当前位置：首页>Linux>Linux命令每日一清单011:tcpdump--网络抓包分析命令速查表

Linux命令每日一清单011:tcpdump--网络抓包分析命令速查表

2026-03-26 22:39:41

tcpdump是Linux/Unix环境下最强大的命令行网络抓包工具，它能够捕获网络中流动的数据包，并提供详细的协议分析和过滤功能。作为网络管理员和系统运维人员的必备工具，tcpdump可以帮助我们深入分析网络问题、排查连接故障、监控网络流量、分析协议行为。

tcpdump基于libpcap库，支持丰富的过滤表达式，可以精确捕获所需的数据包。抓取的数据包可以实时分析，也可以保存为pcap文件供后续使用或导入Wireshark进行图形化分析。掌握tcpdump是深入理解网络协议和排查复杂网络问题的关键技能。

1. 基本语法

命令	说明
`sudo tcpdump`	在默认网卡上开始抓包
`sudo tcpdump -i eth0`	在指定网卡上抓包
`sudo tcpdump -i any`	在所有网卡上抓包
`sudo tcpdump -D`	列出可用的网卡接口
`sudo tcpdump --help`	显示帮助信息

2. 输出控制与格式

命令	说明
`sudo tcpdump -c 100`	抓取100个包后自动停止
`sudo tcpdump -n`	不解析主机名（显示IP地址）
`sudo tcpdump -nn`	不解析主机名和端口名（显示数字端口）
`sudo tcpdump -v`	详细输出
`sudo tcpdump -vv`	更详细的输出
`sudo tcpdump -X`	以十六进制和ASCII显示包内容
`sudo tcpdump -A`	仅以ASCII显示包内容（适合HTTP协议）
`sudo tcpdump -q`	静默模式（显示较少信息）
`sudo tcpdump -t`	不显示时间戳

3. 协议过滤

命令	说明
`sudo tcpdump tcp`	只捕获TCP协议包
`sudo tcpdump udp`	只捕获UDP协议包
`sudo tcpdump icmp`	只捕获ICMP协议包（ping）
`sudo tcpdump arp`	只捕获ARP协议包
`sudo tcpdump ip`	只捕获IP协议包
`sudo tcpdump ip6`	只捕获IPv6协议包
`sudo tcpdump port 53`	捕获端口53的流量（DNS）
`sudo tcpdump port 80`	捕获端口80的流量（HTTP）

4. 主机与端口过滤

命令	说明
`sudo tcpdump host 192.168.1.100`	捕获与192.168.1.100通信的所有包
`sudo tcpdump src host 192.168.1.100`	捕获源IP为192.168.1.100的包
`sudo tcpdump dst host 192.168.1.100`	捕获目标IP为192.168.1.100的包
`sudo tcpdump port 22`	捕获端口22的流量（SSH）
`sudo tcpdump src port 80`	捕获源端口为80的包
`sudo tcpdump dst port 443`	捕获目标端口为443的包
`sudo tcpdump net 192.168.1.0/24`	捕获192.168.1.0/24网段的所有流量
`sudo tcpdump portrange 8000-9000`	捕获8000-9000端口范围的流量

5. 组合过滤表达式

命令	说明
`sudo tcpdump 'tcp and port 80'`	捕获TCP协议的80端口流量
`sudo tcpdump 'host 10.0.0.5 and port 22'`	捕获与10.0.0.5的SSH通信
`sudo tcpdump 'src 10.0.0.5 and dst port 443'`	源IP为10.0.0.5且目标端口为443
`sudo tcpdump 'port 80 or port 443'`	捕获HTTP或HTTPS流量
`sudo tcpdump 'net 192.168.1.0/24 and not port 22'`	捕获192.168.1.0网段除SSH外的流量
`sudo tcpdump 'tcp and (port 80 or port 8080)'`	捕获TCP协议的80或8080端口
`sudo tcpdump 'icmp and host 192.168.1.1'`	捕获与192.168.1.1的ICMP通信（ping）

6. 高级过滤表达式

命令	说明
`sudo tcpdump 'tcp[tcpflags] & tcp-syn != 0'`	捕获SYN包（TCP连接请求）
`sudo tcpdump 'tcp[tcpflags] & tcp-fin != 0'`	捕获FIN包（TCP连接关闭）
`sudo tcpdump 'tcp[13] & 2 != 0'`	同上，捕获SYN包（另一种写法）
`sudo tcpdump 'tcp[20:2] = 0x4745'`	匹配TCP负载以"GE"开头（GET请求）
`sudo tcpdump 'tcp port 80 and (tcp[((tcp[12] & 0xf0) >> 2):4] = 0x504f5354)'`	匹配HTTP POST请求
`sudo tcpdump 'udp[10:2] = 0x1234'`	匹配UDP负载特定位置的值
`sudo tcpdump 'greater 500'`	捕获长度大于500字节的包
`sudo tcpdump 'len <= 128'`	捕获长度小于等于128字节的包

7. 文件读写操作

命令	说明
`sudo tcpdump -w capture.pcap`	将抓包结果写入文件
`sudo tcpdump -r capture.pcap`	读取并分析pcap文件
`sudo tcpdump -i eth0 -w http.pcap port 80`	过滤HTTP流量并保存到文件
`sudo tcpdump -nn -r capture.pcap`	读取文件时不解析名称
`sudo tcpdump -r capture.pcap 'host 10.0.0.5'`	读取文件时应用过滤条件
`sudo tcpdump -C 10 -w capture.pcap`	每个文件10MB，自动轮转
`sudo tcpdump -W 5 -C 10 -w capture.pcap`	最多5个文件，每个10MB轮转
`sudo tcpdump -G 3600 -w capture-%Y%m%d-%H.pcap`	每小时生成一个新文件

