tcpdump（tcpdump抓包命令保存文件）

本文目录一览：

• 1、讲解Linux中tcpdump工具的应用
• 2、抓取tcpdump数据的方法
• 3、tcpdump抓包命令
• 4、tcpdump详细教程
• 5、tcpdump抓包是抓双向的吗
• 6、使用tcpdump查看原始数据包

讲解Linux中tcpdump工具的应用

大部分 Linux 发行版都内置了 Tcpdump 工具。

Wireshark（以前是ethereal）是Windows下非常简单易用的抓包工具。但在Linux下很难找到一个好用的图形化抓包工具。 还好有Tcpdump。

在网络问题的调试中，tcpdump应该说是一个必不可少的工具，和大部分linux下优秀工具一样，它的特点就是简单而强大。它是基于Unix系统的命令行式的数据包嗅探工具，可以抓取流动在网卡上的数据包。

tcpdump是一个用于截取网络分组，并输出分组内容的工具。凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。

首先Linux平台在用户态获取报文的Mac地址等链路层信息并不是什么特殊的事情，通过AF_PACK套接字就可以实现，而tcpdump或libpcap也正是用这种方式抓取报文的（可以stracetcpdump的系统调用来验证）。

抓取tcpdump数据的方法

1、如果忘记了这个软件的用法，我们可以使用 tcpdump --help 来查看一下使用方法 一般我们的服务器里边只有一个网卡，使用tcpdump可以直接抓取数据包，但是这样查看太麻烦了，所以都会添加参数来进行获取的。

2、tcpdump检测登录linux系统输入tcpdump，如果找不到表示没有安装。也可以用rpm查询。输入yum install tcpdump 查找安装tcpdump，需要联网。安装好之后，输入tcpdump 或rpm可以查询到了。

3、接下来就是需要处理抓取的数据，目前通过tcpdump保存的dump.pcap保存的是原始数据，但是一些常用的抓包软件（比如Chales）是解析不了的，所以需要做一个转换。

4、tcpdump还可以选择将其输出转储为二进制格式，以便以后读取。要创建一个二进制文件：稍后，您可以让tcpdump使用以下命令读取文件 您也可以使用ethereal程序打开原始转储并解释它。

5、root机器 在用tcpdump抓包过程中，需要使用到root权限。当前可以进行root的方法有很多，个人推荐/，安装使用挺方便的。

6、==**tcpdump只能抓取流经本机的数据包 **== 默认情况下，直接启动tcpdump将监视第一个网络接口（非lo口）上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。

tcpdump抓包命令

tcpdump： 默认启动。普通情况下，直接启动tcpdump将监视第一个网络接口上所有流过的数据包。

tcpdump 是 Unix/Linux 下的抓包工具，在 macOS 上也有实现。这个命令可以针对指定网卡、端口、协议进行抓包，这里记录下使用方法。

tcpdump -any i 就是抓取网卡所有的包，这个就是最全的。tcpdump host指定地址，表示抓取来自指定地址的包。筛选指定包，此外可以通过多条件叠加来抓取。用and连接。

我经常使用的命令是tcpdump -i eth0 -w web.pcap。i参数表示网卡，w参数表示将抓包结果保存到pcap文件中，这样接下来可以使用wireshark查看。如果还想明白别的参数的意义的话，可以输入tcpdump -h，就显示帮助信息了。

tcpdump详细教程

在增加选项 -t 选项后，时间23：48：0193526就消失了。tcpdump默认情况下是按微秒来计时，因此最一个时间精确到了第6位。

tcpdump还可以选择将其输出转储为二进制格式，以便以后读取。要创建一个二进制文件：稍后，您可以让tcpdump使用以下命令读取文件 您也可以使用ethereal程序打开原始转储并解释它。

tcpdump检测登录linux系统输入tcpdump，如果找不到表示没有安装。也可以用rpm查询。输入yum install tcpdump 查找安装tcpdump，需要联网。安装好之后，输入tcpdump 或rpm可以查询到了。

tcpdump抓包是抓双向的吗

tcpdump是一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。

用tcpdump 抓下来的包（保存为文件），可以用WireShark 打开。把 tcpdump抓下来的包保存为文件，用-w参数。

tcpdump 是一款强大的网络抓包工具，运行在 linux 平台上。熟悉 tcpdump 的使用能够帮助你分析、调试网络数据。要想使用很好地掌握 tcpdump， 必须对网络报文（ TCP/IP 协议）有一定的了解。

使用tcpdump查看原始数据包

tcpdump检测登录linux系统输入tcpdump，如果找不到表示没有安装。也可以用rpm查询。输入yum install tcpdump 查找安装tcpdump，需要联网。安装好之后，输入tcpdump 或rpm可以查询到了。

如果是为了查看数据内容，建议用 tcpdump -s 0 -w filename 把数据包都保存下来，然后用wireshark的Follow TCP Stream/Follow UDP Stream来查看整个会话的内容。 -s 0 是抓取完整数据包，否则默认只抓68字节。

配置好就可以用adb命令了 执行tcpdump命令 tcpdump可以将网络中传送的数据包完全截获下来提供分析。以上命令将截获的数据包保存到sdcard，capture.pcap抓取是数据包，pcap为Wireshark分析文件的后缀。

在网络问题的调试中，tcpdump应该说是一个必不可少的工具，和大部分linux下优秀工具一样，它的特点就是简单而强大。它是基于Unix系统的命令行式的数据包嗅探工具，可以抓取流动在网卡上的数据包。

出现的是乱码。则代表无法直接查看，很有可能是二进制文件。那么怎么查看保存的文件了？请看下一个示例。 -r 从文件中读取原始数据包 通过-w和-r选项即可实现抓包的录制回放功能。

-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。