tcpdump：截获与分析网络数据包的实用工具及命令实例媒体软文营销推广和内容_广告资讯

tcpdump：截获与分析网络数据包的实用工具及命令实例媒体软文营销推广和内容

栏目：广告资讯发布时间：2026-01-15

简单来说，它是把数据包 dump 到某个地方，能依据使用者的定义截取网络上的数据包进行包分析的工具。可以完整截获网络中传送数据包的“头”以供分析。它支持针对网

简单来说，它是把数据包 dump 到某个地方，能依据使用者的定义截取网络上的数据包进行包分析的工具。可以完整截获网络中传送数据包的“头”以供分析。它支持针对网络层、协议、主机、网络或端口进行过滤，还能提供 and、or、not 等逻辑语句来去除无用信息。

实用命令实例

默认启动

通常情况下，会直接启动并监视第一个网络接口上所有经过的数据包。

监视指定网络接口的数据包

如果没有指定网卡，那么默认只会对第一个网络接口进行监视，通常这个接口是 eth0，并且下面的例子都没有指定网络接口。

监视指定主机的数据包

打印所有进入或离开的数据包.

可以指定 ip ，比如截获所有来自 210.27.48.1 的主机所接收的以及发出的所有数据包

打印与 hot 或者与 ace 之间通信的数据包

截获主机 210.27.48.1 的通信，或者截获主机 210.27.48.2 的通信，或者截获主机 210.27.48.3 的通信

打印 ace 与其他主机通信的 IP 数据包，不包括与某些特定主机之间的数据包。

如果想要获取主机 210.27.48.1 与除主机 210.27.48.2 之外其他主机通信的 ip 包，就使用该命令：

截获主机发送的所有数据

监视所有送到主机的数据包

监视指定主机和端口的数据包

要获取主机 210.27.48.1 接收或发出的包，可使用如下命令。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump tcp port 23 host 210.27.48.1</pre>

对本机的udp 123端口进行监视123为ntp的服务端口

监视指定网络的数据包

打印本地主机与网络上主机之间的通信数据包。其中，网络地址为 ucb-ether，此表达式最初的含义是打印网络地址为 ucb-ether 的所有数据包。

打印通过网关 snup 的 ftp 数据包。需要注意的是，表达式被单引号括起来了，这样做可以防止 shell 对其中的括号进行错误解析。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump 'gateway snup 以及（port ftp 或者 ftp-data）'</pre>

打印所有源地址或目标地址是本地主机的IP数据包

如果本地网络是通过网关与另一个网络相连接的，那么另一个网络不能被视为本地网络。（注：此句翻译较为曲折，需要进行补充说明）在实际使用中，要将其真正替换成本地网络的名称。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">使用 tcpdump 来捕获包含 IP 协议且不属于本地网络的数据包。通过这种方式，可以对特定网络环境中的 IP 流量进行监控和分析，以便更好地了解网络活动和排查网络问题。它能够过滤出那些来自或去往外部网络的 IP 数据包，而不包括本地网络内部的通信流量。</pre>

监视指定协议的数据包

打印 TCP 会话中的开始数据包，并且数据包的源或目的不是本地网络上的主机。打印 TCP 会话中的结束数据包，并且数据包的源或目的不是本地网络上的主机。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump 'tcp 的 tcpflags 与 (tcp-syn 或 tcp-fin) 进行按位与运算的结果不为 0 ，并且没有 src ，同时 dst 属于 localnet 。'</pre>

打印的数据包需满足以下条件：源或目的端口为 80，网络层协议为 IPv4，且含有数据，同时不能是 SYN、FIN 以及 ACK-only 等不含数据的数据包。（ipv6 的版本的表达式可做练习）

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump 'tcp 端口 80 以及（（（ip 的第 2 位到第 2 位减去（（ip 的第 0 位与 0xf 进行按位与运算后的结果）<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'</pre>

