TCPdump ist ein sehr mächtiger PacketSniffer für die Kommandozeile.
Installation: TCPdump
aptitude install tcpdump
TCPdump verwenden
Standard TCPdump Output:
tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
15:14:25.060050 IP 89.35.90.202.clax.ro.27015 > h89-37-110-61.teleson.ro.27005: UDP, length 229
15:14:25.060071 IP 89.35.90.202.clax.ro.27015 > 86-124-241-9.rdsnet.ro.27005: UDP, length 374
15:14:25.060213 IP 86-124-240-65.rdsnet.ro.27005 > 89.35.90.202.clax.ro.27015: UDP, length 78
15:14:25.060236 IP 91-213-135-21.optic-bridge.com.ro.45249 > 89.38.255.34.28822: UDP, length 20
Netzwerkadapter anzeigen
tcpdump -D
1.eth0
2.eth1
3.vmnet1
4.eth2
5.vmnet8
6.any (Pseudo-device that captures on all interfaces)
7.lo
Anzeigen von IP-Adressen anstatt DNS-Namen
tcpdump -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
15:16:30.923169 IP 89.35.90.202.38331 > 89.35.90.18.62613: P 2328456744:2328456940(196) ack 4034413693 win 644
15:16:30.923325 IP 89.35.90.202.38331 > 89.35.90.18.62613: P 196:360(164) ack 1 win 644
Ausgabe kürzen / zusammenfassen
tcpdump -q
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
15:17:03.118429 IP 89.35.90.202.clax.ro.38331 > 89.35.90.18.clax.ro.62613: tcp 196
15:17:03.119439 IP 89.35.90.202.clax.ro.53853 > ns1.clax.ro.domain: UDP, length 42
15:17:03.119631 IP host101-233-dynamic.245-95-r.retail.telecomitalia.it.11563 > 89.38.255.182.36307: UDP, length 20
15:17:03.119880 IP 79-113-85-203.rdsnet.ro.62621 > 89.35.90.202.clax.ro.27015: UDP, length 46
15:17:03.119903 IP user-ip-23-89-33-89-sel.rdsnav.ro.63087 > 89.35.90.202.clax.ro.27015: UDP, length 58
15:17:03.119913 IP 89.123.112.67.40328 > 89.38.255.34.63681: tcp 0
Netzwerkadapter angeben
tcpdump -i eth0
UDP-Pakete filtern
tcpdump udp
TCP Port 80 Traffic aufzeichnen
tcpdump port http
tcpdump port 80
TCP Quell-Port 80 Traffic aufzeichnen
tcpdump src port 80
TCP Ziel-Port 80 Traffic aufzeichnen
tcpdump dst port 80
Traffic-Aufzeichnung von einer bestimmten IP
tcpdump host 192.168.1.1
Traffic-Aufzeichnung von einer bestimmten Quell-IP
tcpdump src 192.168.1.2
Traffic-Aufzeichnung von einer bestimmten Quell-IP
tcpdump dst 10.1.1.2
Traffic-Aufzeichnung nach 20 Paketen stoppen
tcpdump -c 20
Traffic-Aufzeichnung eines IP-Netzes
tcpdump net 192.168.1.0/24
Output in eine Datei umleiten
tcpdump -w tcpdump_capture.log
