linux抓包命令tcpdump

Answer 1

tcpdump是一个功能强大的命令行数据包分析器，它通过监听服务器的网卡获取数据包，可用于分析所有网络访问的数据。此工具还具有过滤功能，可以获取特定网络、端口或协议的数据包。

程序员在日常问题排查中，常利用过滤功能获取特定端口的数据包，以分析服务器是否收到请求，请求数据是否完整。

tcpdump命令的参数丰富，本文仅介绍常用参数：

参数 -c count 表示指定数量的数据包，达到count后结束命令；若不使用此参数，程序将持续抓取数据包，直到手动停止。

参数 -C file_size 在抓取数据包保存到文件时，通过此命令设定文件大小。文件达到指定大小后，将创建以原文件名加序号的新文件，例如 dump.txt, dump.txt1。单位为字节（b）。

参数 -D 列出服务器的所有网卡，tcpdump默认监听编号最小的网卡（一般为eth0）。在执行抓包时，可通过参数 -i interface 指定监听的网卡，any 表示监听所有网卡。

参数 -n 输出结果时，不将IP转换为主机名（默认显示主机名）。

参数 -q 快速输出，仅显示简要的数据包信息。

参数 -r file 从文件读取数据包，不再从网络获取数据包。

参数 -t 不输出时间戳。

参数 -w file 将抓取的数据包保存到指定文件，与参数 -r 结合使用时，从文件中读取数据包。

参数 -W filecount 指定文件数量，文件滚动到指定数量后，从第一个文件开始覆盖。

除了上述参数，还存在用于条件过滤的关键字，如：

参数 -host 过滤主机，例如 tcpdump host 192.168.1.110 只抓取经过此IP的数据包。

参数 -src 用于过滤请求来源方，如 tcpdump src host 192.168.1.110 只抓取从此IP过来的数据包。

参数 -dst 用于过滤请求接收方，例如 tcpdump dst host 192.168.1.110 只抓取发送到此IP的数据包。

参数 -port 过滤端口，如 tcpdump port 8080 只抓取经过8080端口的数据包。

参数 -net 过滤网络，如 tcpdump net 192.168 只抓取经过此网段的数据包。

逻辑操作符如 -and、not、or 用于条件组合，例如 tcpdump net 192.168 and port 8080 抓取特定网络和端口的数据包。

数据包分析结果如下：

时间戳：时:分:秒.微秒

IP协议名称

请求发送方IP和端口 > 请求接收方IP和端口。端口可能显示为协议名，如HTTP、SSH、MySQL等。

Flags [R]

标识和状态，可选状态包括 [S.] [.] [P.] [F.][R]

seq、ack、fin

表示TCP协议的握手和挥手过程。seq表示请求序列号，ack是回答序列号，fin表示完成。序列号显示为相对值，使用参数 -S 可显示绝对值。

win

当前窗口大小

length

报文体长度，此长度可用于简单分析是否正确接收请求。

利用以上信息可进行基本分析，通过参数 -w 将数据包写入文件，文件中包含更详细信息，借助分析工具如Wireshark进行进一步分析。

常用命令示例：

抓取8080端口的数据包

抓取从192.168.1.110发送到192.168.1.111的数据包

抓取192.168网段除了192.168.1.110的请求数据包

抓取8080端口的数据包并写入dump.log文件

注意事项：

1. 运行tcpdump需要管理员权限，可通过sudo命令或使用root用户。

2. 通过length字段只能进行简单判断，欲进行详细分析，需借助数据包分析工具，如Wireshark。