[TOC] ## 概述 ### 显示说明 ``` 13:29:07.788802 IP localhost.42333 > localhost.9501: Flags [S], seq 828582357, win 43690, options [mss 65495,sackOK,TS val 2207513 ecr 0,nop,wscale 7], length 0 13:29:07.788815 IP localhost.9501 > localhost.42333: Flags [S.], seq 1242884615, ack 828582358, win 43690, options [mss 65495,sackOK,TS val 2207513 ecr 2207513,nop,wscale 7], length 0 13:29:07.788830 IP localhost.42333 > localhost.9501: Flags [.], ack 1, win 342, options [nop,nop,TS val 2207513 ecr 2207513], length 0 13:29:10.298686 IP localhost.42333 > localhost.9501: Flags [P.], seq 1:5, ack 1, win 342, options [nop,nop,TS val 2208141 ecr 2207513], length 4 13:29:10.298708 IP localhost.9501 > localhost.42333: Flags [.], ack 5, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 0 13:29:10.298795 IP localhost.9501 > localhost.42333: Flags [P.], seq 1:13, ack 5, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 12 13:29:10.298803 IP localhost.42333 > localhost.9501: Flags [.], ack 13, win 342, options [nop,nop,TS val 2208141 ecr 2208141], length 0 13:29:11.563361 IP localhost.42333 > localhost.9501: Flags [F.], seq 5, ack 13, win 342, options [nop,nop,TS val 2208457 ecr 2208141], length 0 13:29:11.563450 IP localhost.9501 > localhost.42333: Flags [F.], seq 13, ack 6, win 342, options [nop,nop,TS val 2208457 ecr 2208457], length 0 13:29:11.563473 IP localhost.42333 > localhost.9501: Flags [.], ack 14, win 342, options [nop,nop,TS val 2208457 ecr 2208457], length 0 ``` 说明 ``` 13:29:11.563473 时间带有精确到微妙 localhost.42333 > localhost.9501 表示通信的流向，42333 是客户端，9501 是服务器端 [S] 表示这是一个 SYN 请求 [.] 表示这是一个 ACK 确认包，(client) SYN->(server) SYN->(client) ACK 就是 3 次握手过程 [P] 表示这个是一个数据推送，可以是从服务器端向客户端推送，也可以从客户端向服务器端推 [F] 表示这是一个 FIN 包，是关闭连接操作，client/server 都有可能发起 [R] 表示这是一个 RST 包，与 F 包作用相同，但 RST 表示连接关闭时，仍然有数据未被处理。可以理解为是强制切断连接 win 342 是指滑动窗口大小 length 12 指数据包的大小 ``` ## 任意网卡 ``` tcpdump -i any host 210.27.48.1 ``` ## 监听指定ip 监听发送和接收 / src 监听发送 / 监听接收 ``` tcpdump -i ent0 [src|dst] host 210.27.48.1 ``` ## 监听指定端口 ``` tcpdump -i ent0 [src|dst] port 6661 ``` ## 监听 udp 或tcp ``` tcpdump -i ent0 [tcp|udp] [src|dst] port 6661 ``` ## 同时监听端口和ip ``` tcpdump -i any [tcp|udp] [src|dst] port 6661 and [src|dst] host 192.168.0.1 ``` ## 显示几条 显示100条 ``` tcpdump -i any port 6661 -c 100 ``` ## 显示包内容 显示包的内容 ``` tcpdump -i any port 6661 -c 10 -X ``` ## tcpdump 与wireshark ``` tcpdump tcp -i eth1 -t -s 0 -c 100 and port 6661 -w ./target.cap -t : 不显示时间戳 -s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完整的数据包 -c 100 : 只抓取100个数据包 -w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析 ```