TCP 抓包

## 快速开始
### 一个混合抓取请求外部的请求样例
```
抓取请求 TCP协议 172.28.1.1地址 830端口的包，并保存到pcap 文件
tcpdump -i any tcp and host 172.28.1.1 and port 830 -w netconf-830-tcp.pcap
```

![](/media/202501/2025-01-20_110053_669626.png)

## 分析软件
wireshark

用其打开pcap就可以进行分析了

![](/media/202501/2025-01-20_110117_485320.png)

## 常用语法
### 0. 确保有安装tcpdump
```bash
tcpdump -D
```
若无，则先安装
#### Debian/Ubuntu 系列

```bash
sudo apt update
sudo apt install tcpdump
```

#### Red Hat/CentOS 系列

```bash
sudo yum install tcpdump
```

或者在 CentOS 8 及更新版本中：

```bash
sudo dnf install tcpdump
```

#### Arch Linux

```bash
sudo pacman -S tcpdump
```

### 1. 基本语法

```bash
tcpdump [选项] [表达式]
```

### 2. 常用选项详解

- **-i <interface>**: 指定要监听的网络接口。例如，`-i eth0` 表示监听 `eth0` 接口。使用 `-D` 可以列出所有可用的接口。

- **-w <file>**: 将抓取的数据包写入指定的文件中（通常是 `.pcap` 格式），例如：`-w output.pcap`。

- **-r <file>**: 从指定的文件中读取数据包进行分析，例如：`-r output.pcap`。

- **-c <count>**: 指定要捕获的数据包数量，达到指定数量后停止抓包，例如：`-c 100` 表示捕获 100 个数据包。

- **-n**: 不解析主机名和服务名，直接显示 IP 地址和端口号，减少 DNS 查询时间。

- **-nn**: 不解析主机名和服务名，同时不解析端口号，显示完整的 IP 和端口号。

- **-v, -vv, -vvv**: 增加输出的详细程度，`-v` 表示详细，`-vv` 表示更详细，`-vvv` 表示最详细。

- **-s <snaplen>**: 设置抓包的快照长度，指定每个数据包的最大字节数，默认是 68 字节，通常设置为 1514 字节（以捕获完整的以太网帧）。

- **-X**: 显示数据包的十六进制和 ASCII 内容，便于查看数据包的详细内容。

- **-A**: 以 ASCII 格式显示数据包的内容，通常用于查看 HTTP 请求和响应。

- **-e**: 显示链路层头部信息，通常用于分析链路层协议。

- **-t**: 不显示时间戳，适用于只关注数据包内容的情况。

- **-q**: 安静模式，减少输出信息，适合快速查看。

### 3. 常用过滤表达式

- **host <IP>**: 捕获与指定 IP 地址相关的所有数据包，例如：`host 192.168.1.1`。

- **src <IP>**: 捕获源地址为指定 IP 的数据包，例如：`src 192.168.1.1`。

- **dst <IP>**: 捕获目标地址为指定 IP 的数据包，例如：`dst 192.168.1.1`。

- **port <port>**: 捕获与指定端口相关的所有数据包，例如：`port 80`。

- **tcp**: 捕获所有 TCP 数据包，例如：`tcp`。

- **udp**: 捕获所有 UDP 数据包，例如：`udp`。

- **icmp**: 捕获所有 ICMP 数据包，例如：`icmp`。

- **and, or, not**: 组合多个过滤条件，例如：`host 192.168.1.1 and port 80`。

### 4. 示例命令

1. **抓取所有 TCP 数据包**：
   ```bash
   tcpdump -i eth0 tcp
   ```

2. **抓取特定端口的流量（如 80 端口）**：
   ```bash
   tcpdump -i eth0 port 80
   ```

3. **抓取与特定 IP 地址的流量**：
   ```bash
   tcpdump -i eth0 host 192.168.1.1
   ```

4. **抓取并保存到文件**：
   ```bash
   tcpdump -i eth0 -w output.pcap
   ```

5. **从文件读取并显示数据包**：
   ```bash
   tcpdump -r output.pcap
   ```

6. **抓取特定数量的数据包**：
   ```bash
   tcpdump -i eth0 -c 100
   ```

7. **以详细模式显示数据包内容**：
   ```bash
   tcpdump -i eth0 -vv
   ```

8. **抓取并显示数据包的十六进制和 ASCII 内容**：
   ```bash
   tcpdump -i eth0 -X
   ```

9. 抓取特定源 IP 的数据包
	```bash
	tcpdump -i eth0 src 192.168.1.10
	```

10. 抓取特定目标 IP 的数据包
	```bash
	tcpdump -i eth0 dst 192.168.1.10
	```