共计 2289 个字符，预计需要花费 6 分钟才能阅读完成。
1：tcpdump 抓取各种类型的包。
tcp 规定只有一套，然而它有两种用处。一个是用于显示抓取到的包、另一个是用于抓包。
当然有些 options 只能用于抓取包，有些 options 只能用于显示包。同时、tcpdump 命令提供表达式，此项性能能够过滤掉咱们抓到大包，只去显示或存储
咱们想要的包。废话不多说，上面开始介绍 tcp。（这其中我也有许多参数弄不明确、心愿懂的人可能再评论区下方加以评论）。
首先、是总体看 tcp 这个命令都有哪些 opitons。
tcpdump [-AbdDefhHIJKlLnNOpqStuUvxX#] [-B buffer_size]
[-c count]
[-C file_size] [-G rotate_seconds] [-F file]
[-i interface] [-j tstamp_type] [-m module] [-M secret]
[--number] [-Q in|out|inout]
[-r file] [-V file] [-s snaplen] [-T type] [-w file]
[-W filecount]
[-E spi@ipaddr algo:secret,...]
[-y datalinktype] [-z postrotate-command] [-Z user]
[--time-stamp-precision=tstamp_precision]
[--immediate-mode] [--version]
[expression]
从上述能够看的进去、tcp 有许多选项，我会将我不懂的中央标记进去、心愿各位大神可能加以探讨。我这里可能不是依照上述书写的程序定义。-i：指定咱们要抓取的接口。-D：列出咱们能够应用该命令抓取包的网络接口。如下图所示
-c：代表抓取指数目标包就进行抓取，如下图所示。
从图中咱们能够看到，当咱们抓到 5 个包之后就进行抓取了。-Q：指定过滤输出或者输入的包，如下图所示，咱们只抓输出的包。如下图所示，咱们应用 ping 命令 ping 本地地址，所以咱们只能抓到 in 的包，却抓不到 output 的包。
-w：此选项是将抓到的包输出到指定的文件中，而不去限度到终端上。-r：此选项是用于显示抓取都的包，然而具体显示细节还须要其余的参数进行管制。如下图所示，是咱们应用此命令抓取和显示的包。
-s：指定咱们每个抓取包保留数据的大小，默认状况下是 64bit。如下图所示，名下看到两次抓到的包存储到文件中文件的大小不一样。
-Z：此命令用于指定包的所有者和所属组，如下图所示，默认的状况下、包的所有者和所属组都是 tcpdump，然而咱们指定后，包的所有者和所属组就是咱们指定的。
-F：此选项用于从指定文件中读取过滤表达式，然而应用此选项后、命令行中的表岛是将不会起作用。对于表白是这部分之后会进行解说。-v、-vv、-vvv：此选项用于具体显示音讯，带有 v 的根数越多，显示的月具体。
如图所示，带 v 参数显示的更加具体。-t、-tt、-ttt、-tttt：此选项用于包显示或者不显示工夫和显示工夫格局的设定 <-t：不显示工夫。-tt：显示工夫戳。-ttt：显示和上一次抓包的工夫距离。-tttt：以年月日时分秒进行显示 >：如下图所示。
--immediate-mode：此选项有点相似于咱们 c 规范 IO 函数的缓冲，指定这个选项便没有这个缓冲，间接将包送达。-B：指定缓冲的大小，也就是咱们可能抓取多大缓冲的包。-C：指定咱们存储抓取到的包文件的大小
上述这两个选项我切实有些分不清，缓冲的大小和指定文件的大小有什么区别呢。我不晓得怎么用的选项：--time-stamp-precision=tstamp_precision
-E spi@ipaddr algo:secret,...
-G rotate_seconds：此选项能够了解为轮询、他须要配合其余选项应用。如 -C、当咱们将文件抓满的时候，咱们就会还是会持续抓、并且笼罩掉之前抓到的内容。-W filecount。接下来咱们介绍一下表达式。
表达式的作用是过滤掉咱们抓到的包，咱们能够再抓取的时候进行过滤，同时咱们也能够再显示的时候进行过滤。过滤包就是抓到咱们想要的包：咱们能够过滤指定包的协定、包的类型、包的传输源和目标和包中一些关键字进行过滤。同时咱们也能够指定包中的内容进行过滤。因为协定很多，咱们抓到的包品种也有很多，因而、咱们这里只用 icmp 作为例子进行介绍，同时 man 手册中的内容有许多我也不是很懂，我只是从过滤包的大体方向进行介绍。如果想要理解更过内容、或者抓包的例子我这里没有介绍，能够参考 man 手册、而后搜寻对应的关键字就能够。个别的状况下很容易搜寻到对应的内容。type：这里介绍过滤包的 host、net、port、portrange 字段，[host 是主机（例如 192.168.3.1),net 是应用的网络(例如 192.168.3.0 mask 是 255.255.255）]port 是发送或者承受的端口、portrange 是发送或者承受的端口范畴。如下图所示、阐明 net 和 host
dir：此字段阐明传输的源于目标一些信息，这部分和 type 字段联结应用，能够抓指定源 ip 或目标 ip 的端口。当然、man 手册还有许多用法，我这里就不一一介绍了。proto：此字段指定咱们过滤应用的协定，如 udp、tcp。最初咱们介绍一下如果过滤指定类型的包，或者依据包中某些字段的值进行过滤。如下图所示、是 man 手册上一个简略例子。
咱们这里给出一个抓指定 icmp 类型的包。
同时 man 手册中还有许多这样的定义，咱们再下图中给出一些。抓取播送
抓取包的长度大于或者小于某一个数。
正文完