在這里，我們將展示如何安裝 tcpdump，然后討論并介紹一些有用的命令以及它們的實(shí)際示例。

Linux tcpdump 命令示例

tcpdump 是一個(gè)功能最強(qiáng)大且廣泛使用的命令行數(shù)據(jù)包嗅探或數(shù)據(jù)包分析工具，用于捕獲或過(guò)濾在特定接口上接收或傳輸?shù)?TCP/IP 數(shù)據(jù)包。 Tcpdump 在許多 Linux/Unix 操作系統(tǒng)中都是現(xiàn)成的。此外，它提供了一個(gè)寶貴的選項(xiàng)，可以將捕獲的數(shù)據(jù)包保存到文件中以供將來(lái)分析。 它將文件保存為 pcap 格式，可以通過(guò) tcpdump 命令或名為?Wireshark（網(wǎng)絡(luò)協(xié)議分析器）的開(kāi)源基于GUI的工具查看 tcpdump pcap 格式文件。 ?

如何在Linux中安裝tcpdump

許多 Linux 發(fā)行版已經(jīng)預(yù)裝了 tcpdump 工具，如果您的系統(tǒng)沒(méi)有安裝它，可以使用以下任意一條命令進(jìn)行安裝。

$ sudo apt install tcpdump         [在 Debian, Ubuntu 和 Mint 上]
$ sudo yum install tcpdump         [在 RHEL/CentOS/Fedora 和 Rocky/AlmaLinux 上]
$ sudo emerge -a sys-apps/tcpdump  [在 Gentoo Linux 上]
$ sudo apk add tcpdump             [在 Alpine Linux 上]
$ sudo pacman -S tcpdump           [在 Arch Linux 上]
$ sudo zypper install tcpdump      [在 OpenSUSE 上]

?

開(kāi)始使用 tcpdump 命令示例

一旦在您的系統(tǒng)上安裝了 tcpdump 工具，您可以繼續(xù)查看以下帶有示例的命令。

1、從特定接口捕獲數(shù)據(jù)包

默認(rèn)情況下，命令屏幕會(huì)不斷滾動(dòng)，直到您中斷它。當(dāng)我們執(zhí)行 tcpdump 命令時(shí)，它會(huì)從所有接口捕獲數(shù)據(jù)包，但是通過(guò)使用“-i”開(kāi)關(guān)，只能從所需的接口捕獲。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -i ens33

?

2、僅捕獲指定數(shù)量的數(shù)據(jù)包

當(dāng)運(yùn)行 tcpdump 命令時(shí)，它會(huì)捕獲指定接口的所有數(shù)據(jù)包，直到您按下取消按鈕。但是通過(guò)使用“-c”選項(xiàng)，您可以捕獲指定數(shù)量的數(shù)據(jù)包。以下示例將僅捕獲6個(gè)數(shù)據(jù)包。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -c 5 -i ens33

3、以ASCII格式打印捕獲的數(shù)據(jù)包

以下帶有選項(xiàng)“-A”的tcpdump命令以ASCII格式顯示數(shù)據(jù)包。這是一種字符編碼格式。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -A -i ens33

?

4、顯示可用的接口

要列出系統(tǒng)上可用的接口數(shù)量，請(qǐng)運(yùn)行以下帶有“-D”選項(xiàng)的命令。

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -D

?

5、以十六進(jìn)制和ASCII格式顯示捕獲的數(shù)據(jù)包

以下帶有“-XX”選項(xiàng)的命令會(huì)捕獲每個(gè)數(shù)據(jù)包的數(shù)據(jù)，包括其鏈路層頭部，以十六進(jìn)制和ASCII格式顯示。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -XX -i ens33

?

6、捕獲并保存數(shù)據(jù)包到文件中

正如前面所說(shuō)，tcpdump具有將數(shù)據(jù)包捕獲并保存為.pcap格式的功能，要實(shí)現(xiàn)這一點(diǎn)，只需執(zhí)行帶有“-w”選項(xiàng)的命令。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -w 0001.pcap -i ens33

?

7、讀取捕獲的數(shù)據(jù)包文件

要讀取和分析捕獲的數(shù)據(jù)包0001.pcap文件，請(qǐng)使用帶有“-r”選項(xiàng)的命令，如下所示。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -r 0001.pcap

?

8、捕獲IP地址數(shù)據(jù)包

要捕獲特定接口的數(shù)據(jù)包，請(qǐng)使用帶有“-n”選項(xiàng)的以下命令。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -n -i ens33

?

9. 僅捕獲TCP數(shù)據(jù)包。

要基于TCP端口捕獲數(shù)據(jù)包，請(qǐng)使用帶有“tcp”選項(xiàng)的以下命令。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -i ens33 tcp

?

10、從特定端口捕獲數(shù)據(jù)包

假設(shè)您要捕獲特定端口443的數(shù)據(jù)包，請(qǐng)執(zhí)行以下命令，并指定端口號(hào)443，如下所示。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -i ens33 port 443tcpdump -i ens33 port 443

?

11、從源IP捕獲數(shù)據(jù)包

要捕獲源 IP 的數(shù)據(jù)包，例如，您要捕獲IP地址為 192.168.174.132 的數(shù)據(jù)包，請(qǐng)使用以下命令。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -i ens33 src 192.168.174.132

?

12、從目標(biāo)IP捕獲數(shù)據(jù)包

要捕獲目標(biāo) IP 的數(shù)據(jù)包，例如，您要捕獲 IP 地址為 192.168.174.132 的數(shù)據(jù)包，請(qǐng)使用以下命令。

?

root@linuxmi:/home/linuxmi/www.linuxmi.com# tcpdump -i ens33 dst 192.168.174.132