tcpdump 显示包内容

用-X参数就可以了。

示例：

tcpdump -X -i lo udp

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
11:25:17.139605 IP localhost.localdomain.31005 > localhost.localdomain.31006: UDP, length 70

0x0000:  4500 0062 dd91 4000 4011 5ef7 7f00 0001  E..b..@.@.^.....
0x0010:  7f00 0001 791d 791e 004e fe61 ffff 0000  ....y.y..N.a....
0x0020:  0000 3d03 02a0 ae44 2c37 e39b 0200 0000  ..=....D,7......
0x0030:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0040:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0050:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0060:  4097                                     @.

tcpdump -X -i lo udp -t -n -s0

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
IP 127.0.0.1.31005 > 127.0.0.1.31006: UDP, length 70

0x0000:  4500 0062 1baf 4000 4011 20da 7f00 0001  E..b..@.@.......
0x0010:  7f00 0001 791d 791e 004e fe61 ffff 0000  ....y.y..N.a....
0x0020:  0000 3d03 02a0 ae44 2c37 e39b 0200 0000  ..=....D,7......
0x0030:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0040:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0050:  0000 0000 0000 0000 0000 0000 0000 0000  ................
0x0060:  4097                                     @.

IP 127.0.0.1.31006 > 127.0.0.1.31005: UDP, length 10

0x0000:  4500 0026 1bb0 4000 4011 2115 7f00 0001  E..&..@.@.!.....
0x0010:  7f00 0001 791e 791d 0012 fe25 ffff 0000  ....y.y....%....
0x0020:  0000 0383 6b74                           ....kt

tcpdump的选项介绍

　　　-a 　　　将网络地址和广播地址转变成名字；

　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；

　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出；

　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出；

　　　-e 　　　在输出行打印出数据链路层的头部信息，包括源mac和目的mac，以及网络层的协议；

　　　-f 　　　将外部的Internet地址以数字的形式打印出来；

　　　-l 　　　使标准输出变为缓冲行形式；

　　　-n 　　　指定将每个监听到数据包中的域名转换成IP地址后显示，不把网络地址转换成名字；

     -nn：    指定将每个监听到的数据包中的域名转换成IP、端口从应用名称转换成端口号后显示 　　　-t 　　　在输出的每一行不打印时间戳；

　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；

　　　-vv 　　　输出详细的报文信息；

　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止；

　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式；

　　　-i 　　　指定监听的网络接口；

      -p：    将网卡设置为非混杂模式，不能与host或broadcast一起使用

　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；

　　　-w 　　　直接将包写入文件中，并不分析和打印出来；

            -s snaplen         snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节。
　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议；）

          -X            告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来（tcpdump会以16进制和ASCII的形式显示），这在进行协议分析时是绝对的利器。

Referenced from:https://blog.csdn.net/hzhsan/article/details/43445787

本文链接地址：https://const.net.cn/423.html