tcpdump
18 commands
18 shown
Захват на интерфейсе
Захватить весь трафик на eth0 без DNS-разрешения
tcpdump -i eth0 -n
Захват в файл
Сохранить пакеты в PCAP файл для анализа в Wireshark
tcpdump -i eth0 -w /tmp/capture.pcap
Читать PCAP файл
Воспроизвести и отобразить пакеты из сохранённого PCAP файла
tcpdump -r /tmp/capture.pcap -n | head -50
Фильтр по хосту
Захватить только трафик к/от конкретного IP
tcpdump -i any host 10.0.0.5 -n
Фильтр по порту
Захватить только HTTPS трафик
tcpdump -i eth0 port 443 -n
Захват DNS запросов
Мониторинг всех DNS запросов на любом интерфейсе
tcpdump -i any -n port 53
HTTP GET запросы
Захватить и вывести строки HTTP GET запросов
tcpdump -i any -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | grep 'GET /'
Захват между двумя хостами
BPF фильтр: трафик строго между двумя узлами
tcpdump -i eth0 'host 10.0.0.1 and host 10.0.0.2'
Подробный вывод с содержимым
Подробный вывод с ASCII содержимым пакетов PostgreSQL
tcpdump -i eth0 -vvv -A -s 0 port 5432
Ограничить количество пакетов
Остановиться после захвата 100 пакетов
tcpdump -i eth0 -c 100 -w capture.pcap
Захват только TCP SYN-пакетов
Ловит только инициирующие SYN (без SYN-ACK) — для поиска сканов или переполнения backlog
tcpdump -nn 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
Захват флагов SYN и FIN
Показывает только пакеты открытия/закрытия соединений — для отслеживания короткоживущих сессий
tcpdump -nn 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'
Фильтр по хосту без SSH-шума
Смотрит трафик к/от хоста, отбрасывая шум вашей собственной SSH-сессии
tcpdump -nn -i any host <ip> and not port 22
Полный дамп payload в hex и ascii
Просмотр тела пакетов в hex и ascii; -s 0 отключает обрезку по snaplen
tcpdump -nn -s 0 -X -i any port <port>
Кольцевой захват по размеру файла
Ротация по 5 файлам по 100МБ — долгий захват не переполнит диск
tcpdump -nn -i any -s 0 -C 100 -W 5 -w /tmp/cap.pcap
Захват с ротацией по времени
Новый pcap каждый час с именем по времени — для захвата без присмотра
tcpdump -nn -i any -G 3600 -w '/tmp/cap-%Y%m%d-%H%M%S.pcap'
Фильтрация готового pcap офлайн
Повторная фильтрация сохранённого захвата без перезапуска; BPF работает при чтении
tcpdump -nn -r /tmp/cap.pcap 'port 443 and host <ip>'
Захват DNS-запросов с link-заголовком
Показывает DNS-запросы с MAC-адресами (-e) для привязки запросов к клиентам в LAN
tcpdump -nn -e -i any port 53
no commands match