TCPdump

TCPdump é um poderoso Sniffer com interface em linha de comando.

Ele deve ser usado como root (Superuser) ou com direitos de super usuario.

1. Intalação do TCPDUMP:

Fazer o download do programa:

#apt-get install tcpdump

Para ver as dependencias:

#apt-cache depends tcpdump

2. Sintaxe:

Protocolos suportados:

ether, FDDI, IP, ARP, RARP, DECNet lat, sca, moprc, mopdl, TCP e UDP.
Se nenhum protocolo é especificado, todos os protocolos são usados.

Para onde apontar:

* src, dst, src e dst, src ou dst *
Se nenhuma fonte ou destino for especificado, os "src ou dst" palavras-chave são aplicadas.
Por exemplo, "host 10.2.2.2" é equivalente a "src ou dst anfitrião 10.2.2.2".

Host(s):

Values: net, port, host, portrange.
Se nada for especificado host é usado.
Por exemplo, "src 10.1.1.1" é equivalente a "src host 10.1.1.1".

Operações lógicas:

Valores: NOT (não), AND (e), OR (ou).
Negação NOT ("não") tem maior precedência. Alternância OR ("ou") e de concatenação AND ("e") têm a mesma precedência e associam esquerda para a direita.
Por exemplo,
"not tcp port 3128 and tcp port 23" is equivalent to "(not tcp port 3128) and tcp port 23".
"not tcp port 3128 and tcp port 23" is NOT equivalent to "not (tcp port 3128 and tcp port 23)"

Tradução : "Não tcp porta 3128 e porta TCP 23" é equivalente a "(não a porta TCP 3128) e tcp porta 23".
"Não a porta TCP 3128 e TCP porta 23" não é equivalente a "não (porta TCP 3128 ea porta TCP 23)"

3.Modo de Usar:

Para exibir a saída TCPdump padrão:

#tcpdump

Em modo Verboso:

#tcpdump -v

Mostra as interfaces que são suportadas:

#tcpdump -D

Para exibir endereços numéricos ao invés de endeereços (DNS) simbólicos:

#tcpdump -n

Para exibir a saída rápida:

#tcpdump -q

Capturar de uma interface em particular:

# tcpdump -i wlan0

Captura UDP:

#tcpdump udp

Captura de trafego na porta 80:

#tcpdump port http

Captura o trafego e o armazena em um arquivo:

#tcpdump -F file_name

Capturar apenas 20 pacotes:

#tcpdump -c 20

Para enviar a saída de captura em um arquivo em vez de diretamente na tela:

#tcpdump -w capture.log

Para ler um arquivo de captura:

#tcpdump -r capture.log

Os dados capturados não são armazenadas em texto simples para que você não pode lê-lo com um editor de texto, você tem que usar uma ferramenta especial como TCPdump ou Wireshark, que fornece uma interface gráfica.

Para exibir os pacotes com "www.google.com" como seu endereço de origem ou destino:

#tcpdump host www.google.com

Para exibir os pacotes FTP provenientes de 192.168.1.100 para 192.168.1.2:

#tcpdump src 192.168.1.100 and dst 192.168.1.2 and port ftp

Para exibir o conteúdo dos pacotes:

#tcpdump -A