1.作用
- TCPDUMP全称为dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
2.安装
- yum安装yum install tcpdump -y
- 安装包安装wget http://www.tcpdump.org/release/libpcap-1.5.3.tar.gz
wget http://www.tcpdump.org/release/tcpdump-4.5.1.tar.gz
tar -zxvf libpcap-1.5.3.tar.gz
cd libpcap-1.5.3
./configure
sudo make install
cd ..
tar -zxvf tcpdump-4.5.1.tar.gz
cd tcpdump-4.5.1
./configure
sudo make install
3.使用
- 监听指定主机的发送的包,并保存为test.cap以供wireshark分析tcpdump -i ens192 -nn 'host 192.168.1.1' -w test.cap
- 抓取主机发送的包tcpdump -i ens192 -nn 'src host 192.168.1.1'
- 抓取主机接收的包tcpdump -i ens192 -nn 'dst host 192.168.1.1'
- 抓取mysql执行的语句tcpdump -i ens192 -s 0 -l -w - dst port 3306 | strings
- 抓取http GET数据tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x47455420'
- 抓取smtp数据tcpdump -i eth1 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack != 0'