Linux下抓包工具tcpdump以及分析包的工具wireshark怎么用

這篇文章將為大家詳細講解有關Linux下抓包工具tcpdump以及分析包的工具wireshark怎么用，文章內容質量較高，因此小編分享給大家做個參考，希望大家閱讀完這篇文章后對相關知識有一定的了解。

近日在學習網卡驅動時，需要抓取網卡發送、接收數據的情況，于是找到了tcpdump和wireshark這兩個工具，tcpdump是用來抓取數據的，wireshark則是用于分析抓取到的數據的，現將用法記錄下來：

Tcpdump使用方法
（1）第一種是關于類型的關鍵字主要包括host，net，port

例如： host 210.27.48.2，指明 210.27.48.2是一臺主機，net 202.0.0.0 指明 202.0.0.0是一個網絡地址，port 23 指明端口號是23。如果沒有指定類型，缺省的類型是host.

（2）第二種是確定傳輸方向的關鍵字主要包括src , dst ,dst or src, dst and src
這些關鍵字指明了傳輸的方向，例如：src 210.27.48.2，指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的網絡地址是202.0.0.0。如果沒有指明方向關鍵字，則缺省是src or dst關鍵字。

（3）第三種是協議的關鍵字，主要包括fddi，ip，arp，rarp，tcp，udp等類型。
Fddi指明是在FDDI(分布式光纖數據接口網絡)上的特定的網絡協議，實際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協議包當作ether的包進行處理和分析。其他的幾個關鍵字就是指明了監聽的包的協議內容。如果沒有指定任何協議，則tcpdump將會監聽所有協議的信息包。
 

除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是'not ' ，'! '，與運算是'and'，'&&';或運算 是'or'，'││'；這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要，下面舉幾個例子來說明。普通情況下，直接啟動tcpdump將監視第一個網絡界面上所有流過的數據包。
 

A. tcpdump –i eth0 –c 10

使用-i參數指定tcpdump監聽的網絡界面，這在計算機具有多個網絡界面時非常有用，
使用-c參數指定要監聽的數據包數量，
使用-w參數指定將監聽到的數據包寫入文件中保存

B.想要截獲主機172.16.14.107和主機172.16.14.27或172.16.14.99的通信，使用命令：（在命令行中使用括號時，一定要用’\’
tcpdump host 172.16.14.107 and \ (172.16.14.27or172.16.14.99 \)

C.如果想要獲取主機172.16.14.107除了和主機172.16.14.27之外所有主機通信的ip包，使用命令：
tcpdump ip host 172.16.14.107 and ! 172.16.14.27

D.如果想要獲取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107

E.對本機的udp 123 端口進行監視 （123 為ntp的服務端口）
tcpdump udp port 123

F.系統將只對名為hostname的主機的通信數據包進行監視。主機名可以是本地主機，也可以是網絡上的任何一臺計算機。下面的命令可以讀取主機hostname發送的所有數據：
tcpdump -i eth0 src host hostname

G.下面的命令可以監視所有送到主機hostname的數據包：
tcpdump -i eth0 dst host hostname

#src表示源，即發送
#dst表示目的地，即接收

H.我們還可以監視通過指定網關的數據包：
tcpdump -i eth0 gateway Gatewayname

I.如果你還想監視編址到指定端口的TCP或UDP數據包，那么執行以下命令：
tcpdump -i eth0 host hostname and port 80

J.如果想要獲取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107

K. 如果我們只需要列出送到80端口的數據包，用dst port 80；如果我們只希望看到返回80端口的數據包，用src port 80。
tcpdump –i eth0 host hostname and dst port 80  目的端口是80
或者
tcpdump –i eth0 host hostname and src port 80  源端口是80

80端口一般是提供http的服務的主機
 

tcpdump輸出格式
總的的輸出格式為：系統時間 來源主機.端口 > 目標主機.端口 數據包參數
 

如果要用wireshark分析數據：

tcpdump -i eth0 -c 100 -s 0 -w /home/data.pcap

直接使用wireshark /home/data.pcap即可

關于Linux下抓包工具tcpdump以及分析包的工具wireshark怎么用就分享到這里了，希望以上內容可以對大家有一定的幫助，可以學到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。