tcpdump チートシート

tcpdumpコマンドのクイックリファレンス。パケットキャプチャ、ホスト/ポート/プロトコルフィルタ、出力オプション、高度なフィルタ、BPF構文を網羅

関連カテゴリ:ネットワーク

59 件のコマンド

tcpdump

デフォルトインターフェースでキャプチャ開始

sudo tcpdump

tcpdump -i {iface}

指定インターフェースでキャプチャ

sudo tcpdump -i eth0

tcpdump -i any

全インターフェースでキャプチャ

sudo tcpdump -i any

tcpdump -c {n}

指定パケット数をキャプチャして終了

sudo tcpdump -c 100

tcpdump -D

利用可能なインターフェース一覧を表示

sudo tcpdump -D

tcpdump -s {size}

スナップショット長を設定（バイト）

sudo tcpdump -s 0

tcpdump -s 0

パケット全体をキャプチャ

sudo tcpdump -s 0

tcpdump -q

簡易出力モード

sudo tcpdump -q

tcpdump -e

リンク層ヘッダも表示

sudo tcpdump -e

tcpdump host {ip}

特定ホストのトラフィックをキャプチャ

sudo tcpdump host 192.168.1.1

tcpdump src host {ip}

送信元ホストでフィルタ

sudo tcpdump src host 10.0.0.1

tcpdump dst host {ip}

宛先ホストでフィルタ

sudo tcpdump dst host 10.0.0.2

tcpdump net {cidr}

ネットワーク範囲でフィルタ

sudo tcpdump net 192.168.1.0/24

tcpdump src net {cidr}

送信元ネットワーク範囲でフィルタ

sudo tcpdump src net 10.0.0.0/8

tcpdump dst net {cidr}

宛先ネットワーク範囲でフィルタ

sudo tcpdump dst net 172.16.0.0/12

tcpdump host A and host B

2ホスト間のトラフィック

sudo tcpdump host 10.0.0.1 and host 10.0.0.2

tcpdump not host {ip}

特定ホストを除外

sudo tcpdump not host 192.168.1.1

tcpdump port {n}

特定ポートのトラフィックをキャプチャ

sudo tcpdump port 80

tcpdump src port {n}

送信元ポートでフィルタ

sudo tcpdump src port 443

tcpdump dst port {n}

宛先ポートでフィルタ

sudo tcpdump dst port 3306

tcpdump portrange {a}-{b}

ポート範囲でフィルタ

sudo tcpdump portrange 8000-9000

tcpdump port 80 or port 443

複数ポートでフィルタ（OR条件）

sudo tcpdump port 80 or port 443

tcpdump not port 22

特定ポートを除外

sudo tcpdump not port 22

tcpdump host {ip} and port {n}

ホストとポートの複合フィルタ

sudo tcpdump host 10.0.0.1 and port 80

tcpdump tcp

TCPパケットのみキャプチャ

sudo tcpdump tcp

tcpdump udp

UDPパケットのみキャプチャ

sudo tcpdump udp

tcpdump icmp

ICMPパケットのみキャプチャ

sudo tcpdump icmp

tcpdump arp

ARPパケットのみキャプチャ

sudo tcpdump arp

tcpdump ip6

IPv6パケットのみキャプチャ

sudo tcpdump ip6

tcpdump vlan

VLANタグ付きパケットをキャプチャ

sudo tcpdump vlan

tcpdump 'tcp[tcpflags] & tcp-syn != 0'

SYNフラグ付きTCPパケット

sudo tcpdump 'tcp[tcpflags] & tcp-syn != 0'

tcpdump 'tcp[tcpflags] & tcp-rst != 0'

RSTフラグ付きTCPパケット

sudo tcpdump 'tcp[tcpflags] & tcp-rst != 0'

tcpdump -w {file}

キャプチャをpcapファイルに保存

sudo tcpdump -w capture.pcap

tcpdump -r {file}

pcapファイルを読み込み

tcpdump -r capture.pcap

tcpdump -n

名前解決しない（IPアドレスで表示）

sudo tcpdump -n

tcpdump -nn

ホスト名・ポート名を解決しない

sudo tcpdump -nn

tcpdump -t

タイムスタンプを表示しない

sudo tcpdump -t

tcpdump -tt

Unix時間でタイムスタンプ表示

sudo tcpdump -tt

tcpdump -ttt

パケット間の経過時間を表示

sudo tcpdump -ttt

tcpdump -v

詳細出力

sudo tcpdump -v

tcpdump -vv

より詳細な出力

sudo tcpdump -vv

tcpdump -X

HEXとASCIIでパケット内容を表示

sudo tcpdump -X

tcpdump -A

ASCIIでパケット内容を表示

sudo tcpdump -A

tcpdump -C {size}

ファイルサイズ制限（MB）でローテーション

sudo tcpdump -w out.pcap -C 100

tcpdump -W {count}

ローテーションファイル数を制限

sudo tcpdump -w out.pcap -C 100 -W 10

tcpdump -G {sec}

指定秒数ごとにファイルをローテーション

sudo tcpdump -w out_%H%M.pcap -G 3600

tcpdump -Z {user}

指定ユーザー権限でキャプチャ

sudo tcpdump -Z tcpdump

tcpdump -l

行バッファリングモード（パイプ用）

sudo tcpdump -l | tee output.txt

tcpdump -K

チェックサム検証をスキップ

sudo tcpdump -K

tcpdump -S

絶対TCPシーケンス番号を表示

sudo tcpdump -S

and / &&

論理AND条件

sudo tcpdump tcp and port 80

or / ||

論理OR条件

sudo tcpdump port 80 or port 443

not / !

論理NOT条件

sudo tcpdump not arp

greater {n}

指定バイト以上のパケット

sudo tcpdump greater 1000

less {n}

指定バイト以下のパケット

sudo tcpdump less 100

tcp[13] == 2

SYNパケットのみ（TCPフラグ指定）

sudo tcpdump 'tcp[13] == 2'

tcp[13] == 18

SYN-ACKパケットのみ

sudo tcpdump 'tcp[13] == 18'

tcp[13] & 4 != 0

RSTフラグを含むパケット

sudo tcpdump 'tcp[13] & 4 != 0'

ip[6:2] & 0x1fff != 0

フラグメント化されたパケット

sudo tcpdump 'ip[6:2] & 0x1fff != 0'