tcpmp
-i： 后跟网卡名；
host：后跟主机IP；
-a —— 将网络地址和广播地址转变成名字；
-c —— 指定抓取的数据包数量；
-n：不把主机IP转为主机名；
-r：指定从某个文件中读取数据包；
-e：指定将监听到的数据包链路层的信息打印出来，包括源mac和目的mac，以及网络层的协议；
-nn：不把ip、协议、端口等转为名字；
-T —— 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程调用）和snmp（简单网络管理协议）；
-w —— 直接将包写入文件中，并不分析和打印出来；
and：条件筛选，包含两个地址；
or：条件筛选，两个之中的一个；
src：后跟起始地址；
dst：后跟目的地址；
❷ Linux 基础教程 29-tcpmp命令-1
在Linux中输入命令man tcpmp给出的定义如下所示：
是不是感觉很懵？我们用通俗、形象、学术的表达方式来全方位描述tcpmp:
常用选项如下所示：
1、第一个抓包示例
-i : 指定用来抓包的网络接口，这个参数在服务器有多个网卡的时候非常有效
-nn : 不转换协议和端口号，当tcpmp遇到协议号或端口号，不需要将这些数字转换为对应的协议名称或端口名称，如22端口SSH端口，我们希望显示22，而非SSH
-X : 将协议头和包内容原原本本的显示出来,tcpmp会同时以16进制和ASCII的形式进行显示，在协议分析时非常好用。
'port 22' : 告诉tcpmp要有选择的显示所抓到的包，在该示例中，只显示源端口或目的端口是22的数据包，其他的数据包则不显示。
-c : 用来指定抓包的个数，示例设置的个数为1，则代表仅抓取一个包之后就退出不再抓包了。
2、-e 增加数据链路层的头部信息
通过两个命令的输出对比，可以看到增加-e选项后，输出的结果中增加MAC地址信息。而且在输出内容中会有 oui Unknown ，OUI即Organizationally unique identifier(组织唯一标识符)，在任何一块网卡中烧录的6字节MAC地址中，前3个字节体现了OUI，其表明了网卡的制造组织，通常情况下，该标识符是唯一的。在本例中，由于没有识别出网卡的制造商，因此显示为Unknown。
3、-l 将输出变为行缓冲模式
-l的作用是将tcpmp的输出行为变为 行缓冲 方式，这样可以保证tcpmp遇到换行符，就立即将缓冲的内容输出到标准输出(stdout)，方便利用管道或重定向方式进行后续处理，而不会造成延迟。
在Linux的标准I/O中提供了 全缓冲 、 行缓冲 、 无缓冲 三种缓冲方式。标准错误是不带缓冲的，而终端设备常为行缓冲，其他默认则为全缓冲。
在该例中，将tcpmp输出的内容通过管道提取第5列，可以用来查看详细的连接信息。而如果不加 -l 选项时，则只有当缓冲区全部占满时，tcpmp才会将缓冲区中的内容输出，这样就有可能导致输出不连续的，如果强行结束，则会影响下一行的完整性。
4、-t 输出不加时间戳
在增加选项 -t 选项后，时间23:48:03.193526就消失了。tcpmp默认情况下是按微秒来计时，因此最一个时间精确到了第6位。
5、 -v 显示详细信息
在增加 -v 选项后，会在输出的内容中增加 tos 、 ttl 、 id 、 offset 、 协议编号 、 总长度 等，如需要理解这些信息，就需要了解TCP/IP协议中的头的具体定义了。
6、-F 指定过滤表达式所在的文件
在第一个示例中，命令行增加了 'port 22' ，而这一项就叫 过滤条件 ，如果设置了过滤条件，则tcpmp只抓取满足过滤条件的数据包。如需要设置较为复杂的过滤条件或复用过滤条件时，这时可以将过滤条件保存为文件，然后通过-F加载该过滤文件。
7、 -w 将原始数据包信息保存到文件中
当我们查看保存的文件时，出现的是乱码。则代表无法直接查看，很有可能是二进制文件。那么怎么查看保存的文件了？请看下一个示例。
7、 -r 从文件中读取原始数据包
通过-w和-r选项即可实现抓包的录制回放功能。
❸ 一篇就弄懂Linux netstat和tcpmp的常见用法
Netstat是一款CLI工具，它可以列出系统上所有的网络连接情况，包括tcp、udp和其他unix网络socket，另外它还能列出处于监听状态的socket。当Linux网络或系统排查问题时，netstat基本上是必用的工具之一，下面开始对netstat的常见用法加以说明。
用途：列出tcp、udp和其他unix套接字下所有的连接，往往信息提供的不够直观和详细，因此也常通过搭配其他参数一起使用。
相信很多用户已经发现，在执行上述命令的时候结果查询的不是很快，这是因为netstat默认会使用反向域名解析，会把对应的IPv4地址解析对应到IPv6或者主机名，如果IP地址信息足够满足需求时，大可以禁用反向域名解析，加上 -n 参数。
如果是查看udp协议下的连接，则用 netstat -nlu 。
常常会遇到如下场景：我们提前预知某服务程序开放某监听端口，于是想查看对应连接的信息，包括进程名、进程ID甚至执行owner信息等，可加入 -p ， -e 参数来实现。
netstat -s 可以打印出网络统计数据，包括某个协议下的收发包数量；
netstat -rn 可查看路由信息，效果等同于 route -n ；
netstat -i 或者 netstat -ie 可查看网络接口信息，且后一条命令效果等同于 ifconfig -a ；
用简单的话来定义tcpmp，就是： mp the traffic on a network ，根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpmp可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息，是一个十分常用的Linux抓包工具。
