tcpdump网络抓包命令详解

tcmdump 命令

tcpdump 是一款强大的 命令行网络抓包工具，用于捕获和分析网络接口上的数据包，支持多种协议（TCP/UDP/ICMP 等）和过滤规则，广泛应用于网络调试、安全分析和流量监控。

核心特点：

• 支持复杂过滤表达式（BPF 语法）。

• 可保存抓包数据（.pcap 文件）供后续分析（如 Wireshark）。

• 跨平台（Linux/macOS/Windows 通过 WinDump）。

1、基础语法

tcpdump [选项] [过滤表达式]

2、常用选项详解

2、过滤表达式

1. 基础过滤规则

2. 协议过滤

3. 逻辑运算符

4、实用场景与示例

1. 基础抓包

# 捕获所有经过 eth0 的流量（Ctrl+C 停止）
tcpdump -i eth0

# 捕获所有 TCP 流量并显示 IP（不解析域名）
tcpdump -n tcp

2. 过滤指定主机和端口

# 捕获与 192.168.1.100 的 22 端口（SSH）通信
tcpdump -n host 192.168.1.100 and port 22

# 捕获源 IP 为 10.0.0.1 的 HTTP 流量
tcpdump -n src 10.0.0.1 and port 80

3. 捕获 HTTP 请求内容

# 显示 HTTP GET/POST 请求的 URL 和头部（ASCII 格式）
tcpdump -A -s0 port 80 | grep -E 'GET|POST'

4. 抓包保存与读取

# 保存抓包数据到文件（适合长时间捕获）
tcpdump -i eth0 -w traffic.pcap

# 读取抓包文件并过滤分析
tcpdump -r traffic.pcap 'tcp port 443'

5. 高级过滤

# 捕获 ICMP 不可达错误（如防火墙拦截）
tcpdump 'icmp[0] == 3'

# 捕获 TCP SYN 包（检测端口扫描）
tcpdump 'tcp[tcpflags] & tcp-syn != 0'

5、输出解析

示例输出：

14:25:30.123456 IP 192.168.1.100.54321 > 8.8.8.8.53: 12345+ A? example.com. (32)

• 时间戳：14:25:30.123456

• 协议：IP（IPv4）

• 源地址：192.168.1.100.54321（IP + 源端口）

• 目标地址：8.8.8.8.53（IP + 目标端口，DNS 服务）

• 包内容：DNS 查询（A? example.com）

6、常见问题解决

1. 权限不足

• 错误：tcpdump: eth0: You don't have permission to capture on that device

• 解决：使用 sudo 或以 root 用户运行：

sudo tcpdump -i eth0

2. 接口列表查询

tcpdump -D  # 列出所有可用网络接口

3. 过滤 MAC 地址

tcpdump ether host 00:11:22:33:44:55  # 捕获指定 MAC 的流量

7、与 Wireshark 结合使用

1. 保存抓包数据：

tcpdump -i eth0 -w traffic.pcap

1. 使用 Wireshark 分析：

wireshark traffic.pcap

8、总结

• 核心命令：

tcpdump -i eth0 -n 'tcp port 80'  # 监控 HTTP 流量
tcpdump -w traffic.pcap           # 保存抓包数据

• 适用场景：

• • 网络故障排查（如连接超时、丢包）。

  • 安全分析（检测异常流量、端口扫描）。

  • 协议学习（观察 TCP 握手、DNS 查询）。

掌握 tcpdump 可快速定位网络层问题，结合过滤表达式和 .pcap 文件分析，是运维和开发人员的必备技能。