tcpdump: 50+ Прикладів Команд для Аналізу Трафіку

1

tcpdump [опції] [фільтр]

1
2
3
4
5
6
7

# -i [інтерфейс] : Вказати мережевий інтерфейс (наприклад, eth0, enp0s3)
# -n : НЕ перетворювати IP-адреси в імена хостів (працює швидше)
# -nn : НЕ перетворювати IP-адреси та номери портів у назви сервісів
# -X : Показувати вміст пакета в HEX та ASCII
# -c [число] : Захопити тільки N пакетів і вийти
# -w [файл] : Записати результат у файл (для Wireshark)
# -r [файл] : Прочитати pcap-файл

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Вивести список доступних інтерфейсів
tcpdump -D

# Слухати трафік на будь-якому доступному інтерфейсі
tcpdump -i any

# Слухати на конкретному дротовому інтерфейсі
tcpdump -i eth0

# Слухати на loopback (localhost)
tcpdump -i lo

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Трафік ВІД конкретного хоста
tcpdump -i eth0 -nn src host 192.168.1.10

# Трафік ДО конкретного хоста
tcpdump -i eth0 -nn dst host 192.168.1.20

# Весь трафік, пов’язаний з цим хостом (вхідний + вихідний)
tcpdump -i eth0 -nn host 192.168.1.15

# Виключити хост із прослуховування
tcpdump -i eth0 -nn not host 192.168.1.1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# Тільки HTTP-трафік (порт 80)
tcpdump -i eth0 -nn port 80

# Тільки HTTPS-трафік (порт 443)
tcpdump -i eth0 -nn port 443

# Діапазон портів (наприклад, 20-100)
tcpdump -i eth0 -nn portrange 20-100

# Епізодичні порти (Ephemeral Ports) до конкретних хостів
# Корисно, коли клієнт встановлює багато зʼєднань з динамічних портів до балансувальника
tcpdump -n 'src portrange 32768-60999 and (dst 192.168.25.238 or dst 192.168.25.239)'

# Трафік з конкретного хоста на конкретний порт (SSH)
tcpdump -i eth0 -nn src host 10.0.0.5 and dst port 22

# Вихідний трафік MySQL
tcpdump -i eth0 -nn dst port 3306

# Дивитись тільки UDP або TCP пакети
tcpdump -i eth0 -nn udp
tcpdump -i eth0 -nn tcp

1
2
3
4
5
6
7
8

# HTTP або HTTPS трафік
tcpdump -i eth0 -nn 'port 80 or port 443'

# Весь трафік до хоста, КРІМ SSH
tcpdump -i eth0 -nn dst host 192.168.1.10 and not port 22

# Пакети ICMP (ping) від хоста A до хоста B
tcpdump -i eth0 -nn icmp and src host 192.168.1.10 and dst host 8.8.8.8

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Тільки SYN-пакети (початок з'єднання)
tcpdump -i eth0 -nn 'tcp[tcpflags] == tcp-syn'

# SYN + ACK (другий крок handshake)
tcpdump -i eth0 -nn 'tcp[tcpflags] == tcp-syn|tcp-ack'

# RST-пакети (розрив з'єднання з помилкою)
tcpdump -i eth0 -nn 'tcp[tcpflags] == tcp-rst'

# Пакети з прапором PSH (Push — дані передаються додатку негайно)
tcpdump -i eth0 -nn 'tcp[tcpflags] == tcp-push'

1
2
3
4
5
6

# Шукаємо пакети, що містять слово "password" (в HEX або ASCII)
tcpdump -i eth0 -nn -A | grep -i "password"

# Шукаємо GET-запити HTTP
tcpdump -i eth0 -nn -A 'tcp port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
# Примітка: 0x47455420 — це "GET " у шістнадцятковому форматі

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Записати весь трафік на порту 80 у файл http_traffic.pcap
tcpdump -i eth0 -nn port 80 -w http_traffic.pcap

# Обмежити розмір одного файлу (100 МБ), створити ротацію (файл1, файл2...)
tcpdump -i eth0 -nn -w capture.pcap -C 100 -W 5

# Прочитати збережений дамп і показати його на екрані
tcpdump -nn -r http_traffic.pcap

# Прочитати дамп, фільтруючи тільки DNS-запити
tcpdump -nn -r capture.pcap port 53

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# Стандартний вивід (мінімальний)
tcpdump -i eth0 -nn

# Troхи більше деталей (+ TTL, ID, зміщення)
tcpdump -i eth0 -nn -v

# Ще більше (деталі ICMP, NFS, SMB)
tcpdump -i eth0 -nn -vv

# Максимальна кількість деталей
tcpdump -i eth0 -nn -vvv

# Показувати MAC-адреси (корисно на L2 рівні)
tcpdump -i eth0 -nn -e

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 1. Дивимось весь трафік, що генерується системою на зовнішній світ,
#    окрім SSH (щоб не засмічувати екран, якщо підключені віддалено)
tcpdump -i eth0 -nn not port 22 and src host $(hostname -I | awk '{print $1}')

# 2. Ловимо всі DNS-запити та відповіді
tcpdump -i eth0 -nn -v port 53

# 3. Моніторимо ARP-активність у мережі
tcpdump -i eth0 -nn arp

# 4. Аналізуємо DHCP (запит оренди IP)
tcpdump -i eth0 -nn -v 'port 67 or port 68'

# 5. Підраховуємо кількість унікальних IP, що підключаються до порту 443 (легка DDoS діагностика)
tcpdump -i eth0 -nn dst port 443 | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr