tcpdump是一個(gè)命令行實(shí)用程序，可用于捕獲和檢查進(jìn)出系統(tǒng)的網(wǎng)絡(luò)流量。 它是網(wǎng)絡(luò)管理員中用于排除網(wǎng)絡(luò)問(wèn)題和安全測(cè)試的最常用工具。

盡管名稱如此，使用tcpdump，您也可以捕獲非TCP流量，例如UDP，ARP或ICMP。 捕獲的數(shù)據(jù)包可以寫(xiě)入文件或標(biāo)準(zhǔn)輸出。 tcpdump命令最強(qiáng)大的功能之一是它能夠使用過(guò)濾器并僅捕獲要分析的數(shù)據(jù)。

在本文中，我們將介紹如何在Linux中使用tcpdump命令的基礎(chǔ)知識(shí)。

安裝tcpdump

在大多數(shù)Linux發(fā)行版和macOS上默認(rèn)安裝了tcpdump。 要檢查tcpdump命令在您的系統(tǒng)上是否可用：

[linuxidc@linux:~/www.linuxidc.com]$ tcpdump –version

輸出應(yīng)如下所示：

tcpdump version 4.9.2
libpcap version 1.8.1
OpenSSL 1.1.1  11 Sep 2018

如果您的系統(tǒng)上沒(méi)有tcpdump，則上面的命令將顯示“ 沒(méi)有那個(gè)文件或目錄”。 您可以使用發(fā)行版的軟件包管理器輕松安裝tcpdump。

[linuxidc@linux:~/www.linuxidc.com]$ tcpdump –version
bash: /usr/sbin/tcpdump: 沒(méi)有那個(gè)文件或目錄

在Ubuntu和Debian上安裝tcpdump

$sudo apt update && sudo apt install tcpdump

在CentOS和Fedora上安裝tcpdump

$sudo yum install tcpdump

在Arch Linux上安裝tcpdump

$sudo pacman -S tcpdump

使用tcpdump捕獲數(shù)據(jù)包

tcpdump命令的常規(guī)語(yǔ)法如下：

tcpdump [選項(xiàng)] [過(guò)濾器表達(dá)式]

• 命令選項(xiàng)使您可以控制命令的行為。
• 過(guò)濾器表達(dá)式定義將捕獲哪些數(shù)據(jù)包。

只有root或具有sudo特權(quán)的用戶才能運(yùn)行tcpdump。 如果您嘗試以非特權(quán)用戶身份運(yùn)行該命令，則會(huì)收到一條錯(cuò)誤消息：“您無(wú)權(quán)在該設(shè)備上進(jìn)行捕獲”。

tcpdump: ens33: You don’t have permission to capture on that device
(socket: Operation not permitted)

最簡(jiǎn)單的用例是不帶任何選項(xiàng)和過(guò)濾器的情況下調(diào)用tcpdump：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump

輸出如下：

[sudo] linuxidc 的密碼：
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes

tcpdump將繼續(xù)捕獲數(shù)據(jù)包并寫(xiě)入標(biāo)準(zhǔn)輸出，直到接收到中斷信號(hào)為止。 使用Ctrl + C組合鍵發(fā)送中斷信號(hào)并停止命令。

要獲得更詳細(xì)的輸出，請(qǐng)傳遞-v選項(xiàng)，或傳遞-vv以獲得更詳細(xì)的輸出：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -vv

您可以使用-c選項(xiàng)指定要捕獲的數(shù)據(jù)包數(shù)量。 例如，要僅捕獲5個(gè)數(shù)據(jù)包，請(qǐng)輸入：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -c 5
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
21:08:14.575216 IP linux.42082 > 180.101.49.12.https: Flags [.], ack 470550152, win 30016, length 0
21:08:14.577139 IP 180.101.49.12.https > linux.42082: Flags [.], ack 1, win 64240, length 0
21:08:14.578127 IP linux.37565 > _gateway.domain: 52885+ [1au] PTR? 12.49.101.180.in-addr.arpa. (55)
21:08:14.583548 IP _gateway.domain > linux.37565: 52885 NXDomain 0/1/1 (114)
21:08:14.585411 IP linux.37565 > _gateway.domain: 52885+ PTR? 12.49.101.180.in-addr.arpa. (44)
5 packets captured
14 packets received by filter
5 packets dropped by kernel

捕獲數(shù)據(jù)包后，tcpdump將停止。

如果未指定任何接口，則tcpdump使用它找到的第一個(gè)接口并轉(zhuǎn)儲(chǔ)通過(guò)該接口的所有數(shù)據(jù)包。

使用-D選項(xiàng)可以打印tcpdump可以從中收集數(shù)據(jù)包的所有可用網(wǎng)絡(luò)接口的列表：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -D

