tcpudump の使い方メモ

tcpdump は, コマンドラインでネットワークトラフィックをモニタするツールである. パケットをキャプチャして保存し, あとから Wireshark などで開くこともできる. 簡単なメモを残す.

コマンド

tpcdump -w 保存するファイル -i デバイス フィルタ

オプション-wで, ファイルに保存するよう指定できる. フィルタで条件を指定できる.

フィルタ

いくつか例をあげる.

TCPの80番と8080番のみを保存.

tcpdump -w web.pcap -i eth0 'tcp port 80 or tcp port 8080'

IPv4 HTTP パケットで, 80番ポートだけを表示.

tcpdump -i eth0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'