linux下使用命令抓包简单说明

案例解释:
1、tcpdump -i any  -nn -s 0 | grep xxip        解释：-i any监听本机所有网卡，-nn 直接显示ip，不把ip解析成域名，不把端口解析成服务名， -s 0抓取完整数据包，不截断。默认只抓前 68~96 字节，  |grep   直接在显示屏上显示 包含xxip的数据包。
2、tcpdump -i any -nn -s 0 -w /tmp/333.pcap    解释：-i any监听本机所有网卡，-nn 直接显示ip，不把ip解析成域名，不把端口解析成服务名， -s 0抓取完整数据包，-w 把抓到的原始包写入文件，不打印到屏幕。
3、tcpdump -r /tmp/333.pcap >> /tmp/read2.txt    解释：把 333.pcap 文件里解析出的数据包内容‌追加‌写入 /tmp/read2.txt。pcap 文件是二进制格式，-r 解析后的输出才是可读文本。

1、tcpdump  -i -nn  any host 192.168.1.38 and port 177       在这台机器上抓包，监控这台机器和192.168.1.38 机器间的177端口包
参数解释：
-nn
第一个‑n：不把 IP 地址反向解析成域名，直接显示 IP 数字；不做 DNS 解析，抓包更快，避免 DNS 干扰。
第二个‑n：不把端口号翻译成服务名，直接显示数字端口，比如显示22而不是ssh。

-i  any
‑i：指定监听网卡接口

• -i any：监听本机所有网卡（eth0、lo、bond0 等全部网卡）。
• -i  eth0:  只监听eth0网卡
• -v
  verbose，增加输出详细程度
  
  • -v：中等详细，打印 TTL、IP 标识、分片信息、TOS 等 IP 头部信息。
  • -vv：更详细
  • -vvv：最大详细
    
  
  

  不加‑v只显示最简摘要；加‑v看到更多 IP 层信息，但不会打印应用层原始数据。
  
  

2、tcpdump -nn -i any udp port 137      监控这台机器上所有的137端口包