前面的非功能测试总览种提出的，tcp网络访问dump，进行的额外补充：
- 1.tcpdum核心参数详解
- 2.理解tcpdump的输出
- 3.常规过滤规则
- 4.可选参数解析
- 5.过滤规则组合
- 6.特殊过滤规则
- 7.如何抓取更为准确的包
- 8.抓包样例
样例：
或者：
tcpdump -i eth0 -w test.cap,将该网卡的tcp打包为一个文件：
下载 wireshark 观看此文件：可以看到发的交易的数据包；
目前tcpdump:
1,某个请求超时，服务方或者客户端认为本身没问题的，则根据tcpdump判断交易时间
2.某个请求方，出现参数丢失、或者精度丢失等问题，请求方认为么问题或者，服务方处理不对导致的，也可以根据dump判断入参是否有问题；
3.也有其他使用的场景，暂未用到，自己体会；
本文章主要用于tcpdump命令详解，wireshark 的使用详解，可参考：
分析请求样例
一：tcpdump核心参数详解
大家都知道，网络上的流量、数据包，非常的多，因此要想抓到我们所需要的数据包，就需要我们定义一个精准的过滤器，把这些目标数据包，从巨大的数据包网络中抓取出来。所以学习抓包工具，其实就是学习如何定义过滤器的过程。
而在 tcpdump 的世界里，过滤器的实现，都是通过一个又一个的参数组合起来，一个参数不够精准，那就再加一个，直到我们能过滤掉无用的数据包，只留下我们感兴趣的数据包。
tcpdump 的参数非常的多，初学者在没有掌握 tcpdump 时，会对这个命令的众多参数产生很多的疑惑。
就比如下面这个命令，
1.我们要通过 host 参数指定 host ip 进行过滤
tcpdump host 192.168.10.100
主程序 + 参数名+ 参数值
这样的组合才是我们正常认知里面命令行该有的样子。
2.可 tcpdump 却不走寻常路，
我们居然还可以在 host 前再加一个限定词，来缩小过滤的范围？
$ tcpdump src host 192.168.10.100
从字面上理解，确实很容易理解，
但是这不符合编写命令行程序的正常逻辑，导致我们会有所疑虑：
2.1除了 src ，dst，可还有其它可以用的限定词？
2.2src，host 应该如何理解它们，叫参数名？不合适，
因为 src 明显不合适。如果你在网上看到有关 tcpdump 的博客、教程，无一不是给你一个参数组合，告诉你这是实现了怎样的一个过滤器？这样的教学方式，很容易让你依赖别人的文章来使用 tcpdump，而不能将 tcpdump 这样神器消化，达到灵活应用，灵活搭配过滤器的效果。
上面加了 src 本身就颠覆了我们的认知，你可知道在 src 之前还可以加更多的条件，比如 tcp, udp, icmp 等词，在你之前的基础上再过滤一层。
tcpdump tcp src host 192.168.10.100这种参数的不确定性，让大多数人对 tcpdump 的学习始终无法得其精髓。
因此，在学习 tcpdump 之前，我觉得有必要要先让你知道：tcpdump 的参数是如何组成的？这非常重要。
为此，我画了一张图，方便你直观的理解 tcpdump 的各种参数：
1.option 可选参数：将在后边一一解释。
2.proto 类过滤器：根据协议进行过滤，可识别的关键词有： tcp, udp, icmp, ip, ip6, arp, rarp,ether,wlan, fddi, tr, decnet
3.ype 类过滤器：可识别的关键词有：host, net, port, portrange，这些词后边需要再接参数。
4.direction 类过滤器：根据数据流向进行过滤，可识别的关键字有：src, dst，同时你可以使用逻辑运算符进行组合，比如 src or dst
proto、type、direction 这三类过滤器的内容比较简单，也最常用，因此我将其放在最前面，也就是 第三节：常规过滤规则一起介绍。
而 option 可选的参数非常多，有的甚至也不经常用到，因此我将其放到后面一点，也就是 第四节：可选参数解析
当你看完前面六节，你对 tcpdump 的认识会上了一个台阶，至少能够满足你 80% 的使用需求。
你一定会问了，还有 20% 呢？
其实 tcpdump 还有一些过滤关键词，它不符合以上四种过滤规则，可能需要你单独记忆。关于这部分我会在 第六节：特殊过滤规则 里进行介绍。21:26:49.013621 IP 172.20.20.1.15605 > 172.20.20.2.5920: Flags [P.], seq 49:97, ack 106048, win 4723, length 48
从上面的输出来看，可以总结出：
第一列：时分秒毫秒 21:26:49.013621
第二列：网络协议 IP
第三列：发送方的ip地址+端口号，其中172.20.20.1是 ip，而15605 是端口号
第四列：箭头 >， 表示数据流向
第五列：接收方的ip地址+端口号，其中 172.20.20.2 是 ip，而5920 是端口号
第六列：冒号
第七列：数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length，其中 [P.] 表示 PUSH 标志位为 1，更多标识符见下面
使用 tcpdump 抓包后，会遇到的 TCP 报文 Flags，有以下几种：
[S] : SYN（开始连接）[P] : PSH（推送数据）[F] : FIN （结束连接）[R] : RST（重置连接）[.] : 没有 Flag （意思是除上面四种类型外的其他情况，有可能是 ACK 也有可能是 URG）使用 host 就可以指定 host ip 进行过滤
tcpdump host 192.168.10.100数据包的 ip 可以再细分为源ip和目标ip两种
# 根据源ip进行过滤
$ tcpdump -i eth2 src 192.168.10.100
# 根据目标ip进行过滤
$ tcpdump -i eth2 dst 192.168.10.200
若你的ip范围是一个网段，可以直接这样指定
$ tcpdump net 192.168.10.0/24
网段同样可以再细分为源网段和目标网段
# 根据源网段进行过滤
$ tcpdump src net 192.168
# 根据目标网段进行过滤
$ tcpdump dst net 192.168
使用 port 就可以指定特定端口进行过滤
$ tcpdump port 8088
端口同样可以再细分为源端口，目标端口
# 根据源端口进行过滤
$ tcpdump src port 8088
# 根据目标端口进行过滤
$ tcpdump dst port 8088
如果你想要同时指定两个端口你可以这样写
$ tcpdump port 80 or port 8088
但也可以简写成这样
$ tcpdump port 80 or 8088
如果你的想抓取的不再是一两个端口，而是一个范围，一个一个指定就非常麻烦了，此时你可以这样指定一个端口段。
$ tcpdump portrange 8000-8080
$ tcpdump src portrange 8000-8080
$ tcpdump dst portrange 8000-8080
对于一些常见协议的默认端口，我们还可以直接使用协议名，而不用具体的端口号
比如 http == 80，https == 443 等
$ tcpdump tcp port http常见的网络协议有：tcp, udp, icmp, http, ip,ipv6 等
若你只想查看 icmp 的包，可以直接这样写
$ tcpdump icmpprotocol 可选值：ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat, mopdl, moprc, iso, stp, ipx, or netbeui
当你想查看 tcp 的包，你也许会这样子写
$ tcpdump tcp
这样子写也没问题，就是不够精准，为什么这么说呢？
ip 根据版本的不同，可以再细分为 IPv4 和 IPv6 两种，如果你只指定了 tcp，这两种其实都会包含在内。
那有什么办法，能够将 IPv4 和 IPv6 区分开来呢？
很简单，如果是 IPv4 的 tcp 包 ，就这样写（友情提示：数字 6 表示的是 tcp 在ip报文中的编号。）
$ tcpdump 'ip proto tcp'
# or
$ tcpdump ip proto 6
# or
$ tcpdump 'ip protochain tcp'
# or
$ tcpdump ip protochain 6
