Linux的命令行下抓包工具tcpdump的使用图文介绍

什么是tcpdump

tcpdump 是一个命令行下的抓包工具，它能够监听一个网络接口，并输出或保存该接口经过的数据包。tcpdump 的功能强大，可以对各种各样的网络协议进行抓包分析。

安装tcpdump

tcpdump 是 Linux 体系的一个标准工具，可以通过包管理器轻松安装。

在Debian/Ubuntu发行版下安装

可以使用 apt-get 命令安装 tcpdump：

sudo apt-get update
sudo apt-get install tcpdump

在Red Hat/CentOS发行版下安装

可以使用 yum 命令安装 tcpdump：

sudo yum install tcpdump

tcpdump命令的基本使用

监听全部数据包

在默认情况下，tcpdump 监听所有进入或退出指定网络接口的数据包，并将详细的分析信息输出到控制台或 STDOUT（标准输出），如下所示：

sudo tcpdump -i eth0

其中，“-i”参数指定监听的网络接口，这里监听的是 eth0 端口。请注意，tcpdump 命令必须使用 sudo 命令才能在大多数 Linux 发行版中使用，因为它需要 root 权限来访问网络接口。

过滤数据包

在 tcpdump 的常见用法中，最常见的是对数据包进行过滤。为了实现这一点，tcpdump 提供了一个大型的过滤器语言，通常称为 Berkeley Packet Filter 或 BPF。以下是一个过滤 icmp 数据包的例子：

sudo tcpdump -i eth0 icmp

在本示例中，“icmp”指定过滤 ICMP 协议的数据包，仅输出 ICMP 协议的数据包到控制台。

可以使用类似于以下过滤器来指定更具体的过滤条件：

src host 127.0.0.1 and dst host 10.0.0.2

这会设置 tcpdump 仅监视从 IP 地址为 127.0.0.1 的主机发送到 IP 地址为 10.0.0.2 的主机的数据包。

保存输出数据包到文件

可以将输出数据包保存到文件中，以便进行后续分析。使用 -w 参数指定输出文件：

sudo tcpdump -i eth0 -w capture.pcap

其中，-w 参数用于指定文件名，将抓取的数据包保存到所指定的文件中。

从文件中读取数据包

可以通过指定文件名作为关联参数来分析 .pcap 数据包文件，而不是实时监听网络接口。使用 -r 参数指定输入文件：

sudo tcpdump -r capture.pcap

总结

tcpdump 工具是一个强大的网络抓包工具，它可以帮助你捕获并分析来自网络数据包的信息，从而诊断网络问题。本文讲述了 tcpdump 的基本使用，包括监听数据包、过滤数据包、保存数据包到文件和从文件中读取数据包。最重要的是，用户可以对 tcpdump 的过滤器进行多种类型的自定义，以实现对特定协议的过滤和数据包的关注。