對(duì)于每個(gè)接口，該命令將打印接口名稱，簡(jiǎn)短描述以及關(guān)聯(lián)的索引（數(shù)字）：

輸出：
1.ens33 [Up, Running]
2.any (Pseudo-device that captures on all interfaces) [Up, Running]
3.lo [Up, Running, Loopback]
4.bluetooth0 (Bluetooth adapter number 0)
5.nflog (Linux netfilter log (NFLOG) interface)
6.nfqueue (Linux netfilter queue (NFQUEUE) interface)
7.usbmon1 (USB bus number 1)
8.usbmon2 (USB bus number 2)

上面的輸出顯示ens3是tcpdump找到的第一個(gè)接口，并且在沒(méi)有為該命令提供接口時(shí)使用。 第二個(gè)接口any是一種特殊的設(shè)備，可讓您捕獲所有活動(dòng)的接口。

要指定要在其上捕獲流量的接口，請(qǐng)使用-i選項(xiàng)調(diào)用命令，后跟接口名稱或關(guān)聯(lián)的索引。 例如，要捕獲來(lái)自所有接口的所有數(shù)據(jù)包，可以指定any接口：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -i any

默認(rèn)情況下，tcpdump對(duì)IP地址執(zhí)行反向DNS解析，并將端口號(hào)轉(zhuǎn)換為名稱。 使用-n選項(xiàng)禁用轉(zhuǎn)換：

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -n

跳過(guò)DNS查詢可以避免生成DNS流量并使輸出更具可讀性。建議在調(diào)用tcpdump時(shí)使用此選項(xiàng)。

與在屏幕上顯示輸出不同，您可以使用重定向操作符>和>>將其重定向到一個(gè)文件:

[linuxidc@linux:~/www.linuxidc.com]$ sudo tcpdump -n -i any > linuxidc.txt
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
^C3470 packets captured
3616 packets received by filter
0 packets dropped by kernel

您還可以使用tee命令在保存到文件的同時(shí)查看數(shù)據(jù)：

[linuxidc@linux:~/www.linuxidc.com]$  sudo tcpdump -n -l | tee linuxidc.txt

上面命令中的-l選項(xiàng)告訴tcpdump緩沖輸出行。 不使用此選項(xiàng)時(shí)，生成新行時(shí)，輸出不會(huì)寫(xiě)在屏幕上。

了解tcpdump輸出

tcpdump在新行上輸出每個(gè)捕獲的數(shù)據(jù)包的信息。 每行包括一個(gè)時(shí)間戳和有關(guān)該數(shù)據(jù)包的信息，具體取決于協(xié)議。

TCP協(xié)議行的典型格式如下：

[Timestamp] [Protocol] [Src IP].[Src Port] > [Dst IP].[Dst Port]: [Flags], [Seq], [Ack], [Win Size], [Options], [Data Length]

讓我們逐個(gè)字段進(jìn)行說(shuō)明，并解釋以下內(nèi)容：

21:53:20.460144 IP 192.168.182.166.57494 > 35.222.85.5.80: Flags [P.], seq 1:88, ack 1, win 29200,  options [nop,nop,TS val 1067794587 ecr 2600218930], length 87

• 21:53:20.460144 – 捕獲的數(shù)據(jù)包的時(shí)間戳為本地時(shí)間，并使用以下格式：hours：minutes：seconds.frac，其中frac是自午夜以來(lái)的幾分之一秒。
• IP – 分組協(xié)議。 在這種情況下，IP表示Internet協(xié)議版本4（IPv4）。
• 192.168.182.166.57494 – 源IP地址和端口，以點(diǎn)（.）分隔。
• 35.222.85.5.80 – 目的IP地址和端口，以點(diǎn)號(hào)（.）分隔。

TCP標(biāo)志字段。 在此示例中，[P.]表示推送確認(rèn)數(shù)據(jù)包，用于確認(rèn)前一個(gè)數(shù)據(jù)包并發(fā)送數(shù)據(jù)。 其他典型標(biāo)志字段值如下：

• [.] – ACK (Acknowledgment)
• [S] – SYN (Start Connection)
• [P] – PSH (Push Data)
• [F] – FIN (Finish Connection)
• [R] – RST (Reset Connection)
• [S.] – SYN-ACK (SynAcK Packet)