而如果是 IPv6 的 tcp 包 ，就这样写
$ tcpdump 'ip6 proto tcp'
# or
$ tcpdump ip6 proto 6
# or
$ tcpdump 'ip6 protochain tcp'
# or
$ tcpdump ip6 protochain 6
关于上面这几个命令示例，有两点需要注意：
1.跟在 proto 和 protochain 后面的如果是 tcp, udp, icmp ，那么过滤器需要用引号包含，这是因为 tcp,udp, icmp 是 tcpdump 的关键字。
2.跟在ip 和 ip6 关键字后面的 proto 和 protochain 是两个新面孔，看起来用法类似，它们是否等价，又有什么区别呢？
关于第二点，网络上没有找到很具体的答案，我只能通过 man tcpdump 的提示， 给出自己的个人猜测，但不保证正确。
proto 后面跟的 <protocol> 的关键词是固定的，只能是 ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat, mopdl, moprc, iso, stp, ipx, or netbeui 这里面的其中一个。
而 protochain 后面跟的 protocol 要求就没有那么严格，它可以是任意词，只要 tcpdump 的 IP 报文头部里的 protocol 字段为 <protocol> 就能匹配上。
理论上来讲，下面两种写法效果是一样的
$ tcpdump 'ip && tcp'
$ tcpdump 'ip proto tcp'
同样的，这两种写法也是一样的
$ tcpdump 'ip6 && tcp'
$ tcpdump 'ip6 proto tcp'
-n：不把ip转化成域名，直接显示 ip，避免执行 DNS lookups 的过程，速度会快很多-nn：不把协议和端口号转化成名字，速度也会快很多。-N：不打印出host 的域名部分.。比如,，如果设置了此选现，tcpdump 将会打印’nic’ 而不是 ‘nic.ddn.mil’.使用 tcpdump 工具抓到包后，往往需要再借助其他的工具进行分析，比如常见的 wireshark 。
而要使用wireshark ，我们得将 tcpdump 抓到的包数据生成到文件中，最后再使用 wireshark 打开它即可。
使用 -w 参数后接一个以 .pcap 后缀命令的文件名，就可以将 tcpdump 抓到的数据保存到文件中。
$ tcpdump icmp -w icmp.pcap使用 -w 是写入数据到文件，而使用 -r 是从文件中读取数据。
读取后，我们照样可以使用上述的过滤器语法进行过滤分析。
$ tcpdump icmp -r all.pcap-v：产生详细的输出. 比如包的TTL，id标识，数据包长度，以及IP包的一些选项。同时它还会打开一些附加的包完整性检测，比如对IP或ICMP包头部的校验和。-vv：产生比-v更详细的输出. 比如NFS回应包中的附加域将会被打印, SMB数据包也会被完全解码。（摘自网络，目前我还未使用过）-vvv：产生比-vv更详细的输出。比如 telent 时所使用的SB, SE 选项将会被打印, 如果telnet同时使用的是图形界面，其相应的图形选项将会以16进制的方式打印出来（摘自网络，目前我还未使用过）-t：在每行的输出中不输出时间-tt：在每行的输出中会输出时间戳-ttt：输出每两行打印的时间间隔(以毫秒为单位)-tttt：在每行打印的时间戳之前添加日期的打印（此种选项，输出的时间最直观）-x：以16进制的形式打印每个包的头部数据（但不包括数据链路层的头部）
-xx：以16进制的形式打印每个包的头部数据（包括数据链路层的头部）
-X：以16进制和 ASCII码形式打印出每个包的数据(但不包括连接层的头部)，这在分析一些新协议的数据包很方便。
-XX：以16进制和 ASCII码形式打印出每个包的数据(包括连接层的头部)，这在分析一些新协议的数据包很方便
-i：指定要过滤的网卡接口，如果要查看所有网卡，可以 -i any
有编程基础的同学，对于下面三个逻辑运算符应该不陌生了吧
and：所有的条件都需要满足，也可以表示为 &&
or：只要有一个条件满足就可以，也可以表示为 ||
not：取反，也可以使用 !
