tcpdump笔记以及三次握手和四次关闭

参数笔记

  • -n 一个n表示不反向解析地址,两个n表示不反向解析端口。
  • -S 表示查看绝对序号,如客户端中的ack为1,这是相对的,要查看绝对序号需要加上该参数。
  • -v 表示查看详细的报文数据。
  • -r 该参数接收一个pcap文件的路径,不抓取数据包,而是去读取指定的pcap文件,并格式化输出。
  • -i 指定抓取的网卡,any表示监听全部。
  • -e 每行的打印输出中将包括数据包的数据链路层头部信息,我经常用它来看truck口的vlan id。
    详情请参考: http://linux.51yip.com/search/tcpdump

语法编写

所有经过目的或原地址是192.168.1.1的数据包

1
$ tcpdump host 192.168.1.1

源端口或者是目的端口为80的数据包

1
$ tcpdump port 80

所有目的地址为192.168.1.1的数据包

1
$ tcpdump dst host 192.168.1.1

相同的,所有目的端口为80的数据包为dst port

所有的源地址为192.168.1.1的数据包

1
$ tcpdump src host 192.168.1.1

相同的,所有源端口为80的数据包为src port

协议过滤

1
2
3
4
5
tcpdump arp
tcpdump ip
tcpdump tcp
tcpdump udp
tcpdump icmp
Your browser is out-of-date!

Update your browser to view this website correctly. Update my browser now

×