tcpdump抓包保存cap文件(实用)

水深无声 2022-05-09 14:03 1190阅读 0赞

1、tcpdump是对网络上的数据包进行截获的包分析工具；

2、安装：yum install tcpdump(yum安装即可)，安装完成之后创建一个文件夹，专门存放抓取数据保存的文件，执行tcpdump相关命令在该文件下执行就可以了；

3、例子：抓取网卡eht0  及192.168.168.18ip和8081端口；

命令：tcpdump -i eht0  -w file.cap host 192.168.168.18 and tcp port 8081；

-w ：参数指定将监听到的数据包写入文件中保存，file.cap就是该文件。

-i   ：参数指定tcpdump监听的网络界面。

注意：每个服务器的网卡不一定是eht0，先使用ipconfig查看清楚自己又几个网卡，要监听那个 叫什么名字等。

![70][]

然后再查看保存的文件就可以了！

\----------------------------------------------------------------------------------------------------------------

抓取到文件之后我将文件传到我的windows上面，这里就涉及到一个如何打开cap文件的问题；

我用的是Wireshark![70 1][]，打开之后显示如下图：

Wireshark下载地址：[http://www.onlinedown.net/soft/2883.htm][http_www.onlinedown.net_soft_2883.htm]

![70 2][]

解释一下上图三行的具体意义：

**1、最上面为数据包列表，用来显示截获的每个数据包的总结性信息；**

**2、中间为协议树，用来显示选定的数据包所属的协议信息；**

**3、最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。**

数据包列表中，第一列是编号（如第1个**包），第二列是截取时间（0.000000），第三列source是源地址（115.155.39.93），第四列destination是目的地址（115.155.39.112），第五列protocol是这个包使用的协议（这里是UDP协议），第六列info是一些其它的信息，包括源端口号和目的端口号（源端口：58459，目的端口：54062）。**

**协议树可以得到被截获数据包的更多信息，如主机的MAC地址（Ethernet II）、IP地址（Internet   
protocol）、UDP端口号（user datagram protocol）以及UDP协议的具体内容（data）。**

另外在排查问题的时候，为了更准确的定位问题，会对抓的包利用Wireshark做过滤，参考-->[https://blog.csdn.net/wojiaopanpan/article/details/69944970][https_blog.csdn.net_wojiaopanpan_article_details_69944970]；

我这里具体做的过滤就是我的服务器通过网卡单向发出去的包，原理就是源地址source发往目标的就是单向的；

过滤条件命令“ip.src eq 192.168.60.60”；如：

![70 3][]

[70]: /images/20220506/a876a229db3241f682d862eac0f0feeb.png
[70 1]: /images/20220506/b16f1d8822b5458e95174555aa743e90.png
[http_www.onlinedown.net_soft_2883.htm]: http://www.onlinedown.net/soft/2883.htm
[70 2]: /images/20220506/12ca38f3f7f6496cb0997224076aad5a.png
[https_blog.csdn.net_wojiaopanpan_article_details_69944970]: https://blog.csdn.net/wojiaopanpan/article/details/69944970
[70 3]: /images/20220506/d6f2ae78beb24186a3e1c8672660bf02.png