在Linux系统中,抓包是网络分析、故障排查和安全审计的核心技能，通过捕获网络接口的数据包，可以深入分析通信内容、定位网络延迟或丢包原因、检测异常流量等，Linux下常用的抓包工具包括命令行工具tcpdump、图形化工具Wireshark（tshark）以及特定场景下的专业工具如ngrep等，本文将详细介绍这些工具的使用方法、核心参数及实际应用技巧。
抓包的基本原理与前提条件
抓包的本质是通过将网卡模式设置为“混杂模式”（Promiscuous Mode），捕获经过该网卡的所有数据包（无论目标MAC地址是否为本机），在Linux中，抓包需要满足两个前提：
- root权限：捕获原始数据包需要操作网络底层，普通用户无权限执行，需使用
sudo或直接切换至root用户。 - 网卡混杂模式开启：现代Linux系统通常默认开启混杂模式，若需手动检查或开启，可使用
ip link show查看网卡状态，通过ip link set ethX promisc on/off（ethX为网卡名，如eth0、ens33）控制。
核心工具tcpdump：命令行抓包利器
tcpdump是Linux下最经典的命令行抓包工具,轻量且高效，适合服务器无图形界面的环境。
安装与基本语法
- 安装：
- Ubuntu/Debian：
sudo apt install tcpdump - CentOS/RHEL：
sudo yum install tcpdump
- Ubuntu/Debian：
- 基本语法：
tcpdump [选项] [表达式]，表达式”用于过滤数据包，未指定时捕获所有流量。
常用参数说明
| 参数 | 作用 | 示例 |
|---|---|---|
-i <接口> |
指定抓包网卡，默认为第一个非回环接口 | tcpdump -i eth0 |
-c <数量> |
限定捕获数据包数量，达到数量后自动退出 | tcpdump -c 100 |
-n |
不解析主机名和端口，直接显示IP和数字端口，加快抓包速度 | tcpdump -n |
-nn |
进一步不解析协议名（如TCP显示为tcp），以数字形式展示 | tcpdump -nn |
-v/-vv |
详细输出，显示更多数据包信息（如TTL、IP选项等） | tcpdump -vv |
-w <文件> |
将捕获结果保存到.pcap文件（二进制格式，可用Wireshark打开） | tcpdump -w capture.pcap |
-r <文件> |
读取已保存的.pcap文件并分析内容 | tcpdump -r capture.pcap |
-s <长度> |
设置抓取的数据包长度（snaplen），默认68字节，0或65535表示抓取完整包 | tcpdump -s 0 -w full.pcap |
-A |
以ASCII格式显示数据包内容，适合分析HTTP、DNS等明文协议 | tcpdump -A -i eth0 port 80 |
过滤表达式：精准捕获目标流量
过滤表达式是tcpdump的核心,通过组合“主机”“端口”“协议”等关键字，可精准定位目标流量。
- 按主机过滤：
host <IP>：捕获与指定IP通信的所有包（双向）
tcpdump -n host 192.168.1.100src <IP>/dst <IP>：仅捕获源地址或目标地址为指定IP的包
tcpdump -n src 192.168.1.100
- 按端口过滤：
port <端口>：捕获指定端口的流量
tcpdump -n port 80portrange <端口范围>：捕获端口范围内的流量（如portrange 8000-9000）
- 按协议过滤：
tcp/udp/icmp：捕获指定协议的流量
tcpdump -n icmp
- 组合过滤（使用
and/or/not）：tcpdump -n 'tcp port 80 and host 192.168.1.100'tcpdump -n 'host 192.168.1.0/24 and not port 22'
实际应用场景示例
- 抓取HTTP GET请求：
tcpdump -A -n 'tcp port 80 and (tcp[((tcp[12:1]&0xf0)>>2):4] = 0x47455420)'
（注：0x47455420为“GET ”的十六进制编码，tcp[12:1]&0xf0获取TCP头部长度，>>2计算选项字段偏移，定位到应用层数据） - 抓取TCP三次握手：
tcpdump -n 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0 and host 192.168.1.100' - 抓取DNS查询：
tcpdump -n 'port 53 and udp[10:2] != 0'
图形化工具Wireshark（tshark）：交互式分析
Wireshark是跨平台的图形化抓包工具,支持实时解析、协议统计和深度过滤，适合需要可视化分析的场景，Linux下可通过tshark（其命令行版本）实现类似tcpdump的功能，但更侧重协议解析。
安装与启动
- 安装：
- Ubuntu/Debian：
sudo apt install wireshark - CentOS/RHEL：
sudo yum install wireshark-gnome（需安装图形界面支持）
- Ubuntu/Debian：
- 启动：命令行输入
wireshark，选择网卡后点击“开始捕获”。
核心功能
- 实时捕获：可设置捕获过滤器（与tcpdump表达式类似），减少无关数据包；捕获后通过“显示过滤器”精准筛选（如
http.request.method == "GET"）。 - 协议分析：自动解析TCP/IP、HTTP、DNS、SSH等协议字段，直观展示数据包结构（如TCP头部标志位、HTTP请求头）。
- 数据导出：支持将捕获结果导出为.pcap、CSV等格式，便于后续分析。
tshark命令行使用
tshark是Wireshark的命令行版本,适合脚本化操作，语法与tcpdump类似，但支持更复杂的协议过滤：
tshark -i eth0 -Y "http" -w http.pcap（捕获HTTP流量并保存）tshark -r capture.pcap -T fields -e ip.src -e tcp.dstport（提取源IP和目标端口）
其他工具补充
- ngrep：类似
grep的网络抓包工具，支持正则表达式匹配应用层数据，适合快速搜索特定字符串（如密码、关键字）：
sudo ngrep -d eth0 'password' tcp port 22 - tcpflow：按TCP重组流并保存为文件，适合分析HTTP、FTP等协议的完整数据：
sudo tcpflow -i eth0 -c 'port 80'
注意事项
- 性能影响：长时间抓包或未使用过滤器可能导致磁盘写满或系统负载升高，建议结合
-c限制数量或定期清理文件。 - 隐私与合规：抓包可能涉及敏感数据（如明文密码），需确保符合法律法规，避免非法监控他人网络。
- 网卡流量：若网卡为百兆/千兆，需确保磁盘I/O性能足够，否则可能出现丢包（可使用
-s限制抓包长度减少负载）。
相关问答FAQs
Q1: Linux下抓包提示“permission denied”怎么办？
A: 抓包需要root权限，可通过以下方式解决：
- 使用
sudo执行命令：sudo tcpdump -i eth0 - 或将当前用户加入
wireshark组（Ubuntu/Debian）：sudo usermod -aG wireshark $USER，然后重新登录，无需sudo即可使用tcpdump（但部分系统仍需root权限开启混杂模式）。
Q2: tcpdump和Wireshark的过滤器语法有什么区别？
A: 两者核心语法相似（均支持host、port、协议等关键字），但Wireshark的显示过滤器更强大，支持协议字段级过滤（如http.request.method == "GET"），而tcpdump的过滤器仅支持基本表达式；Wireshark支持逻辑运算符、，tcpdump则需用and/or/not。
- tcpdump：
tcpdump -n 'tcp port 80 and host 192.168.1.100' - Wireshark显示过滤器：
tcp.port == 80 && ip.addr == 192.168.1.100
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/14281.html
