超级详细Tcpdump 的用法

作者: jeffyan 出处:CU　 ( ) 砖 ( ) 好评论 ( ) 条　进入论坛

更新时间：2005-12-26 11:55
关键词：TCP
阅读提示：第一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host.

第一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host.
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。
第三种是协议的关键字，主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'or' ,'││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。
普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包。
# tcpdump
tcpdump: listening on fxp0
11:58:47.873028 202.102.245.40.netbios-ns > 202.102.245.127.netbios-ns: udp 50
11:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1d ui/C len=43
                     0000 0000 0080 0000 1007 cf08 0900 0000
                     0e80 0000 902b 4695 0980 8701 0014 0002
                     000f 0000 902b 4695 0008 00
11:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0 ui/C len=97
                     ffff 0060 0004 ffff ffff ffff ffff ffff
                     0452 ffff ffff 0000 e85b 6d85 4008 0002
                     0640 4d41 5354 4552 5f57 4542 0000 0000
                     0000 00
使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用，
使用-c参数指定要监听的数据包数量，
使用-w参数指定将监听到的数据包写入文件中保存
A想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
#tcpdump host 210.27.48.1
B想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中适用　括号时，一定要
#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
C如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
D如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
#tcpdump tcp port 23 host 210.27.48.1
E 对本机的udp 123 端口进行监视 123 为ntp的服务端口
# tcpdump udp port 123

F 系统将只对名为hostname的主机的通信数据包进行监视。主机名可以是本地主机，也可以是网络上的任何一台计算机。下面的命令可以读取主机hostname发送的所有数据：
#tcpdump -i eth0 src host hostname
G 下面的命令可以监视所有送到主机hostname的数据包：
#tcpdump -i eth0 dst host hostname
H  我们还可以监视通过指定网关的数据包：
#tcpdump -i eth0 gateway Gatewayname
I 如果你还想监视编址到指定端口的TCP或UDP数据包，那么执行以下命令：
#tcpdump -i eth0 host hostname and port 80
J 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
K 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用　括号时，一定要
#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
L 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
M 如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
　#tcpdump tcp port 23 host 210.27.48.1
第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,
greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'o
r' ,'||'；
第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,
如果我们只需要列出送到80端口的数据包，用dst port；如果我们只希望看到返回80端口的数据包，用src port。
#tcpdump –i eth0 host hostname and dst port 80  目的端口是80
或者
#tcpdump –i eth0 host hostname and src port 80  源端口是80  一般是提供http的服务的主机
如果条件很多的话  要在条件之前加and 或 or 或 not
#tcpdump -i eth0 host ! 211.161.223.70 and ! 211.161.223.71 and dst port 80
如果在ethernet 使用混杂模式系统的日志将会记录
May  7 20:03:46 localhost kernel: eth0: Promiscuous mode enabled.
May  7 20:03:46 localhost kernel: device eth0 entered promiscuous mode
May  7 20:03:57 localhost kernel: device eth0 left promiscuous mode
tcpdump对截获的数据并没有进行彻底解码，数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障，通常的解决办法是先使用带-w参数的tcpdump 截获数据并保存到文件中，然后再使用其他程序进行解码分析。当然也应该定义过滤规则，以避免捕获的数据包填满整个硬盘。

滚动新闻　术语词典　问题悬赏

发表

共条查看

评价

相关

·嵌入式
·爱生活爱网络
·阿刘办公设备维修
·综合布线技术交流
·僖哈组

我也说两句

中国领先的 IT 技术网站 ·
技术成就梦想

·NGN:下一代网络
·网络访问中断大排查

· 易成和瑞友加强交流带..
· 中兴声明对菲律宾总统..
· 华发电子否认华为借壳..
· Catalyst 6000/6500 系..
· Practice Lab 3:多路由..
· Route-map policy

· 思科与微软扩大统一通..
· 为什么无线局域网客户..
· agilent推出用于移动Wi..
· tcpip 协议基础
· Vista破解TCP/IP线程数..
· TCP/IP基础教程

排行榜

·路由器设置与口令恢复 (查看59341次)
·常用交换机典型配置 (查看35691次)
·网络管理员考试全真模拟试题(八.. (查看32408次)
·三层交换技术专题 (查看28285次)
·子网掩码教程 (查看25417次)