举个例子，我想需要抓一个来自10.5.2.3，发往任意主机的3389端口的包
$ tcpdump src 10.5.2.3 and dst port 3389
当你在使用多个过滤器进行组合时，有可能需要用到括号，而括号在 shell 中是特殊符号，因为你需要使用引号将其包含。例子如下：
$ tcpdump 'src 10.0.2.4 and (dst port 3389 or 22)'
而在单个过滤器里，常常会判断一条件是否成立，这时候，就要使用下面两个符号
=：判断二者相等
==：判断二者相等
!=：判断二者不相等当你使用这两个符号时，tcpdump 还提供了一些关键字的接口来方便我们进行判断，比如if：表示网卡接口名、
比如我现在要过滤来自进程名为 nc 发出的流经 en0 网卡的数据包，或者不流经 en0 的入方向数据包，可以这样子写
$ tcpdump "( if=en0 and proc =nc ) || (if != en0 and dir=in)"
通过上一篇文章，我们知道了 tcp 的首部有一个标志位。
tcpdump 支持我们根据数据包的标志位进行过滤
proto [ expr:size ]
接下来，我将举几个例子，让人明白它的写法，不过在那之前，有几个点需要你明白，这在后面的例子中会用到：
**1、**tcpflags 可以理解为是一个别名常量，相当于 13，它代表着与指定的协议头开头相关的字节偏移量，也就是标志位，所以 tcp[tcpflags] 等价于 tcp[13] ，对应下图中的报文位置。
**2、**tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg 这些同样可以理解为别名常量，分别代表 1，2，4，8，16，32，64。这些数字是如何计算出来的呢？
以 tcp-syn 为例，你可以参照下面这张图，计算出来的值 是就是 2
由于数字不好记忆，所以一般使用这样的“别名常量”表示。
因此当下面这个表达式成立时，就代表这个包是一个 syn 包。
tcp[tcpflags] == tcp-syn
要抓取特定数据包，方法有很多种。
下面以最常见的 syn包为例，演示一下如何用 tcpdump 抓取到 syn 包，而其他的类型的包也是同样的道理。
据我总结，主要有三种写法：
1、第一种写法：使用数字表示偏移量
$ tcpdump -i eth0 "tcp[13] & 2 != 0"
2、第二种写法：使用别名常量表示偏移量
$ tcpdump -i eth0 "tcp[tcpflags] & tcp-syn != 0"
3、第三种写法：使用混合写法
$ tcpdump -i eth0 "tcp[tcpflags] & 2 != 0"
# or
$ tcpdump -i eth0 "tcp[13] & tcp-syn != 0"
如果我想同时捕获多种类型的包呢，比如 syn + ack 包
1、第一种写法
$ tcpdump -i eth0 'tcp[13] == 2 or tcp[13] == 16'
2、第二种写法
$ tcpdump -i eth0 'tcp[tcpflags] == tcp-syn or tcp[tcpflags] == tcp-ack'
3、第三种写法
$ tcpdump -i eth0 "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0"
4、第四种写法：注意这里是 单个等号，而不是像上面一样两个等号，18（syn+ack） = 2（syn） + 16（ack）
$ tcpdump -i eth0 'tcp[13] = 18'
# or
$ tcpdump -i eth0 'tcp[tcpflags] = 18'
tcp 中有 类似 tcp-syn 的别名常量，其他协议也是有的，比如 icmp 协议，可以使用的别名常量有
icmp-echoreply, icmp-unreach, icmp-sourcequench,
icmp-redirect, icmp-echo, icmp-routeradvert,
icmp-routersolicit, icmp-timx-ceed, icmp-paramprob,
icmp-tstamp, icmp-tstampreply,icmp-ireq,
icmp-ireqreply, icmp-maskreq, icmp-maskreply
若你想查看指定大小的数据包，也是可以的
$ tcpdump less 32
$ tcpdump greater 64
$ tcpdump <= 128
例子如下，其中 ehost 是记录在 /etc/ethers 里的 name
$ tcpdump ether host [ehost]
$ tcpdump ether dst [ehost]
$ tcpdump ether src [ehost]$ tcpdump gateway [host]
$ tcpdump ether broadcast
$ tcpdump ether multicast
$ tcpdump ip broadcast
$ tcpdump ip multicast
$ tcpdump ip6 multicast
先给你抛出一个问题：如果我只想抓取 HTTP 的 POST 请求该如何写呢？
如果只学习了上面的内容，恐怕你还是无法写法满足这个抓取需求的过滤器。
在学习之前，我先给出答案，然后再剖析一下，这个过滤器是如何生效的，居然能让我们对包内的内容进行判断。
$ tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4]'
命令里的可选参数，在前面的内容里已经详细讲过了。这里不再细讲。
本节的重点是引号里的内容，看起来很复杂的样子。
将它逐一分解，我们只要先理解了下面几种用法，就能明白
分解完后，再慢慢合并起来看