可理解为，ip 的第 2 位到第 2 位表示整个 ip 数据包的长度，ip 的第 0 位与 0xf 进行与运算后再大于 4 表示 tcp 头的长度，此域的单位是 32bit，换算成比特数为 ((tcp 的第 12 位与 0xf0 进行与运算后再右移 4 位)乘以 2)。整个 ip 数据包的长度减去 ip 头的长度，再减去 (ip 的第 0 位与 0xf 进行与运算后乘以 2)不等于 0 表示：整个 ip 数据包的长度减去 ip 头的长度，再减去

tcp 头的长度不为 0 ，这意味着 ip 数据包中有数据。对于 ipv6 版本，只需考虑 ipv6 头中的“ ”与“tcp 头的长度”的差值，并且其中的表达方式“ip[]”需换成“ip6[]”。

打印长度超过 576 字节的数据包，且该数据包的网关地址是 snup 的 IP 地址

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump '网关 snup 以及 ip 的第 2 位到第 2 位大于 576 。'</pre>

打印所有属于 IP 层的广播或多播数据包，并且这些数据包不是物理以太网层的广播或多播数据报。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump 'ether[0] 与 1 进行按位与运算的结果为 0 ，并且 ip[16] 大于或等于 224 。'</pre>

打印以下类型的 ICMP 数据包：不是“echo ”类型，也不是“echo reply”类型。例如，当需要打印所有非 ping 程序产生的数据包时，可以使用此表达式。

“echo”类型和“echo reply”类型的 ICMP 数据包一般是由 ping 程序生成的。

<pre style="margin-top:0px; font-family:'Courier New'!important; word-wrap:break-word; white-space:pre-wrap; margin-bottom:0px; font-size:12px!important">tcpdump 'icmp 的 icmptype 不等于 icmp-echo ，并且 icmp 的 icmptype 也不等于 icmp-echoreply 。'</pre>

与

曾经有一款非常简单易用的抓包工具。然而，在 Linux 系统中，很难找到一个令人满意的图形化抓包工具。

还好有。我们能够通过以下完美组合来实现：在 Linux 系统中进行抓包操作，接着在相应的环境里对包进行分析。

tcp、ip、icmp、arp、rarp 这些选项以及 tcp、udp、icmp 等都需放置在第一个参数的位置，以用于过滤数据报的类型。

(2)-i eth1 : 只抓经过接口eth1的包

(3)-t : 不显示时间戳

抓取数据包时，原本默认抓取的长度是 68 字节。当加上-S 0 之后，就能够抓到完整的数据包。

(5)-c 100 : 只抓取100个数据包

不抓取目标端口为 22 的数据包。

数据包的源网络地址是 192.168.1.0 且子网掩码为 255.255.255.0

将其保存为 cap 文件，这样便于进行分析。

使用抓取HTTP包

“GET”的前两个字母是“GE”，“HTTP”的前两个字母是“HT”。

截获的数据未被彻底解码，数据包内的大部分内容是以十六进制形式直接打印输出的。这显然不利于分析网络故障。通常的解决办法是，先使用带 -w 参数的方式截获数据并保存到文件中，接着再使用其他程序（如）进行解码分析。当然，也需要定义过滤规则，以防止捕获的数据包将整个硬盘填满。

# 成都营销推广哪家服务好 # 如果没有 # 社交媒体营销推广的特点 # 宁陵网站建设报价公示 # seo建站推广 # 专业的网站建设兼职 # 企业seo排名有名 # 海外营销推广哪里好点 # 符合抖音seo规则 # 济宁营销推广获客系统 # 最新外贸seo # 这样做 # 科技主题营销推广策略 # 校园网站建设计划 # seo引擎优化怎么念 # 黑河网站优化怎么做 # 如何使用seo打造 # 网络营销设计推广招聘 # 个人网站建设免费咨询 # 网站建设拓扑结构包括 # 英文网站百度能推广吗 # 陇南seo公司联系21火星 # 或多 # tcpdump # 截获与分析网络数据包的实用工具及命令实例 # 数据包 # 第一个 # 到第 # 网络地址 # 不为 # 不等于 # 进行分析 # 的是 # tcpdump：截获与分析网络数据包的实用工具及命令实例 # 源地址 # 也不 # 还能 # 是由 # 中有 # 只需 # 将其 # 它是 # 而不

相关栏目：【广告资讯90366 】【广告推广18483 】【广告优化154267 】【广告营销46464 】

下一篇：企业网站设计 *** ，打造高效在线形象的秘诀，企业网站设计与 *** ，塑造高效在线形象的策略揭秘