在介绍tcpmp常用命令之前先提一个小建议，每个tcpmp命令的末尾加上 -s 0 -nvvvtttt 参数，简单解释一下参数的含义：
另外还可以结合自己的需要选择要不要加上 -x -xx -X -XX （输出会打印每个包的头部数据，且会以16进制或者ASCII码形式打印每个包的数据）等参数
如下仅简单说明一下上文没提到的用法：
❹ python 怎么调用linux下的tcpmp
之前在linux用python脚本写一个抓包分析小工具，实在不想用什么libpcap、pypcap所以，简单来了个tcpmp加grep搞定。基本思路是分别起tcpmp和grep两个进程，进程直接通过pipe交换数据，简单代码如下：
[python] view plain
#! /usr/bin/python
def tcpmp():
import subprocess, fcntl, os
# sudo tcpmp -i eth0 -n -s 0 -w - | grep -a -o -E "Host: .*|GET /.*"
cmd1 = ['tcpmp', '-i', 'eth0', '-n','-B', '4096','-s', '0', '-w', '-']
cmd2 = ['grep', '--line-buffered', '-a', '-o', '-E', 'Host: .*|GET /.*']
p1 = subprocess.Popen(cmd1, stdout=subprocess.PIPE)
p2 = subprocess.Popen(cmd2, stdout=subprocess.PIPE, stdin=p1.stdout)
flags = fcntl.fcntl(p2.stdout.fileno(), fcntl.F_GETFL)
fcntl.fcntl(p2.stdout.fileno(), fcntl.F_SETFL, (flags | os.O_NDELAY | os.O_NONBLOCK))
return p2
def poll_tcpmp(proc):
#print 'poll_tcpmp....'
import select
txt = None
while True:
# wait 1/10 second
readReady, _, _ = select.select([proc.stdout.fileno()], [], [], 0.1)
if not len(readReady):
break
try:
for line in iter(proc.stdout.readline, ""):
if txt is None:
txt = ''
txt += line
except IOError:
print 'data empty...'
pass
break
return txt
proc = tcpmp()
while True:
text = poll_tcpmp(proc)
if text:
print '>>>> ' + text
❺ 在Linux系统怎么用tcpmp命令
------------------------------------tcpmp--------------------------------
协议报文分析器：
sniffer: 商业工具
tcpmp, wireshark(GUI), tshark(CLI)
tcpmp [options] 过滤条件
获取报文的条件：
ip src host 172.16.100.1
tcp src or dst port 21
udp dst port 53
tcp src or dst port 21 AND src host 172.16.100.1
tcp port 21 AND host 172.16.100.1
tcpmp的语法：
tcpmp [options] [Protocol] [Direction] [Host(s)] [Value] [Logical Operations] [Other expression]
Protocol(协议):
Values(取值): ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
If no protocol is specified, all the protocols are used.
Direction(流向):
Values(取值): src, dst, src and dst, src or dst
If no source or destination is specified, the "src or dst" keywords are applied. (默认是src or dst)
For example, "host 10.2.2.2" is equivalent to "src or dst host 10.2.2.2".
Host(s)(主机):
Values(替代关键字): net, port, host, portrange.
If no host(s) is specified, the "host" keyword is used. 默认如果此段没有指定关键字，默认即host。
For example, "src 10.1.1.1" is equivalent to "src host 10.1.1.1".
Logical Operations:
(1) and
and or &&
(2) or
or or ||
(3) except
not or !
常用选项：
-i any : 指定在哪个网卡进行抓包
-n : 不反解主机名
-nn : 不反解主机名与端口号
-X : 以16进制格式与ASCII格式显示报文
-XX : 除了显示X的内容还显示以太网首部
-v, -vv, -vvv : 显示更详细的信息
-c # : Only get x number of packets and then stop.
