tcpdump中文手册

tcpdump 的使用

tcpdump 采用命令行方式，它的命令格式为：

tcpdump [ - a d e f l n N O p q S t v x ]

[ -c 数量 ]

[ -F 文件名 ]

[ -i 网络接口 ]

[ -r 文件名]

[ -s snaplen ]

对于 Solaris 的 dlpi:你必须有网络仿真设备(networkpseudodevice),如/dev/le 的读访问权限.

对于 HP-UX 的 dlpi:你必须是 root,或者把它安装成 root 的设置 uid 程序.对于 IRIX 的 snoop:你必

须是 root,或者把它安装成 root 的设置 uid 程序.对于 Linux:你必须是 root,或者把它安装成 root 的设

置 uid 程序.

对于 Ultrix 和 DigitalUNIX:一旦超级用户使用 pfconfig(8)开放了 promiscuous 操作模式

(promiscuous-mode),任何用户都可以运行 tcpdump.

对于 BSD:你必须有/dev/bpf*的读访问权限.

1. tcpdump 的选项介绍

参数

介绍

-l

使标准输出变为缓冲行形式

-n

不把网络地址转换成名字

-t

在输出的每一行不打印时间戳

-v

输出一个稍微详细的信息，例如在 ip 包中可以包括 ttl 和服务类型的信息

-vv

输出详细的报文信息

-c

在收到指定的包的数目后，tcpdump 就会停止

-F

从指定的文件中读取表达式,忽略其它的表达式

-i

指定监听的网络接口

-r

从指定的文件中读取包(这些包一般通过-w 选项产生)

-w

直接将包写入文件中，并不分析和打印出来

如 host 210.27.48.2，指明 210.27.48.2 是一台主机，net 202.0.0.0 指明 202.0.0.0 是一个网络地址，

port 23 指明端口号是 23。如果没有指定类型，缺省的类型是 host.第二种是确定传输方向的关键字，

主要包括 src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,

指明 ip 包中源地址是 210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是 202.0.0.0 。如果没有

指明方向关键字，则缺省是 src or dst 关键字。

第三种是协议的关键字，主要包括 fddi,ip ,arp,rarp,tcp,udp 等类型。Fddi 指明是在 FDDI(分布

式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi 和 ether 具有类似的源地

址和目的地址，所以可以将 fddi 协议包当作 ether 的包进行处理和分析。

其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则 tcpdump 将会监听

所有协议的信息包。

令行中使用括号时，一定要

#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)

(3) 如果想要获取主机 210.27.48.1 除了和主机 210.27.48.2 之外所有主机通信的 ip 包，使用命令：

#tcpdump ip host 210.27.48.1 and ! 210.27.48.2

(4) 如果想要获取主机 210.27.48.1 接收或发出的 telnet 包，使用如下命令：

#tcpdump tcp port 23 host 210.27.48.1

3. tcpdump 的输出结果介绍

下面我们介绍几种典型的 tcpdump 命令的输出信息

(1) 数据链路层头信息

#tcpdump -e host ice

包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46 是主机 H219 的 MAC 地址,它表

明是从源地址 H219 发来的数据包. 0:90:27:58:af:1a 是主机 ICE 的 MAC 地址,表示该数据包的

目的地址是 ICE . ip 是表明该数据包是 IP 数据包,60 是数据包的长度, h219.33357 >

ice.telnet 表明该数据包是从主机 H219 的 33357 端口发往主机 ICE 的 TELNET(23)端口. ack

22535 表明对序列号是 222535 的包进行响应. win 8760 表明发送窗口的大小是 8760.

(2) ARP 包的 TCPDUMP 输出信息

使用命令#tcpdump arp

得到的输出结果是：

22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)

22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af:1a)

src > dst:表明从源地址到目的地址, flags 是 TCP 包中的标志信息,S 是 SYN 标志, F (FIN),

P (PUSH) , R (RST) "." (没有标记); data-seqno 是数据包中的数据的顺序号, ack 是下次期

望的顺序号, window 是接收缓存的窗口大小, urgent 表明数据包中是否有紧急指针.

Options 是选项.

(4) UDP 包的输出信息

用 TCPDUMP 捕获的 UDP 包的一般输出信息是：

route.port1 > ice.port2: udp lenth

UDP 十分简单，上面的输出行表明从主机 ROUTE 的 port1 端口发出的一个 UDP 数据包到主机 ICE

的 port2 端口，类型是 UDP， 包的长度是 lenth

TCPDUMP 中文手册最详细的手册

名称(NAME)

[-Ttype][-wfile][expression]

描述(DESCRIPTION)

Tcpdump 打印出在某个网络界面上,匹配布尔表达式 expression 的报头.

对于 SunOS 的 nit 或 bpf 界面:要运行 tcpdump,你必须有/dev/nit 或/dev/bpf*的读访问权限.

对于 Solaris 的 dlpi:你必须有网络仿真设备(networkpseudodevice),如/dev/le 的读访问权限.

对于 HP-UX 的 dlpi:你必须是 root,或者把它安装成 root 的设置 uid 程序.对于 IRIX 的 snoop:你必须是 root,

(promiscuous-mode),任何用户都可以运行 tcpdump.

选项(OPTIONS)

-a

试着把网络和广播地址转换成名称.

-c

当收到 count 报文后退出.

-d

把编译好的报文匹配模板(packet-matchingcode)翻译成可读形式,传往标准输出,然后退出.

-dd

把报文匹配模板(packet-matchingcode)以 C 程序片断的形式输出.