• seq 1:88 – 序列號(hào)在first：last表示法中。 它顯示了數(shù)據(jù)包中包含的數(shù)據(jù)數(shù)量。 除了數(shù)據(jù)流中的第一個(gè)數(shù)據(jù)包（其中這些數(shù)字是絕對(duì)的）以外，所有后續(xù)數(shù)據(jù)包均用作相對(duì)字節(jié)位置。 在此示例中，數(shù)字為1:88，表示此數(shù)據(jù)包包含數(shù)據(jù)流的字節(jié)1至88。 使用-S選項(xiàng)可打印絕對(duì)序列號(hào)。
• ack 1 – 確認(rèn)號(hào)（acknowledgment number）是此連接另一端所期望的下一個(gè)數(shù)據(jù)的序列號(hào)。
• win 29200 – 窗口號(hào)是接收緩沖區(qū)中可用字節(jié)的數(shù)目。
• options [nop,nop,TS val 1067794587 ecr 2600218930] – TCP選項(xiàng)。 使用nop或“ no operation”填充使TCP報(bào)頭為4字節(jié)的倍數(shù)。 TS val是TCP時(shí)間戳，而ecr表示回顯應(yīng)答。 請(qǐng)?jiān)L問(wèn)IANA文檔以獲取有關(guān)TCP選項(xiàng)的更多信息。
• length 87 – 有效載荷數(shù)據(jù)的長(zhǎng)度

tcpdump過(guò)濾器

在不使用過(guò)濾器的情況下調(diào)用tcpdump時(shí)，它將捕獲所有流量并產(chǎn)生大量輸出，這使得查找和分析目標(biāo)數(shù)據(jù)包變得非常困難。

過(guò)濾器是tcpdump命令最強(qiáng)大的功能之一。 因?yàn)樗鼈冊(cè)试S您僅捕獲與表達(dá)式匹配的那些數(shù)據(jù)包。 例如，在對(duì)與Web服務(wù)器有關(guān)的問(wèn)題進(jìn)行故障排除時(shí)，可以使用過(guò)濾器僅獲取HTTP通信。

tcpdump使用Berkeley數(shù)據(jù)包篩選器（BPF）語(yǔ)法使用各種加工參數(shù)（例如協(xié)議，源IP地址和目標(biāo)IP地址以及端口等）過(guò)濾捕獲的數(shù)據(jù)包。

在本文中，我們將介紹一些最常見(jiàn)的過(guò)濾器。 有關(guān)所有可用過(guò)濾器的列表，請(qǐng)查看pcap-filter聯(lián)機(jī)幫助頁(yè)。

按協(xié)議過(guò)濾

要將捕獲限制為特定協(xié)議，請(qǐng)將該協(xié)議指定為過(guò)濾器。 例如，要僅捕獲UDP流量，可以使用：

$sudo tcpdump -n udp

定義協(xié)議的另一種方法是使用原型限定符，后跟協(xié)議編號(hào)。 以下命令將過(guò)濾協(xié)議編號(hào)17，并產(chǎn)生與上述相同的結(jié)果：

$sudo tcpdump -n proto 17

有關(guān)編號(hào)的更多信息，請(qǐng)檢查IP協(xié)議編號(hào)列表。

主機(jī)過(guò)濾

要僅捕獲與特定主機(jī)有關(guān)的數(shù)據(jù)包，請(qǐng)使用主機(jī)限定符：

$sudo tcpdump -n host 192.168.1.185

主機(jī)可以是IP地址或名稱。

您還可以使用網(wǎng)絡(luò)限定符將輸出過(guò)濾到給定的IP范圍。 例如，要僅轉(zhuǎn)儲(chǔ)與10.10.0.0/16相關(guān)的數(shù)據(jù)包，可以使用：

$sudo tcpdump -n net 10.10

按端口過(guò)濾

若要僅將捕獲限制為來(lái)自特定端口或特定端口的數(shù)據(jù)包??請(qǐng)使用端口限定符。 以下命令使用以下命令捕獲與SSH（端口22）服務(wù)相關(guān)的數(shù)據(jù)包：

$sudo tcpdump -n port 23

portrange限定符使您能夠捕獲一系列端口中的流量：

$sudo tcpdump -n portrange 110-150

按來(lái)源和目的地過(guò)濾

您還可以使用are src，dst，src和dst以及src或dst限定符基于源或目標(biāo)端口或主機(jī)篩選數(shù)據(jù)包。

以下命令捕獲來(lái)自IP為192.168.1.185的主機(jī)的傳入數(shù)據(jù)包：

$sudo tcpdump -n src host 192.168.1.185

要查找從任何來(lái)源到端口80的流量，請(qǐng)使用：

$sudo tcpdump -n dst port 80

復(fù)合過(guò)濾器

可以使用和(&&) 或者 (||), 而不是(!)運(yùn)算符組合過(guò)濾器。

例如，要捕獲來(lái)自源IP地址192.168.1.185的所有HTTP通信，可以使用以下命令：

$sudo tcpdump -n src 192.168.1.185 and tcp port 80

您還可以使用括號(hào)來(lái)分組和創(chuàng)建更復(fù)雜的過(guò)濾器：

$sudo tcpdump -n ‘host 192.168.1.185 and (tcp port 80 or tcp port 443)’

