TCPDUMP简单介绍

更详细的参数信息，请使用man tcpdump命令查看。本节只做简单介绍

tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ] [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ][ -T 类型 ] [ -w 文件名 ] [表达式 ]

C.3.1 tcpdump的选项介绍

l -a：将网络地址和广播地址转变成名字。

l -d：将匹配信息包的代码以人们能够理解的汇编格式给出。

l -dd：将匹配信息包的代码以C语言程序段的格式给出。

l -ddd：将匹配信息包的代码以十进制的形式给出。

l -e：在输出行打印出数据链路层的头部信息。

l -f：将外部的Internet地址以数字的形式打印出来。

l -l：使标准输出变为缓冲行形式。

l -n：不把网络地址转换成名字。

l -t：在输出的每一行不打印时间戳。

l -v：输出一个稍微详细的信息，例如在IP包中可以包括TTL（Time To Live）和服务类型的信息。

l -vv：输出详细的报文信息。

l -c：在收到指定的包的数目后，tcpdump就会停止。

l -F：从指定的文件中读取表达式，忽略其它的表达式。

l -i：指定监听的网络接口。

l -r：从指定的文件中读取包（这些包一般通过-w选项产生）。

l -w：直接将包写入文件中，不分析或打印。

l -T：将监听到的包直接解释为指定的类型的报文，常见的类型有rpc（远程过程调用）和SNMP（简单网络管理协议）。

l -s：设置每个packet的数据长度。默认为为68个字节，0为不限制长度、捕获全部信息。

C.3.2 tcpdump的表达式介绍

表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件。如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。

在表达式中一般如下几种关键字。

l 类型关键字，主要包括host，net，port。

例如：

− host 210.27.48.2，指明210.27.48.2是一台主机。

− net 202.0.0.0，指明202.0.0.0是一个网络地址。

− port 23，指明端口号是23。

− 如果没有指定类型，缺省的类型是host。

l 传输方向关键字，主要包括src、dst、dst or src、dst and src，这些关键字指明了传输的方向。

例如：

− src 210.27.48.2，指明IP包中源地址是210.27.48.2。

− dst net 202.0.0.0，指明目的网络地址是202.0.0.0。

− 如果没有指明方向关键字，则缺省是src or dst关键字。

l 协议类型关键字，主要包括fddi、ip、arp、rarp、tcp、udp等类型。

=-=-=-=tcpdump详细解释--==-=-=-