TCPDump抓包&WireShark分析

tcpdump 是在工作中用于在linux/UNIX平台上抓包的工具。

OS默认是不带的，可以通过“yum install tcpdump”进行安装。

原理：

用tcpdump进行抓包，然后用wareshark进行协议分析。

抓包命令：

tcpdump 抓取所有网络包，并在terminal中显示抓取的结果，将包以16尽早的形式显示。

tcpdump -w test.cap 抓取所有的网络包，并存到test.cap中，默认抓取第一个网卡的数据。

tcpdump -i eth0 -w test.cap 抓取所有的经过eth0网卡的网络包，并存到test.cap中。

tcpdump src host 192.168.0.1 -w test.cap 抓取源地址是192.168.0.1的包。

tcpdump host 192.168.0.1 -w test.cap 抓取地址包含是192.168.0.1的包。

tcpdump dest host 192.168.0.1 -w test.cap 抓取目的地址包含是192.168.0.1的包。

----------------

技巧：

1、WireShark进行Web过滤的时候通常先在Filter里面通过http进行过滤，然后再选择某行进行过滤，如下图。