Início / server / Perguntas / 960405
Accepted
Olivier Lasne
Asked: 2019-03-29 01:55:43 +0800 CST

Como posso ver pacotes durante a captura com tcpdump

  • 772

Como posso ver o tráfego enquanto o estou capturando com o tcpdump.

Quando eu uso -w, ele não mostra os pacotes durante a captura.

sudo tcpdump -i enp2s0 -w test.pcap
tcpdump: listening on enp2s0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C6 packets captured
7 packets received by filter
0 packets dropped by kernel
tcpdump

4 respostas

  1. Best Answer

    Então, depois de um pouco de experiência, a resposta é o seguinte:

    sudo tcpdump -i enp2s0 -U -w - | tee test.pcap | tcpdump -r -

    -w -: escreve na saída padrão.

    -U: escreve pacotes assim que eles chegam. Não espere até que o buffer esteja cheio.

    Teegravará no arquivo e tcpdump -r -lerá os pacotes da entrada padrão.

    • 9

  2. -wopção é gravar a saída do tcpdump em um arquivo. você pode remover essa opção se quiser imprimir em seu terminal.

    • 2

  3. Como você está usando a opção -w, os pacotes estão sendo salvos no arquivo e não exibidos na saída padrão. Aqui na página de manual do tcpdumup:

    https://www.tcpdump.org/manpages/tcpdump.1.html

    -w file
    Write the raw packets to file rather than parsing and printing them out. They can later be printed with the -r option. Standard output is used if file is ``-''. 
    This output will be buffered if written to a file or pipe, so a program reading from the file or pipe may not see packets for an arbitrary amount of time after they are received. Use the -U flag to cause packets to be written as soon as they are received. 
    The MIME type application/vnd.tcpdump.pcap has been registered with IANA for pcap files. The filename extension .pcap appears to be the most commonly used along with .cap and .dmp. Tcpdump itself doesn't check the extension when reading capture files and doesn't add an extension when writing them (it uses magic numbers in the file header instead). However, many operating systems and applications will use the extension if it is present and adding one (e.g. .pcap) is recommended. 
    See pcap-savefile(5) for a description of the file format.

    Se você quiser fazer as duas coisas ao mesmo tempo, aqui está uma maneira de conseguir isso:

    Como posso fazer com que o tcpdump grave no arquivo e produza os dados apropriados?

    • 2

  4. Para anexar um novo processo a um dump em andamento, tente:

    tail -F -n+0 $dumpfile | tcpdump -r -

    • 2

relate perguntas