Tcpdump

#1.概述

[root@node001 ~]# tcpdump -h 
tcpdump version 4.9.2
libpcap version 1.5.3
OpenSSL 1.0.2k-fips  26 Jan 2017
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
                [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
                [ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
                [ -Q|-P in|out|inout ]
                [ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
                [ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
                [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
                [ -Z user ] [ expression ]
[root@node001 ~]# 

#1.1 参数说明

-A 只使用 ASCII 打印报文的全部数据，不要和 -X 一起使用，获取 http 可以用 tcpdump -nSA port 80
-b 在数据链路层上选择协议，包括 ip, arp, rarp, ipx 等
-c 指定要抓取包的数量
-D 列出操作系统所有可以用于抓包的接口
-e 输出链路层报头
-i 指定监听的网卡，-i any 显示所有网卡
-n 表示不解析主机名，直接用 IP 显示，默认是用 hostname 显示
-nn 表示不解析主机名和端口，直接用端口号显示，默认显示是端口号对应的服务名
-p 关闭接口的混杂模式
-P 指定抓取的包是流入的包还是流出的，可以指定参数 in, out, inout 等，默认是 inout
-q 快速打印输出，即只输出少量的协议相关信息
-s len 设置要抓取数据包长度为 len，默认只会截取前 96bytes 的内容，-s 0 的话，会截取全部内容。
-S 将 TCP 的序列号以绝对值形式输出，而不是相对值
-t 不要打印时间戳
-vv 输出详细信息（比如 tos、ttl、checksum等）
-X 同时用 hex 和 ascii 显示报文内容
-XX 同 -X，但同时显示以太网头部