Como capturar y analizar paquetes con tcpdump en Linux

tcpdump es una herramienta bien conocida como analizador de paquetes. Usando el comando tcpdump podemos capturar los paquetes TCP / IP en vivo y estos paquetes también se pueden guardar en un archivo. Más tarde, estos paquetes capturados se pueden analizar a través del comando tcpdump. El comando tcpdump es muy útil cuando se trata de solucionar problemas en el nivel de la red.

Para instalar

Capturar paquetes de una interface

Sintaxis :

# tcpdump -i {interface-name}

Asumamos que la interfaz se llama “enp0s3”

Capturar un numero especifico de paquetes de una interface

Si queremos capturar por ejemplo 12 paquetes lo hacemos con la opcion “-c {number} -i {interface-name}”

Muestra todas las interfaces

Usando la opcion ‘-D‘

Capturar paquetes con timestamp (-tttt option)

Capturar y grabar en un archivo (-w option)

Sintaxis :

# tcpdump -w file_name.pcap -i {interface-name}

Nota: Extension debe ser .pcap

Let’s assume i want to save the captured packets of interface “enp0s3” to a file name enp0s3-26082018.pcap

Above command will generate the output something like below,

Capturing and Saving the packets whose size greater than N bytes

Capturing and Saving the packets whose size less than N bytes

Leer paquetes de un archivo ( -r option)

Reading the packets with human readable timestamp,

Capturar solo la IP en una interface (-n option)

Using -n option in tcpdum command we can capture only IP address packets on specific interface, example is shown below,

Output of above command would be something like below,

You can also capture N number of IP address packets using -c and -n option in tcpdump command,

Example:8) Capturing only TCP packets on a specific interface

In tcpdump command we can capture only tcp packets using the ‘tcp‘ option,

Example:9) Capturing packets from a specific port on a specific interface

Using tcpdump command we can capture packet from a specific port (e.g 22) on a specific interface enp0s3

Syntax :

# tcpdump -i {interface-name} port {Port_Number}

Example:10) Capturing the packets from a Specific Source IP on a Specific Interface

Using “src” keyword followed by “ip address” in tcpdump command we can capture the packets from a specific Source IP,

syntax :

# tcpdump -n -i {interface-name} src {ip-address}

Example is shown below,

Example:11) Capturing packets from a specific destination IP on a specific Interface

Syntax :

# tcpdump -n -i {interface-name} dst {IP-address}

Capturar paquetes TCP entre 2 Hosts

Let’s assume i want to capture tcp packets between two hosts 169.144.0.1 & 169.144.0.20, example is shown below,

Capturing only SSH packet flow between two hosts using tcpdump command,

Capturar paquetes en udp entre 2 hosts

Sintaxis:

# tcpdump -w -s -i udp and \(host and host \)

Capturar paquetes en HEX y ASCII

Para captura los paquetes en ASCII  -A,

Para capturar paquetes en HEX y ASCII use -XX

 

Fuente:

https://www.linuxtechi.com/capture-analyze-packets-tcpdump-command-linux/