TCPDUMP抓包明确显示IP地址和端口号

本文介绍: 经常使用 tcpdump进行抓包的同学可以忽略了，这篇偏于使用扫盲；首先，tcpdump 抓包目的IP显示为hostname，如果端口是知名端口，显示为协议名而不是端口号。这种默认其实略有问题的：如果我们使用默认的hostname：localhost.local domain，那么很容易误认为是本地回环地址请求：一个远程IP访问了本地回环地址，这就很怪；还是显示IP地址爽利：IPv4还是IPv6也是一目了然。那么怎么明确显示IP地址和端口号呢？

经常使用tcpdump进行抓包的同学可以忽略了，这篇偏于使用扫盲；首先，tcpdump 抓包目的IP显示为hostname，如果端口是知名端口，显示为协议名而不是端口号。这种默认其实略有问题的：

如果我们使用默认的hostname：local host.local domain，那么很容易误认为是本地回环地址请求：一个远程IP访问了本地回环地址，这就很怪；还是显示IP地址爽利：IPv4还是IPv6也是一目了然。那么怎么明确显示IP地址和端口号呢？使用-n和-nn 参数，使用举例如下：

# 抓包21端口的包（不限制源和目的）
tcpdump –i ens192 port 21
15:40:49.542333 IP 192.168.1.190.46108 &g t; xxxx-229.ftp: Flag s [S]
15:40:49.542395 IP xxxx-229.ftp > 192.168.1.190.46108: Flag s [S.]

# –n ：显示 ip地址，而不是hostname
tcpdump –i ens192 –n port 21
15:23:56.952026 IP 192.168.1.190.36944 > 192.168.1.229.ftp: Flag s [S]
15:23:56.952133 IP 192.168.1.229.ftp > 192.168.1.190.36944: Flag s [S.]

# –nn ：显示端口号而不是协议名
tcpdump –i ens192 –n –nn port 21
15:23:45.333967 IP 192.168.1.190.36840 > 192.168.1.229.21: Flag s [S]
15:23:45.334036 IP 192.168.1.229.21 > 192.168.1.190.36840: Fla gs [S.]

扩展

过滤源IP地址：

 bashCopy code
 sudo tcpdump -i eth0 src host 192.168.1.2

这将捕获源IP地址为192.168.1.2的流量。

过滤目的IP地址：
```
 bashCopy code
 sudo tcpdump -i eth0 dst host 192.168.1.2
```
这将捕获目的IP地址为192.168.1.2的流量。
过滤源和目的IP地址：
```
 bashCopy code
 sudo tcpdump -i eth0 src host 192.168.1.2 and dst host 192.168.1.3
```
这将捕获源IP地址为192.168.1.2且目的IP地址为192.168.1.3的流量。
过滤特定协议：
```
 bashCopy code
 sudo tcpdump -i eth0 icmp
```
这将捕获 ICMP 协议的流量。你可以替换 icmp 为其他协议名，如 tcp、udp。
过滤源和目的IP地址以及特定协议：
```
 bashCopy code
 sudo tcpdump -i eth0 src host 192.168.1.2 and dst host 192.168.1.3 and icmp
```
这将捕获源IP地址为192.168.1.2、目的IP地址为192.168.1.3且协议为 ICMP 的流量。

过滤特定源端口：

 bashCopy code
 sudo tcpdump -i eth0 src port 8080

这将捕获源端口为8080的流量。

过滤特定目的端口：
```
 bashCopy code
 sudo tcpdump -i eth0 dst port 80
```
这将捕获目的端口为80的流量。
过滤特定源和目的端口：
```
 bashCopy code
 sudo tcpdump -i eth0 src port 8080 and dst port 80
```
这将捕获源端口为8080且目的端口为80的流量。
过滤除特定端口之外的流量：
```
 bashCopy code
 sudo tcpdump -i eth0 not port 22
```
这将捕获除端口22之外的所有流量。