為避免在使用特殊字符時(shí)解析錯(cuò)誤，請(qǐng)將過(guò)濾器括在單引號(hào)內(nèi)。

這是另一個(gè)示例命令，用于從源IP地址192.168.1.185捕獲除SSH以外的所有流量：

$sudo tcpdump -n src 192.168.1.185 and not dst port 22

檢查數(shù)據(jù)包

默認(rèn)情況下，tcpdump僅捕獲數(shù)據(jù)包頭。 但是，有時(shí)您可能需要檢查數(shù)據(jù)包的內(nèi)容。

tcpdump允許您以ASCII和十六進(jìn)制格式打印數(shù)據(jù)包的內(nèi)容。

-A選項(xiàng)告訴tcpdump以ASCII格式輸出每個(gè)數(shù)據(jù)包，以十六進(jìn)制格式-x輸出每個(gè)數(shù)據(jù)包：

$sudo tcpdump -n -A

要以十六進(jìn)制和ASCII碼顯示數(shù)據(jù)包的內(nèi)容，請(qǐng)使用-X選項(xiàng)：

$sudo tcpdump -n -X

讀取和寫(xiě)入捕獲到文件

tcpdump的另一個(gè)有用功能是將數(shù)據(jù)包寫(xiě)入文件。 當(dāng)您捕獲大量數(shù)據(jù)包或要捕獲數(shù)據(jù)包以供以后分析時(shí)，這非常方便。

要開(kāi)始寫(xiě)入文件，請(qǐng)使用-w選項(xiàng)，后跟輸出捕獲文件：

$sudo tcpdump -n -w data.pcap

上面的命令將捕獲的內(nèi)容保存到名為data.pcap的文件中。 您可以根據(jù)需要命名文件，但是使用.pcap擴(kuò)展名（數(shù)據(jù)包捕獲）是一種常見(jiàn)的約定。

使用-w選項(xiàng)時(shí)，輸出不會(huì)顯示在屏幕上。 tcpdump寫(xiě)入原始數(shù)據(jù)包并創(chuàng)建一個(gè)二進(jìn)制文件，而常規(guī)文本編輯器無(wú)法讀取該文件。

要檢查文件的內(nèi)容，請(qǐng)使用-r選項(xiàng)調(diào)用tcpdump：

$sudo tcpdump -r data.pcap

如果要在后臺(tái)運(yùn)行tcpdump，請(qǐng)?jiān)诿钅┪蔡砑优c號(hào) (&)。

也可以使用其他數(shù)據(jù)包分析器工具（例如Wireshark）檢查捕獲文件。

長(zhǎng)時(shí)間捕獲數(shù)據(jù)包時(shí)，可以啟用文件輪換。 tcpdump允許您創(chuàng)建的新文件或以指定的時(shí)間間隔或固定大小旋轉(zhuǎn)轉(zhuǎn)儲(chǔ)文件。 以下命令將創(chuàng)建多達(dá)十個(gè)200MB文件，分別名為file.pcap0，file.pcap1，依此類推：在覆蓋舊文件之前。

$sudo tcpdump -n -W 5 -C 200 -w /tmp/file.pcap

生成5個(gè)文件后，較舊的文件將被覆蓋。

請(qǐng)注意，您僅應(yīng)在排除故障期間運(yùn)行tcpdump。

如果要在特定時(shí)間啟動(dòng)tcpdump，則可以使用cronjob。 tcpdump沒(méi)有在指定時(shí)間后退出的選項(xiàng)。 您可以在一段時(shí)間后使用timeout命令停止tcpdump。 例如，要在1分鐘后退出，您可以使用：

$sudo timeout 60 tcpdump -n -w data.pcap

總結(jié)

tcpdump是用于分析和解決網(wǎng)絡(luò)相關(guān)問(wèn)題的命令行工具。

本文向您介紹了tcpdump用法和語(yǔ)法的基礎(chǔ)。 有關(guān)更深入的文檔，請(qǐng)?jiān)L問(wèn)tcpdump網(wǎng)站。

如果您有任何疑問(wèn)或反饋，請(qǐng)隨時(shí)發(fā)表評(píng)論。

更多Linux命令相關(guān)信息見(jiàn)Linux命令大全 專題頁(yè)面 http://www.gmnon.cn/topicnews.aspx?tid=16