tcpdump 常用命令及参数解析
一、基础核心命令
| 功能描述 | 命令示例 | 适用场景 |
|---|---|---|
| 指定 ens160 抓包 | sudo tcpdump -i ens160 | 基础抓包，查看网卡实时流量 |
| 限制抓包数量 | sudo tcpdump -i ens160 -c 100 | 避免产生大量数据，快速取样 |
| 禁止地址 / 端口解析 | sudo tcpdump -i ens160 -n -nn | 提升抓包效率，显示原始 IP / 端口 |
| 保存抓包到文件 | sudo tcpdump -i ens160 -w traffic.pcap | 离线分析或留存证据 |
| 读取保存的数据包 | sudo tcpdump -r traffic.pcap -nn | 分析已捕获的离线数据 |
| 显示详细包信息 | sudo tcpdump -i ens160 -v -vv | 查看 TTL、校验和等深层信息 |
二、协议过滤命令
| 功能描述 | 命令示例 | 适用场景 |
|---|---|---|
| 捕获 TCP 协议包 | sudo tcpdump -i ens160 -nn tcp | 排查 HTTP、SSH 等 TCP 服务问题 |
| 捕获 UDP 协议包 | sudo tcpdump -i ens160 -nn udp | 排查 DNS、视频流等 UDP 服务问题 |
| 捕获 ICMP 协议包 | sudo tcpdump -i ens160 -nn icmp | 排查 ping 不通、主机可达性问题 |
| 排除指定协议 | sudo tcpdump -i ens160 -nn not icmp | 过滤无关协议，聚焦目标流量 |
三、IP 与端口过滤命令
| 功能描述 | 命令示例 | 适用场景 |
|---|---|---|
| 按源 IP 过滤 | sudo tcpdump -i ens160 -nn src 192.168.1.5 | 监控特定主机发出的流量 |
| 按目标 IP 过滤 | sudo tcpdump -i ens160 -nn dst 192.168.1.10 | 监控发送到特定主机的流量 |
| 按主机过滤（双向） | sudo tcpdump -i ens160 -nn host 192.168.1.8 | 监控与特定主机的所有通信 |
| 按网段过滤 | sudo tcpdump -i ens160 -nn net 192.168.1.0/24 | 监控某一网段的流量 |
| 按目标端口过滤 | sudo tcpdump -i ens160 -nn dst port 80 | 排查 HTTP（80 端口）服务问题 |
| 按源端口过滤 | sudo tcpdump -i ens160 -nn src port 22 | 排查 SSH（22 端口）连接问题 |
| 按端口范围过滤 | sudo tcpdump -i ens160 -nn portrange 1000-2000 | 监控某一端口区间的流量 |
| IP + 端口组合过滤 | sudo tcpdump -i ens160 -nn src 192.168.1.5 and dst port 443 | 监控特定主机访问 HTTPS（443 端口）的流量 |
四、TCP 标志位过滤命令
| 功能描述 | 命令示例 | 适用场景 |
|---|---|---|
| 捕获 SYN 连接请求包 | sudo tcpdump -i ens160 -nn tcp[13] & 2 != 0 | 排查 TCP 连接建立失败问题 |
| 捕获 SYN+ACK 响应包 | sudo tcpdump -i ens160 -nn tcp[13] = 18 | 验证服务器是否响应连接请求 |
| 捕获 RST 重置包 | sudo tcpdump -i ens160 -nn tcp[13] & 4 != 0 | 排查服务崩溃、端口未监听等异常 |
| 捕获 FIN 断开请求包 | sudo tcpdump -i ens160 -nn tcp[13] & 1 != 0 | 分析连接正常断开流程 |
五、内容查看命令
| 功能描述 | 命令示例 | 适用场景 |
|---|---|---|
| ASCII 格式显示内容 | sudo tcpdump -i ens160 -A -nn tcp port 80 | 查看 HTTP 请求 / 响应的文本内容 |
| 十六进制 + ASCII 显示 | sudo tcpdump -i ens160 -X -nn tcp port 80 | 查看二进制 + 文本混合数据（如文件传输） |
| 过滤含特定关键词的包 | sudo tcpdump -i ens160 -A -nn 'tcp port 80 and contains "login"' | 捕获登录请求等关键业务数据包 |
六、关键参数解析
| 参数 | 功能说明 | 优先级 / 常用度 |
|---|---|---|
-i [网卡名] | 指定抓包网卡（如 ens160、any 表示所有网卡） | 必选 |
-c [数量] | 捕获指定数量的数据包后停止 | 常用 |
-n | 禁止将 IP 地址转换为域名 | 常用 |
-nn | 禁止 IP 转域名、端口转服务名（如 80→http） | 常用 |
-w [文件] | 将数据包保存为 pcap 格式文件 | 常用 |
-r [文件] | 读取 pcap 格式的离线数据包文件 | 常用 |
-v/-vv/-vvv | 显示详细程度不同的数据包信息（v 越多越详细） | 可选 |
-A | 以 ASCII 码格式显示数据包内容 | 文本协议常用 |
-X | 以十六进制 + ASCII 码格式显示数据包内容 | 二进制数据常用 |
src/dst | 指定源 / 目标 IP 或端口 | 过滤必选 |
host | 指定双向通信的主机 IP | 过滤常用 |
net | 指定网段 | 网段监控常用 |
port/portrange | 指定单个端口 / 端口范围 | 服务排查常用 |
tcp/udp/icmp | 指定协议类型 | 协议过滤常用 |
and/or/not | 逻辑运算符，组合多个过滤条件（not 优先级最高） | 复杂过滤常用 |