上一篇文章中,我们介绍了tcpdump如何抓包。
tcpdump是命令行下便捷的抓包和分析工具,但使用方式不够友好,
wireshark是带图形化界面的抓包和分析工具,操作简便,但需要主机有显示器。
所以,在很多场景下,例如,生产环境服务器,可以使用tcpdump抓包保存到文件,然后再由wireshark进行分析,这样可以很好的发挥两者的优势。
本文介绍如何使用tcpdump抓包到文件,再由wireshark进行分析。
1. tcpdump抓包保存到文件
tcp 选项-w filename
,将抓包结果保存到指定文件中。
例如,我们使用命令:
$ tcpdump -i lo0 port 8080 -n -vvv -X -w pkt_outfile
在网络接口lo0上抓取端口8080上的数据包,并将其保存到文件pkt_outfile
。
2.wireshark分析
2.1 下载和安装
下载后,安装。
2.2 分析数据包
打开wireshark, 打开刚才保存数据包的文件pkt_outfile
,wireshark自动分析,如下图所示。
可以点击每个报文,查看每个协议层的分析结果,从数据链路层到传输层,非常详细。