8. 实用抓包场景

命令	说明
`sudo tcpdump -i any port 22`	监控SSH连接
`sudo tcpdump -i any port 53 -n`	查看DNS查询和响应
`sudo tcpdump -i eth0 host 8.8.8.8`	追踪与Google DNS的通信
`sudo tcpdump -i any 'tcp port 80 or tcp port 443' -A`	查看HTTP/HTTPS请求内容（HTTP部分可见）
`sudo tcpdump -i any icmp`	监控ping请求和响应
`sudo tcpdump -i eth0 -nn 'tcp and host 192.168.1.100'`	监控特定主机的所有TCP连接
`sudo tcpdump -i any -s 0 -v 'tcp[13] & 2 != 0'`	监控所有SYN包（新连接请求）
`sudo tcpdump -i any -c 100 -w test.pcap`	抓取100个包保存，用于后续分析
`sudo tcpdump -i any -nn -vv 'port 5060 or port 5061'`	监控SIP协议流量（VoIP）

9. 常用选项速查

选项	完整名称	说明
`-i`	--interface	指定抓包网卡
`-c`	--count	抓取指定数量包后退出
`-n`	--numeric	不解析主机名
`-nn`	--numeric-port	不解析主机名和端口名
`-v` -v, `-vv`, `-vvv`	--verbose	详细程度递增
`-w`	--write	写入文件
`-r`	--read	从文件读取
`-X`	--hex-ascii	十六进制和ASCII显示
`-A`	--ascii	仅ASCII显示
`-s`	--snapshot-length	抓取每个包的长度（0表示完整包）
`-S`	--absolute-tcp-sequence-numbers	显示绝对TCP序列号
`-e`	--ethernet-header	显示以太网头部
`-q`	--quiet	快速输出（显示较少信息）
`-t`	--timestamp	不显示时间戳
`-C`	--file-size	文件大小达到指定MB时轮转
`-G`	--rotate-seconds	每指定秒数轮转文件
`-Z`	--user	以指定用户运行（安全考虑）

10. 过滤表达式语法要点

类型	说明与示例
逻辑运算符	`and` （或`&&`）、`or`（或`
协议过滤	`tcp` 、`udp`、`icmp`、`arp`、`ip`、`ip6`
主机过滤	`host 192.168.1.1` 、`src host 10.0.0.1`、`dst host 8.8.8.8`
端口过滤	`port 80` 、`src port 22`、`dst port 443`、`portrange 8000-9000`
网络过滤	`net 192.168.1.0/24` 、`src net 10.0.0.0/8`
包长度	`greater 100` 、`len <= 64`
协议字段	`tcp[tcpflags] & tcp-syn != 0` 、`icmp[icmptype] = icmp-echo`

11. 故障排查

问题	解决方法
tcpdump: no suitable device found	权限不足，使用`sudo`；或检查网卡是否存在：`tcpdump -D`
tcpdump: eth0: That device is not up	网卡未启用，使用`ip link set eth0 up`启用
没有抓到任何包	确认网卡是否正确（`-i any`试试）；确认过滤条件是否太严格；确认是否有流量
输出太慢，主机名解析卡顿	添加`-n`或`-nn`禁用名称解析
包内容被截断	使用`-s 0`抓取完整包
抓包文件太大	使用`-C`和`-W`限制文件大小和数量
Permission denied	tcpdump需要root权限，使用`sudo`
想实时查看同时保存	使用管道：`sudo tcpdump -w -
收到的包比预期少	可能被防火墙拦截；检查本机防火墙设置

温馨提示： tcpdump是强大的底层工具，建议从简单条件开始练习：sudo tcpdump -i any -nn port 53观察DNS流量，sudo tcpdump -i any -nn icmp观察ping包。在实际排查问题时，先不加过滤抓取几秒观察整体流量，再逐步添加精确条件。对于复杂的分析，可以将抓包文件保存后导入Wireshark进行图形化分析。记得在生产环境谨慎使用，避免在高峰期长时间抓包影响系统性能。

本文PDF格式下载：

关注公众号（haopython），请回复： LLTDUMP

本文来自网友投稿或网络内容，如有侵犯您的权益请联系我们删除，联系邮箱：wyl860211@qq.com 。

Linux命令每日一清单011:tcpdump--网络抓包分析命令速查表

1. 基本语法

2. 输出控制与格式

3. 协议过滤

4. 主机与端口过滤

5. 组合过滤表达式

6. 高级过滤表达式

7. 文件读写操作

8. 实用抓包场景

9. 常用选项速查

10. 过滤表达式语法要点

11. 故障排查

最新文章

热门文章

随机文章

Linux命令每日一清单011:tcpdump--网络抓包分析命令速查表

1. 基本语法

2. 输出控制与格式

3. 协议过滤

4. 主机与端口过滤

5. 组合过滤表达式

6. 高级过滤表达式

7. 文件读写操作

8. 实用抓包场景

9. 常用选项速查

10. 过滤表达式语法要点

11. 故障排查

网安人狂喜!这张Linux工具图直接喂饭

Linux全新安装后只跑这5条命令,从几小时折腾到几分钟搞定,效率直接起飞

最新文章

热门文章

随机文章