1
2
3
4
5

#参数:  -i网卡    -s 抓包大小   -w保存到文件
tcpdump -i ens33 -s 0 -w file.pcap

#抓取指定端口的流量
tcpdump -i ens33 port 22

1
2
3
4
5
6

#查看保存到文件中的数据包
tcpdump -r file.pcap
#参数： -A 以ascii码形式显示内容
tcpdump -A -r file.pcap
#参数： -X 以16进制形式显示内容
tcpdump -X -r file.pcap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

#利用OS自带的管道
#参数： -n 以ip地址显示，不显示域名；   显示第三列(ip+端口)并去重
tcpdump -n -r file.pcap | awk '{print $3}' | sort -u

#tcpdump自身的显示筛选： 只显示源地址为这个的
tcpdump -n -src host 192.168.0.1 -r file.pcap
#只显示目的地址为这个的
tcpdump -n -dst host 192.168.0.130 -r file.pcap
#按端口号筛选
tcpdump -n port 53 -r file.pcap
#显示udp的53端口
tcpdump -n udp port 53 -r file.pcap
#显示tcp的
tcpdump -n tcp port 80 -r file.pcap
#显示icmp的
tcpdump -n icmp -r file.pcap
#显示ip的
tcpdump -n ip -r file.pcap
#-X以16进制显示
tcpdump -nX port 80 -r file.pcap

1
2

#只显示第13号字节中值转换为10进制为24(push+ack)的数据包
tcpdump -A -n 'tcp[13]24' -r file.cap