tcp[12:1] & 0xf0) >> 2 这个表达式实际是 (tcp[12:1] & 0xf0) >> 4 ) << 2 的简写形式。所以要搞懂 tcp[12:1] & 0xf0) >> 2 只要理解了(tcp[12:1] & 0xf0) >> 4 ) << 2 就行了 。
从上一步我们算出了 tcp[12:1] & 0xf0 的值其实是一个字节，也就是 8 个bit，但是你再回去看下上面的 tcp 报文首部结构图，表示数据偏移量的只有 4个bit，也就是说 上面得到的值 10110000，前面 4 位（1011）才是正确的偏移量，那么为了得到 1011，只需要将 10110000 右移4位即可，也就是 tcp[12:1] & 0xf0) >> 4，至此我们是不是已经得出了实际数据的正确位置呢，很遗憾还没有，前一篇文章里我们讲到 Data Offset 的单位是 4个字节，因为要将 1011 乘以 4才可以，除以4在位运算中相当于左移2位，也就是 <<2，与前面的 >>4 结合起来一起算的话，最终的运算可以简化为 >>2。
至此，我们终于得出了实际数据开始的位置是 tcp[12:1] & 0xf0) >> 2 （单位是字节）。
找到了数据的起点后，可别忘了我们的目的是从数据中打到 HTTP 请求的方法，是 GET 呢 还是 POST ，或者是其他的？
有了上面的经验，我们自然懂得使用 tcp[((tcp[12:1] & 0xf0) >> 2):4] 从数据开始的位置再取出四个字节，然后将结果与 GET （注意 GET最后还有个空格）的 16进制写法（也就是 0x47455420）进行比对。
0x47 --> 71 --> G
0x45 --> 69 --> E
0x54 --> 84 --> T
0x20 --> 32 --> 空格
如果相等，则该表达式为True，tcpdump 认为这就是我们所需要抓的数据包，将其输出到我们的终端屏幕上。
$ tcpdump -nn -A -s1500 -l | grep "User-Agent:"
通过 egrep 可以同时提取User-Agent 和主机名（或其他头文件）：
$ tcpdump -nn -A -s1500 -l | egrep -i 'User-Agent:|Host:'
抓取 HTTP GET 请求包：
$ tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
# or
$ tcpdump -vvAls0 | grep 'GET'
可以抓取 HTTP POST 请求包：
$ tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'
# or
$ tcpdump -vvAls0 | grep 'POST'
注意：该方法不能保证抓取到 HTTP POST 有效数据流量，因为一个 POST 请求会被分割为多个 TCP 数据包。
找出一段时间内发包最多的 IP，或者从一堆报文中找出发包最多的 IP，可以使用下面的命令：
$ tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20
DNS 的默认端口是 53，因此可以通过端口进行过滤
$ tcpdump -i any -s0 port 53
当抓取大量数据并写入文件时，可以自动切割为多个大小相同的文件。例如，下面的命令表示每 3600 秒创建一个新文件 capture-(hour).pcap，每个文件大小不超过 200*1000000 字节：
$ tcpdump -w /tmp/capture-%H.pcap -G 3600 -C 200
这些文件的命名为 capture-{1-24}.pcap，24 小时之后，之前的文件就会被覆盖。
从 HTTP POST 请求中提取密码和主机名：
$ tcpdump -s 0 -A -n -l | egrep -i "POST /|pwd=|passwd=|password=|Host:"
提取 HTTP 请求的主机名和路径：
$ tcpdump -s 0 -v -n -l | egrep -i "POST /|GET /|Host:"
抓取 80 端口的 HTTP 有效数据包，排除 TCP 连接建立过程的数据包（SYN / FIN / ACK）：
$ tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
通常 Wireshark（或 tshark）比 tcpdump 更容易分析应用层协议。一般的做法是在远程服务器上先使用 tcpdump 抓取数据并写入文件，然后再将文件拷贝到本地工作站上用 Wireshark 分析。
还有一种更高效的方法，可以通过 ssh 连接将抓取到的数据实时发送给 Wireshark 进行分析。以 MacOS 系统为例，可以通过 brew cask install wireshark 来安装，然后通过下面的命令来分析：
$ ssh root@remotesystem 'tcpdump -s0 -c 1000 -nn -w - not port 22' | /Applications/Wireshark.app/Contents/MacOS/Wireshark -k -i -
例如，如果想分析 DNS 协议，可以使用下面的命令：
$ ssh root@remotesystem 'tcpdump -s0 -c 1000 -nn -w - port 53' | /Applications/Wireshark.app/Contents/MacOS/Wireshark -k -i -
抓取到的数据：
到这里，我已经将我所知道的 tcpdump 的用法全部说了一遍，如果你有认真地看完本文，相信会有不小的收获，掌握一个上手的抓包工具，对于以后我们学习网络、分析网络协议、以及定位网络问题，会很有帮助，而 tcpdump 是我推荐的一个抓包工具。
原文链接：https://blog.csdn.net/weixin_36338224/article/details/107035214