Linux tcpdump 常用抓包工具介绍

tcpdump抓包工具 安装

没有安装tcpdump的机器，执行tcpdump命令时，会提示command not found

yum install -y tcpdump     //安装tcpdump

有的机器安装不上，会提示下图

执行下面两个命令后，再安装试试

yum clean all

yum makecache

如果还不行，使用rpm包安装

tcpdump用法

#从所有网卡中捕获数据包
tcpdump -i any
#从指定网卡中捕获数据包
tcpdump -i ens160

上面的ens160，不同机器可能不一样。比如在192.168.1.9节点上执行ifconfig，查找192.168.1.9，此ip对应的网卡是ens160。一般环境基本都是ens160，实际使用过程中根据网卡修改。

#根据 IP 地址查看报文

要获取指定 IP 的数据包，不管是作为源地址还是目的地址，使用下面命令：

tcpdump host 192.168.1.9 -i ens160  //备注：出、入的包都会被监听 -i ens160为指定网卡

要指定 IP 地址是源地址或是目的地址则使用：

tcpdump src 192.168.1.9 -i ens160 //源 从192.168.1.9发出的数据
tcpdump dst 192.168.1.9 -i ens160 //目标 发送到192.168.1.9的数据

#查看某个协议或端口号的数据包

要查看某个协议的数据包，运行下面命令：

tcpdump tcp -i ens160

要捕获某个端口或一个范围的数据包，使用：

tcpdump port 22 -i ens160
tcpdump portrange 22-125 -i ens160

# -nn数字的方式显示IP和端口。一个n是ip

tcpdump tcp -i ens160 -nn

不加-nn的一般如下显示

加-nn的，格式看起来更方便。如下：

#抓包内容写入文件
tcpdump tcp -i ens160 -w file.cap
tcpdump tcp -i ens160 -w 1234.txt

写入文件方式，有可能在CRT上看不到实时动态，一直如下。但一直往file.cap中写入内容。

#查看抓包文件
tcpdump -r file.cap

或者通过sftp下载到本地也行，但cap文件直接打开，会有乱码情况存在。在windows系统机器上可以安装wireshark查看cap文件。

#举例：

tcpdump tcp -s 0 -i ens160 and port 31315
tcpdump tcp -s 0 -i ens160 and port 31315 –v

tcpdump -nn 数字的方式显示IP和端口。一个n是ip

tcpdump -c x 抓包数量，x为数字

tcpdump port xx 抓指定端口的包，xx为端口号

tcpdump tcp and port xx 指定协议和端口，xx为端口号，and可以省略不写

tcpdump host xx.xx.xx.xx 指定来源IP或目标IP的包 xx.xx.xx.xx为IP地址。

tcpdump -w xx.txt 把抓的包写入一个文件，xx.txt为文件名

tcpdump -s0 -w xx.txt 抓包时防止包截断，s0的0为数字0，抓一个完整的包必须加s0。

tcpdump -r xx.txt 用户查看-w抓的包，xx.txt为文件名

-w抓的包实际是包的内容，非简单的流向。如果访问一张图片，用-w可以把这张图片抓出来。只看流向的话，可以使用重定向。

tcpdump混合抓包

Tcpdump混合抓包，ens160为网卡,CRT连接节点，直接执行下面命令即可

ip link set ens160 promisc on ----------------开启混杂模式
ip link set ens160 promisc off ----------------关闭混杂模式
ip a show ens160 | grep -i promisc ----------------检测某台机器是否开启混杂模式

如下图，如果有promisc字眼，就是开启了混杂模式

tcpdump命令在docker容器内抓包

第一步 docker ps |grep snsabc --------获取容器的id，本例为4a09254b55f8

第二步 docker inspect --format "{{.State.Pid}}" 4a09254b55f8 --------得到下面的Pid，本例为30642

第三步 nsenter -t 30642 -n tcpdump -i eth0 -w ~/testcontainer-cap-79.cap --------开始容器抓包，CRT屏幕不会滚动，抓包结果会保存到根目录testcontainer-cap-79.cap中。