快速上手tcpdump进行网络抓包分析
简介
tcpdump是Linux中强大的网络数据采集分析工具之一。mannal手册的简介：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具，支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句进行筛选过滤。
基本使用
不指定任何参数，将抓取所有的包
tcpdump
监听特定的网卡：
tcpdump -i eth0
监听特定的主机：
tcpdump host hostname --源和目的为该ip的都监听
tcpdump src host hostname --来源是指定主机
tcpdump dst host hostname --目标是指定主机
监听特定的端口：
tcpdump port 80
tcpdump src port 443
tcpdump dst port 443
设置监听的端口范围：
tcpdump src portrange 40000-50000
指定网段抓包：
tcpdump src net 192.168.50.0/24
抓取指定协议的数据包：tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
tcpdump ip
tcpdump ip6
tcpdump tcp
tcpdump icmp
查看tcpdump的输出
Flags [ ]：Flags代表了这个数据包的用途。
| Flags | 标识 |
|---|---|
| [S] | SYN同步标识 |
| [.] | .表示ACK确认标识 |
| [S.] | SYN同步标识，以及确认[S]的ACK |
| [P.] | PSH，push推送，数据传输 |
| [R.] | RST，连接重置 |
| [F.] | FIN结束连接 |
抓取实例
抓icmp包：
tcpdump icmp
抓取所有ACK包：
tcpdump 'tcp[13] & 16!=0'
tcpdump+wireshark
通常来说，常用tcpdump抓包，然后再把数据包用wireshark分析(wireshark的可视化分析起来比较方便)
将tcpdump查询结果保存成文件：
命令参数-w
tcp -w filename.pcap
将文件导出到windows：
sz test.pcap
用wireshark打开分析：
