分析，（作用类似windows平台下wireshark等抓包工具）

www.tcpdump.org

dsniff一款非常流行的网络嗅探器软件包“www.monkey.org/~dugsong/dsniff”

功能:判断数据是否经过设备，内网是否有arp欺骗，分析数据走向，分析tcp建立状态，分析端口映射数据走向及分析应用层协议等内容

格式 tcpdump + 参数 + 表达式

tcpdump （-adeflnNOpqStvx） [-c 数量][-F 文件名][-i 网络接口][-r 文件名][-s naplen][-T 类型][-w 文件名][表达式]

-i 指定监听的网络接口

-e 在输出行打印出数据链路层的头部信息

-c 截取指定数目的数据包

-n 不把网络地址转换成名字（不做dns域名解析）

-nn 不把端口和网络地址转换成名称（端口以数字显示）

-x 将截取的数据包内容以十六进制打印出来

-X 将截取的数据包内容以ASCII文本形式打印出来

-s 截取指定大小的数据包，s0表示完整数据包

-W 将抓包内容保存到指定的文件并不打印出来

-a 将网络地址和广播地址转变成名字

-t 在输出的每一行不打印时间戳

-v 输出一个稍微详细的信息

-vv 输出详细的报文信息

-F 从指定的文件中读取表达式，忽略其他的表达式

-r 从指定的文件中读取包（这些包一般通过-w选项产生）

tcpdump -i eth2 dst 10.1.1.1 抓取去往目的主机为10.1.1.1的数据包（对应src）

tcpdump -i eth2 arp -nn （ip、tcp、udp、icmp、802.1Q等）缺省监听所有协议

tcpdump -i eth2 host 1.1.1.1 and icmp nn 抓取网卡eth2上去往目标地址为1.1.1.1的数据包（not ！非运算）（and &&与运算）（or || 或运算）

抓取特殊报文

tcpdump -i eth0 ether[42:4]=0xc0a864c7 or ether[46:4]=0xc0a864c7

本文转自 周小玉 51CTO博客，原文链接：http://blog.51cto.com/maguangjie/2051265，如需转载请自行联系原作者