编程技术分享平台

网站首页 > 技术教程 正文

Linux tcpdump 常用抓包工具介绍(linux tcpdump抓包命令)

xnh888 2025-07-06 17:38:15 技术教程 6 ℃ 0 评论

tcpdump抓包工具 安装

没有安装tcpdump的机器,执行tcpdump命令时,会提示command not found

yum install -y tcpdump     //安装tcpdump

有的机器安装不上,会提示下图

执行下面两个命令后,再安装试试

yum clean all
yum makecache

如果还不行,使用rpm包安装

tcpdump用法

#从所有网卡中捕获数据包
tcpdump -i any
#从指定网卡中捕获数据包
tcpdump -i ens160

上面的ens160,不同机器可能不一样。比如在192.168.1.9节点上执行ifconfig,查找192.168.1.9,此ip对应的网卡是ens160。一般环境基本都是ens160,实际使用过程中根据网卡修改。

#根据 IP 地址查看报文

要获取指定 IP 的数据包,不管是作为源地址还是目的地址,使用下面命令:

tcpdump host 192.168.1.9 -i ens160  //备注:出、入的包都会被监听 -i ens160为指定网卡

要指定 IP 地址是源地址或是目的地址则使用:

tcpdump src 192.168.1.9 -i ens160 //源 从192.168.1.9发出的数据
tcpdump dst 192.168.1.9 -i ens160 //目标 发送到192.168.1.9的数据

#查看某个协议或端口号的数据包

要查看某个协议的数据包,运行下面命令:

tcpdump tcp -i ens160

要捕获某个端口或一个范围的数据包,使用:

tcpdump port 22 -i ens160
tcpdump portrange 22-125 -i ens160

# -nn数字的方式显示IP和端口。一个n是ip

tcpdump tcp -i ens160 -nn

不加-nn的一般如下显示

加-nn的,格式看起来更方便。如下:

#抓包内容写入文件
tcpdump tcp -i ens160 -w file.cap
tcpdump tcp -i ens160 -w 1234.txt

写入文件方式,有可能在CRT上看不到实时动态,一直如下。但一直往file.cap中写入内容。

#查看抓包文件
tcpdump -r file.cap

或者通过sftp下载到本地也行,但cap文件直接打开,会有乱码情况存在。在windows系统机器上可以安装wireshark查看cap文件。

#举例:

tcpdump tcp -s 0 -i ens160 and port 31315
tcpdump tcp -s 0 -i ens160 and port 31315 –v

tcpdump -nn 数字的方式显示IP和端口。一个n是ip

tcpdump -c x 抓包数量,x为数字

tcpdump port xx 抓指定端口的包,xx为端口号

tcpdump tcp and port xx 指定协议和端口,xx为端口号,and可以省略不写

tcpdump host xx.xx.xx.xx 指定来源IP或目标IP的包 xx.xx.xx.xx为IP地址。

tcpdump -w xx.txt 把抓的包写入一个文件,xx.txt为文件名

tcpdump -s0 -w xx.txt 抓包时防止包截断,s0的0为数字0,抓一个完整的包必须加s0。

tcpdump -r xx.txt 用户查看-w抓的包,xx.txt为文件名

-w抓的包实际是包的内容,非简单的流向。如果访问一张图片,用-w可以把这张图片抓出来。只看流向的话,可以使用重定向。

tcpdump混合抓包

Tcpdump混合抓包,ens160为网卡,CRT连接节点,直接执行下面命令即可

ip link set ens160 promisc on ----------------开启混杂模式
ip link set ens160 promisc off ----------------关闭混杂模式
ip a show ens160 | grep -i promisc ----------------检测某台机器是否开启混杂模式

如下图,如果有promisc字眼,就是开启了混杂模式

tcpdump命令在docker容器内抓包

第一步 docker ps |grep snsabc --------获取容器的id,本例为4a09254b55f8

第二步 docker inspect --format "{{.State.Pid}}" 4a09254b55f8 --------得到下面的Pid,本例为30642

第三步 nsenter -t 30642 -n tcpdump -i eth0 -w
~/testcontainer-cap-79.cap
--------开始容器抓包,CRT屏幕不会滚动,抓包结果会保存到根目录testcontainer-cap-79.cap中。

本文暂时没有评论,来添加一个吧(●'◡'●)

欢迎 发表评论:

最近发表
标签列表