Linux下抓包工具tcpdump以及分析包的工具wireshark__Linux

近日在學習網卡驅動時，需要抓取網卡發送、接收資料的情況，於是找到了tcpdump和wireshark這兩個工具，tcpdump是用來抓取資料的，wireshark則是用於分析抓取到的資料的，現將用法記錄下來：

Tcpdump使用方法
（1）第一種是關於類型的關鍵字主要包括host，net，port

例如： host 210.27.48.2，指明 210.27.48.2是一台主機，net 202.0.0.0 指明 202.0.0.0是一個網路地址，port 23 指明連接埠號碼是23。如果沒有指定類型，預設的類型是host.

 

（2）第二種是確定傳輸方向的關鍵字主要包括src , dst ,dst or src, dst and src 
這些關鍵字指明了傳輸的方向，例如：src 210.27.48.2，指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的網路地址是202.0.0.0。如果沒有指明方向關鍵字，則預設是src or dst關鍵字。

（3）第三種是協議的關鍵字，主要包括fddi，ip，arp，rarp，tcp，udp等類型。
Fddi指明是在FDDI(分布式光纖資料介面網路)上的特定的網路通訊協定，實際上它是"ether"的別名，fddi和ether具有類似的源地址和目的地址，所以可以將fddi協議包當作ether的包進行處理和分析。其他的幾個關鍵字就是指明了監聽的包的協議內容。如果沒有指定任何協議，則tcpdump將會監聽所有協議的資訊包。
 

除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway, broadcast,less,greater,還有三種邏輯運算，取非運算是'not ' ，'! '，與運算是'and'，'&&';或運算 是'or'，'││'；這些關鍵字可以組合起來構成強大的組合條件來滿足人們的需要，下面舉幾個例子來說明。普通情況下，直接啟動tcpdump將監視第一個網路介面上所有流過的資料包。
 

A. tcpdump –i eth0 –c 10

使用-i參數指定tcpdump監聽的網路介面，這在電腦具有多個網路介面時非常有用，
使用-c參數指定要監聽的資料包數量，
使用-w參數指定將監聽到的資料包寫入檔案中儲存

 

B.想要截獲主機172.16.14.107和主機172.16.14.27或172.16.14.99的通訊，使用命令：（在命令列中使用括弧時，一定要用’\’
tcpdump host 172.16.14.107 and \ (172.16.14.27or172.16.14.99 \)

 

C.如果想要擷取主機172.16.14.107除了和主機172.16.14.27之外所有主機通訊的ip包，使用命令：
tcpdump ip host 172.16.14.107 and ! 172.16.14.27

D.如果想要擷取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107

E.對原生udp 123 連接埠進行監視 （123 為ntp的服務連接埠）
tcpdump udp port 123

F.系統將只對名為hostname的主機的通訊資料包進行監視。主機名稱可以是本地主機，也可以是網路上的任何一台電腦。下面的命令可以讀取主機hostname發送的所有資料： 
tcpdump -i eth0 src host hostname

G.下面的命令可以監視所有送到主機hostname的資料包： 
tcpdump -i eth0 dst host hostname

#src表示源，即發送
#dst表示目的地，即接收

H.我們還可以監視通過指定網關的資料包： 
tcpdump -i eth0 gateway Gatewayname

I.如果你還想監視編址到指定連接埠的TCP或UDP資料包，那麼執行以下命令： 
tcpdump -i eth0 host hostname and port 80

J.如果想要擷取主機172.16.14.107接收或發出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107

 

K. 如果我們只需要列出送到80連接埠的資料包，用dst port 80；如果我們只希望看到返回80連接埠的資料包，用src port 80。 
tcpdump –i eth0 host hostname and dst port 80  目的連接埠是80
或者
tcpdump –i eth0 host hostname and src port 80  源連接埠是80

80連接埠一般是提供http的服務的主機
 

 

tcpdump輸出格式
總的的輸出格式為：系統時間 來源主機.連接埠 > 目標主機.連接埠 資料包參數
 

 

如果要用wireshark分析資料：

tcpdump -i eth0 -c 100 -s 0 -w /home/data.pcap

直接使用wireshark /home/data.pcap即可

 

本文來自CSDN部落格，轉載請標明出處：http://blog.csdn.net/wyjie1987/archive/2011/05/30/6454534.aspx