[리눅스] Linux tcpdump 명령어 사용법 정리

<리눅스 tcpdump 명령어 사용법 정리>

 

-기본 옵션들

# tcpdump [ -AdDefIKlLnNOpqRStuUvxX ][ -B buffer_size ][ -c count ][ -C file_size ][ -G rotate_seconds ][ -F file ][ -i interface ][ -m module ][ -M secret ][ -r file ][ -s snaplen ][ -T type ][ -w file ][ -W filecount ][ -E spi@ipaddr algo:secret,... ][ -y datalinktype ][ -z postrotate-command ][ -Z user ]

 

 

-각종 예제

# tcpdump -i eth0                                           => 인터페이스 eth0 을 보여줌

 

# tcpdump -w tcpdump.log                    => 결과를 파일로 저장, txt 가 아닌 bin 형식으로 저장됨

 

# tcpdump -r tcpdump.log                     => 저장한 파일을 읽음

 

# tcpdump -i eth0 -c 10                         => 카운터 10개만 보여줌

 

# tcpdump -i eth0 tcp port 80                 => tcp 80 포트로 통신하는 패킷 보여줌

 

# tcpdump -i eth0 tcp port 80                 => tcp 80 포트로 통신하는 패킷 보여줌

 

# tcpdump -i eth0 src 192.168.0.1  => source ip 가 이것인 패킷 보여줌

 

# tcpdump -i eth0 dst 192.168.0.1 => dest ip 가 이것인 패킷 보여줌

 

 

 

* and 옵션으로 여러가지 조건의 조합 가능

 

# tcpdump -i eth0 src 192.168.0.1 and tcp port 80   => source ip 가 이것이면서 tcp port 80 인 패킷 보여줌

 

# tcpdump -i eth0 dst 192.168.0.1 => dest ip 가 이것인 패킷 보여줌

 

# tcpdump host 192.168.0.1                    => host 를 지정하면, 이 ip 로 들어오거가 나가는 양방향 패킷 모두 보여줌

 

# tcpdump src 192.168.0.1                      => host 중에서 src 가 이것인것 만 지정

 

# tcpdump dst 192.168.0.1                      => host 중에서 dst 가 이것인것 만 지정

 

# tcpdump net 192.168.0.1/24                 => CIDR 포맷으로 지정할 수 있다.

 

# tcpdump tcp                                     => TCP 인것만

 

# tcpdump udp                                    => UDP 인것만

 

# tcpdump port 3389                            => 포트 양뱡향으로 이것인 것.

 

# tcpdump src port 3389                        => src 포트가 이것인 것.

 

# tcpdump dst port 3389                       => dst 포트가 이것인 것.

 

* combine : and ( && ) , or ( || ) , not ( ! ) 으로 여러가지를 조합해서 사용 가능

 

# tcpdump udp and src port 53    => UDP 이고 src 포트가 53 인 것

 

# tcpdump src x.x.x.x and not dst port 22  => src ip 가 x.x.x.x 이고 dst 포트가 22 가 아닌 것

 

 

 

* grouping : ( )

 

# tcpdump 'src x.x.x.x and ( dst port 3389 or 22 )'   => src ip 가 x.x.x.x 이고 ( dst 포트가 3389 또는 22 ) 인 것  ==> 여기서는 ' ' 가 반드시 있어야 한다.