-s : Define the snaplength (size) of the capture in bytes. Use -s0 to get everything, unless you are intentionally capturing less.
-S : Print absolute sequence numbers.
-e : Get the ethernet header as well.
-q : Show less protocol information.
-E : Decrypt IPSEC traffic by providing an encryption key.
-A ：Display Captured Packets in ASCII
-w /path/to/some_file : Capture the packets and write into a file
-r /path/from/some_file : Reading the packets from a saved file
-tttt : Capture packets with proper readable timestamp
eg:
tcpmp -i eth0 -X -nn -vv tcp port 100
可以在报文上面看一下有无user与pass的信息.
tcpmp -i eth0 -X -nn -vv tcp port 110 and ip src 192.168.10.1
ip host 172.16.100.1
ip src host 172.16.100.1
ip dst host 172.16.100.1
ip src and dst host 172.16.100.1
❻ tcpmp 怎么在linux操作系统上抓包
默认系统里边没有安装有tcpmp的，无法直接使用
这里我们可以使用yum来直接安装它
yum install -y tcpmp
如果忘记了这个的用法，我们可以使用 tcpmp --help 来查看一下使用方法
一般我们的服务器里边只有一个网卡，使用tcpmp可以直接抓取数据包，但是这样查看太麻烦了，所以都会添加参数来进行获取的。
例如我截取本机（192.168.31.147）和主机114.114.114.114之间的数据
tcpmp -n -i eth0 host 192.168.31.147 and 114.114.114.114
还有截取全部进入服务器的数据可以使用以下的格式
tcpmp -n -i eth0 dst 192.168.31.147
或者服务器有多个IP 可以使用参数
tcpmp -n -i eth0 dst 192.168.31.147 or 192.168.31.157
我们抓取全部进入服务器的TCP数据包使用以下的格式，大家可以参考下
tcpmp -n -i eth0 dst 192.168.31.147 or 192.168.31.157 and tcp
从本机出去的数据包
tcpmp -n -i eth0 src 192.168.31.147 or 192.168.31.157
tcpmp -n -i eth0 src 192.168.31.147 or 192.168.31.157 and port ! 22 and tcp
或者可以条件可以是or 和 and 配合使用即可筛选出更好的结果。
❼ linux下tcpmp抓包存在什么位置
tcpmp默认的是标准输出，一般来讲就是显示器，如果要将抓包结果保存到文件则需要使用-w参数，例如：
$tcpmp-ieth1-w/tmp/xxx.cap
抓eth1的包
❽ 关于linux tcpmp命令
用简单的话来定义tcpmp，就是：mp the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpmp可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
实用命令实例
默认启动
tcpmp
普通情况下，直接启动tcpmp将监视第一个网络接口上所有流过的数据包。
监视指定网络接口的数据包
tcpmp -i eth1
如果不指定网卡，默认tcpmp只会监视第一个网络接口，一般是eth0，下面的例子都没有指定网络接口。
监视指定主机的数据包
打印所有进入或离开sundown的数据包.
tcpmp host sundown
也可以指定ip,例如截获所有210.27.48.1 的主机收到的和发出的所有的数据包
tcpmp host 210.27.48.1
打印helios 与 hot 或者与 ace 之间通信的数据包
tcpmp host helios and \( hot or ace \)
截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信
tcpmp host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
打印ace与任何其他主机之间通信的IP 数据包, 但不包括与helios之间的数据包.
tcpmp ip host ace and not helios
如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
tcpmp ip host 210.27.48.1 and ! 210.27.48.2
截获主机hostname发送的所有数据
tcpmp -i eth0 src host hostname
监视所有送到主机hostname的数据包
tcpmp -i eth0 dst host hostname
监视指定主机和端口的数据包
如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令
tcpmp tcp port 23 and host 210.27.48.1
对本机的udp 123 端口进行监视 123 为ntp的服务端口
tcpmp udp port 123
监视指定网络的数据包
打印本地主机与Berkeley网络上的主机之间的所有通信数据包(nt: ucb-ether, 此处可理解为'Berkeley网络'的网络地址,此表达式最原始的含义可表达为: 打印网络地址为ucb-ether的所有数据包)
tcpmp net ucb-ether
打印所有通过网关snup的ftp数据包(注意, 表达式被单引号括起来了, 这可以防止shell对其中的括号进行错误解析)
tcpmp 'gateway snup and (port ftp or ftp-data)'
打印所有源地址或目标地址是本地主机的IP数据包
(如果本地网络通过网关连到了另一网络, 则另一网络并不能算作本地网络.(nt: 此句翻译曲折,需补充).localnet 实际使用时要真正替换成本地网络的名字)
tcpmp ip and not net localnet