·2006无线校园建设与应用大会将召开 (1028个砖)
·51CTO专访：造中国特色VPN产品 (446个砖)
·子网掩码教程 (321个砖)
·三层交换技术专题 (258个砖)
·专访锐捷：校园网现状是少规划性价比差 (168个砖)

·51CTO专访：造中国特色VPN产品 (533个好)
·子网掩码教程 (440个好)
·三层交换技术专题 (256个好)
·无线网状网（MESH） (225个好)
·专访锐捷：校园网现状是少规划性价比差 (181个好)

·超级网管员系列大型视频专题 (09月)
·NGN:下一代网络 (08月)
·网络访问中断大排查 (08月)
·FTTx光纤接入 (08月)
·华为一员工因工作压力太大自缢身亡 (07月)

·网络应用趣味技术自测：从DNS到Mai..
·一台电脑上安装145个操作系统

· 网络应用趣味技术自测..
· 微软统一沟通视频系列..
· Oracle 11g Linux正式..
· 微软整合Windows Live..
· 鲁毅智：英特尔的非法..
· 中兴声明对菲总统禁令..
· 从交换机原理看网络广..
· 开源软件启用Java的新..

· 7种选择描绘AMD忐忑前途
· 熊猫烧香制造者今日受..
· 微软推新Live Search抗..
· 专家教你写简历系列之..
· Active Directory中的..
· 思科交换机上实现MAC地..
· 微软向OEM厂商提供XP恢..
· ARP攻防实例一：用Sinf..

订阅技术快讯

电子杂志下载

名称：网络安全精品应用黄皮书
简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。

名称：Vista精品应用黄皮书
简介：《Vista精品应用黄皮书》囊括了Vista的各方面内容。此次的精简版，是将里面的内容做了提取，便于用户下载和使用。内容包含了各种Vista的安装与实施、技巧与解析以及各种Vista相关学习文档和相关软件的安全下载。该电子书是了解和应用Vista人员必备的工具手册，并且也是第一本

名称：2006中国IT论坛精品集合
简介：本书由“51CTO论坛推广联盟”制作完成。书中所有内容均来自各联盟成员的论坛（网站）。制作本书的目的是为了集中大家的优势资源，将更多更精彩的内容带给广大技术爱好者。本书是联盟成立以来制作的第一本书。

专题

最多好

最多砖

DB2 9技术资源中.. 推荐阅读
·DB2 Viper快速入门 ·DB2 9数据库的镜像分割与..	·将XML应用程序从DB2 8.x.. ·DB2 9中的pureXML：如何..
51CTO.com编辑部.. 推荐阅读
·服务器中的“傻瓜机”在.. ·盖茨也喜欢登录Youtube看..	· ·

hellen 的博客
· 职场冲浪（之八）：让感.. ·职场冲浪（之七）：潜心..	·人生如鞋 ·职场冲浪(之六):从离梦最..
白璐的博客
·将职业教育职业化 - 各IT.. ·思科交换机上实现MAC地址..	·关于51CTO合作出书中的职.. ·OSPF动态路由协议入门简介

组网建网	安全频道
· NGN:下一代网络 · 网络访问中断大排查 · FTTx光纤接入	· 平凡黑客讲述精彩人生（.. · 平凡黑客讲述精彩人生（.. · 平凡黑客讲述精彩人生（..
编程频道	前沿技术
· C++是垃圾语言？！ · 2007年IT界七大抄袭事件 · Java实用开发全集	· 解析Ajax开发框架走进A.. · 基于Google Maps与Ajax.. · 基于Google Maps与Ajax..
操作系统	服务器
· Ubuntu 中文开源频道 · Solaris基础知识入门 · 微软正式发布英文版Wind..	· 服务器基础知识入门 · Rambus第二？看全缓冲内.. · 服务器节能对比测试：AM..
数据库	存储频道
· 甲骨文Oracle 11g正式发.. · Oracle数据库开发之PL/S.. · Oracle数据库开发基础教..	· 存储2006，一个并购的大.. · IDC宣布浪潮蝉联存储市.. · 双机热备技术