学习黑客 tcpdump

发布于：2025-05-24 ⋅ 阅读:(14) ⋅ 点赞:(0)

5分钟入门：tcpdump最佳实践与常用技巧 🕵️‍♂️

tcpdump 是最常见、最强大的网络抓包与分析工具之一，广泛用于网络故障排查、安全分析、协议研究等场景。本文总结tcpdump的基本用法与实战技巧，助你高效上手。
在这里插入图片描述

一、基础命令速查

抓取全部流量
```
tcpdump
```
指定网卡抓包
```
tcpdump -i eth0
```
保存为pcap文件
```
tcpdump -i eth0 -w traffic.pcap
```
读取已保存文件
```
tcpdump -r traffic.pcap
```
只抓前N个包
```
tcpdump -c 100
```

二、抓包过滤器实用示例

只看某个IP的数据包
```
tcpdump host 192.168.1.10
```
只看某端口流量
```
tcpdump port 80
```
只看TCP/UDP/ICMP等协议
```
tcpdump tcp
tcpdump udp
tcpdump icmp
```

源或目标端口/主机

tcpdump src port 22
tcpdump dst host 8.8.8.8

组合条件

tcpdump 'src 10.0.0.1 and (dst port 80 or dst port 443)'
tcpdump 'tcp and port 443 and host example.com'

三、进阶输出与性能优化

简化输出（不解析主机名与端口服务名）
```
tcpdump -n -nn
```
显示详细包内容（十六进制/ASCII）
```
tcpdump -X
```
显示包的链路层头部
```
tcpdump -e
```
只显示包头，不抓取数据内容（提升性能）
```
tcpdump -s 96
```
加时间戳
```
tcpdump -tttt
```

四、实战场景案例

抓取所有经过网关的DNS请求
```
tcpdump -i eth0 port 53
```

定位内网主机异常带宽消耗

tcpdump -i eth0 src net 192.168.0.0/16 and greater 1000

抓取HTTP登录明文密码（教育用途，勿用于非法用途）

tcpdump -i eth0 -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

五、tcpdump最佳实践心得

尽量用过滤器，避免全网抓包，节省资源，提高效率。
生产环境抓包前，先与安全/运维沟通，避免影响业务。
抓包文件存储空间要足够，适时分卷保存(-C参数)。
抓包文件要及时分析和加密存储，防止敏感数据泄露。
结合Wireshark等GUI工具做离线详细分析。
可用nohup或screen后台长时间抓包，防止断连中断任务。
定期回顾抓包日志，积累分析经验。

六、常用组合命令

定时抓包，按文件大小轮转

tcpdump -i eth0 -w dump-%Y%m%d%H%M%S.pcap -C 100

抓取到目标文件后自动停止

tcpdump -i eth0 -w dump.pcap -G 60 -W 10

七、参考资料

tcpdump官方文档
Wireshark与tcpdump联合分析指南
高级BPF语法

一句话总结：tcpdump简单易用、功能强大，善用过滤表达式和文件管理技巧，是网络运维和安全人员的必备工具。