1. Einleitung
tcpdump ist ein Tool zum Abfangen von Netzwerkpaketen und zum Ausgeben von Paketinhalten. Das Paketerfassungstool tcpdump wird anhand der Filterbedingungen klassifiziert, und es gibt drei Hauptkategorien. Eines ist für Schlüsselwörter wie Hostname (HOST), Netzwerksegment (NET), Port (PORT); das andere ist für die Richtung des Pakets, wie Quelladresse (src), Zieladresse (dst) und kann logische Operationssymbole (src und dst, src oder dst) unterstützen. Die dritte besteht darin, Pakete für Protokolle zu erfassen, beispielsweise Pakete von Protokollen wie TCP/UDP/IMCP.
2. Parametereinführung
tcpdump 常用命令参数：
-D ：展示可供抓包的端口
-n ：将网络地址以数字形式展示
-nn ：不进行端口名称的转换
-i ：后面跟端口，针对该端口进行抓包
-w ：后面跟文件名，将抓取的数据包保存至某个文件（一般保存为.pcap/.cap文件格式）
-v ：展示数据包详细详细
-vv ：展示数据包更详细的信息
-e ：展示数据链路层信息，主要是mac地址
-c ：要抓取的数据包数量
-C ：在将一个原始包写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。
-r ：从指定的文件中读取包(这些包一般通过-w生成)
-t ：不在每一行中输出时间戳。
Drittens Beispielanalyse
1. Alle Datenpakete über Host 192.168.137.21 auf Port eth0 abfangen
tcpdump -i eth0 Host 192.168.137.21
2. Fangen Sie die Datenpakete aller Ports im Netzwerksegment 192.169.137.0 ab
tcpdump net 192.168.137.0/24
3. Fangen Sie die Datenpakete von Port eth0 über das Netzwerksegment 192.169.137.0 und Port 23 ab
tcpdump -i eth0 net 192.168.137.0/24 und Port 23
4. Fangen Sie die Kommunikationspakete ab, die vom Host gesendet werden, dessen Hostname Hostname ist
tcpdump src host hostname
5. Fangen Sie die Kommunikationspakete ab, die der Host namens Hostname auf Port eth0 empfängt
tcpdump -i eth0 dst host Hostname
6. Alle TCP-Protokollpakete auf eth0 abfangen
tcpdump -i eth0 tcp
Hier sind einige Beispiele mit komplexeren Parametern
1. Fangen Sie den Header des Quellhosts 192.168.137.21 und des Zielports (nicht 23) am eth0-Port ab und importieren Sie ihn in die Datei test.txt
tcpdump -nn -e -i eth0 src host 192.168.137.21 und dst port nicht 23 -w test.txt
//-nn zeigt den Hostnamen-Port in digitaler Form an; -e zeigt Informationen zur Datenverbindungsschicht an
2. Fangen Sie alle Pakete ab, die vom Host 192.168.1.1 an das Netzwerksegment 192.168.3.0 gesendet werden, jedoch nicht das ICMP-Protokoll von 192.168.3.1 enthalten, zeigen Sie die MAC-Adresse an und speichern Sie sie in der Datei test.txt
tcpdump -e src host 192.168.1.1 und dst net 192.168.3.0/24 und dst host nicht 192.168.3.1 und icmp -w test.txt