Lista de Comandos Básicos de TCPdump

O tcpdump é um dos nossos melhores amigos na hora de fazer uma análise de rede, equivalente ao wireshark ele pode ser utilizado para escutar e armazenar o tráfego de uma determinada interface para posterior análise.

Mostrar as interfaces do sistema:

tcpdump -D

Escutar na interface eth0:

tcpdump -i eth0

Escuta em todas as interfaces:

tcpdump -i any

Mostrar a saída(verbose) na tela:

tcpdump -v

Mostrar MUITA saída(verbose) na tela:

tcpdump -vv

Mostrar tudo que for possível — saída(verbose) — na tela:

tcpdump -vvv

Mostra a saída na tela e mostra os dados do pacote em HEXA e ASCII sem dados de camada 2:

tcpdump -v -X

Mostra a saída na tela e mostra os dados do pacote em HEXA e ASCII com dados de camada 2:

tcpdump -v -XX

Limitar a captura para apenas 100 pacotes:

tcpdump -c 100

Grava a captura sendo realizada no arquivo captura.cap:

tcpdump -w captura.cap

Grava a captura sendo realizada no arquivo captura.cap e mostra a quantidade de pacotes sendo gravados em tempo real:

tcpdump -v -w captura.cap

Mostra os pacotes de um arquivo já gravado chamado captura.cap:

tcpdump -r captura.cap

Mostra de maneira detalhada os pacotes de um arquivo já gravado de captura:

tcpdump -vvv -r captura.cap

Mostra IP’s e Portas de uma captura sem mostrar DNS apenas IP:

tcpdump -n

Faz a captura apenas dos pacotes com destino ao host 192.168.1.1:

tcpdump -n dst host 192.168.1.1

Faz a captura apenas dos pacotes com origem no host 192.168.1.1:

tcpdump -n src host 192.168.1.1

Faz a captura dos pacotes com destino na sub-rede 192.168.1.0/24:

tcpdump -n dst net 192.168.1.0/24

Faz a captura dos pacotes com origem na sub-rede 192.168.1.0/24:

tcpdump -n src net 192.168.1.0/24

Faz a captura de todos os pacotes com a porta de destino sendo a 23:

tcpdump -n dst port 23

Faz a captura de todos os pacotes com a porta de destino sendo entre a 1 e 1023:

tcpdump -n dst portrange 1-1023

Captura qualquer pacote ICMP:

tcpdump -v icmp

Captura qualquer pacote ARP:

tcpdump -v arp

Captura qualquer pacote ICMP ou ARP:

tcpdump -v "icmp or arp"

Captura qualquer pacote que seja broadcast ou multicast:

tcpdump -n "broadcast or multicast"

Tem algum outro comando do tcpdump que você conhece e não está na lista ? Comente!