tcpdump采用命令行方式对接口的数据包进行筛选抓取，其丰富特性表现在灵活的表达式上。
不带任何选项的tcpdump，默认会抓取第一个网络接口，且只有将tcpdump进程终止才会停止抓包。
例如：
1 | $ tcpdump -nn -i eth0 icmp |
下面是详细的tcpdump用法。
tcpdump选项
它的命令格式为：
tcpdump [ -DenNqvX ] [ -c count ] [ -F file ] [ -i interface ] [ -r file ]
[ -s snaplen ] [ -w file ] [ expression ]
1 | 抓包选项： |
所以常用的选项也就这几个：
- tcpdump -D
- tcpdump -c num -i int -nn -XX -vvv
tcpdump表达式
表达式用于筛选输出哪些类型的数据包，如果没有给定表达式，所有的数据包都将输出，否则只输出表达式为true的包。在表达式中出现的shell元字符建议使用单引号包围。
tcpdump的表达式由一个或多个”单元”组成，每个单元一般包含ID的修饰符和一个ID(数字或名称)。有三种修饰符：
(1).type：指定ID的类型。
可以给定的值有host/net/port/portrange。例如”host foo”，”net 128.3”，”port 20”，”portrange 6000-6008”。默认的type为host。
(2).dir：指定ID的方向。
可以给定的值包括src/dst/src or dst/src and dst，默认为src or dst。例如，”src foo”表示源主机为foo的数据包，”dst net 128.3”表示目标网络为128.3的数据包，”src or dst port 22”表示源或目的端口为22的数据包。
(3).proto：通过给定协议限定匹配的数据包类型。
常用的协议有tcp/udp/arp/ip/ether/icmp等，若未给定协议类型，则匹配所有可能的类型。例如”tcp port 21”，”udp portrange 7000-7009”。
所以，一个基本的表达式单元格式为”proto dir type ID”
除了使用修饰符和ID组成的表达式单元，还有关键字表达式单元：gateway，broadcast，less，greater以及算术表达式。
表达式单元之间可以使用操作符” and / && / or / || / not / ! “进行连接，从而组成复杂的条件表达式。如”host foo and not port ftp and not port ftp-data”，这表示筛选的数据包要满足”主机为foo且端口不是ftp(端口21)和ftp-data(端口20)的包”，常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。
另外，同样的修饰符可省略，如”tcp dst port ftp or ftp-data or domain”与”tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain”意义相同，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。
使用括号”()”可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线”\”转义为”()“，在需要的时候，还需要包围在引号中。
tcpdump示例
注意，tcpdump只能抓取流经本机的数据包。
(1) 默认启动
1 | tcpdump |
默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。
(2) 监视指定网络接口的数据包
1 | tcpdump -i eth1 |
如果不指定网卡，默认tcpdump只会监视第一个网络接口，如eth0。
(3) 监视指定主机的数据包，例如所有进入或离开longshuai的数据包
1 | tcpdump host longshuai |
(4) 打印helios<-->hot或helios<-->ace之间通信的数据包
1 | tcpdump host helios and \( hot or ace \) |
(5) 打印ace与任何其他主机之间通信的IP数据包,但不包括与helios之间的数据包
1 | tcpdump ip host ace and not helios |
(6) 截获主机hostname发送的所有数据
1 | tcpdump src host hostname |
(7) 监视所有发送到主机hostname的数据包
1 | tcpdump dst host hostname |
(8) 监视指定主机和端口的数据包
1 | tcpdump tcp port 22 and host hostname |
(9) 对本机的udp 123端口进行监视(123为ntp的服务端口)
1 | tcpdump udp port 123 |
(10) 监视指定网络的数据包，如本机与192.168网段通信的数据包，”-c 10”表示只抓取10个包
1 | tcpdump -c 10 net 192.168 |
(11) 打印所有通过网关snup的ftp数据包(注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析)
1 | tcpdump 'gateway snup and (port ftp or ftp-data)' |
(12) 抓取ping包
1 | tcpdump -c 5 -nn -i eth0 icmp |
如果明确要抓取主机为192.168.100.70对本机的ping，则使用and操作符。
1 | tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62 |
注意不能直接写icmp src 192.168.100.70，因为icmp协议不支持直接应用host这个type。
(13) 抓取到本机22端口包
1 | tcpdump -c 10 -nn -i eth0 tcp dst port 22 |
(14) 解析包数据
1 | tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 22 |
总的来说，tcpdump对基本的数据包抓取方法还是较简单的。只要掌握有限的几个选项(-nn -XX -vvv -i -c -q)，再组合表达式即可。
解决tcpdump “drop by kernel” 问题
经常用tcpdump的人都会遇到”drop by kernel”1
2
3579204 packets captured
579346 packets received by filter
142 packets dropped by kernel
原因：Tcpdump 通过网络接口捕获原始数据包，数据包必须解析和执行过滤条件，执行过滤条件需要耗费一些时间，因此传入数据包必须排队（数据缓存）进行处理，当数据包过多时（处理速度跟不上缓存速度），缓存区就会被撑爆（缓存区大小默认是2M），此时就会丢弃新近的数据包，直到缓存区有空间保存新到数据。
解决很简单，就是在tcpdump命令加-B <size>,size的单位是KiB.
1 | tcpdump -i eth1 -B 20000 #20M |
flags
Flags are some combination of S (SYN), F(FIN), P (PUSH), R (RST), U (URG),
W (ECN CWR), E (ECN-Echo) or .' (ACK), ornone’ if no flags are set.
参考
https://www.cnblogs.com/f-ck-need-u/p/7064286.html
https://blog.csdn.net/kuaidfkuai/article/details/45752329
http://blog.51cto.com/990487026/1846517