TCPDUMP
1. Généralité
La commande "tcpdump" permet d'afficher les packets, mais pas leur contenu.
Comme
SNOOP, il fonctionne en ligne de commande. Par défaut, tcpdump utilise
l'interface active, si aucune n'est précisée.
Format de la commande : tcpdump [option(s)] [condition(s)]
2. Options
| Option |
Détail |
Exemple |
| -i |
Affiche les packets pour une interface spécifique. Utiliser 'any' pour tracer toutes
les interfaces |
tcpdump -i eth-s1p1
tcpdump -i any |
| -s0 |
Affiche les packets sans les tronquer |
tcpdump -i eth-s1p1 -s0 |
| -x |
Mode "Verbose Hexa" : contenu des packets en Hexadecimal |
tcpdump -i eth-s1p1 -x |
| -X |
Mode "Verbose Hexa" : contenu des packets en Hexadecimal et ASCII |
tcpdump -i eth-s1p1 -X |
| -v |
Mode "Verbose light" |
tcpdump -i eth-s1p1 -v |
| -vv |
Mode "Verbose medium" |
tcpdump -i eth-s1p1 -vv |
| -vvv |
Mode "Verbose Full" |
tcpdump -i eth-s1p1 -vvv |
| -w |
Enregistre la sortie de TCPDUMP dans le fichier passé en paramètre |
tcpdump -i eth-s1p1 -w trc20040427.dump |
| -r |
Affiche le contenu d'un fichier créé avec tcpdump -w |
tcpdump -r trc20040427.dump |
3. Conditions
| Condition |
Détail |
Exemple |
| host |
Affiche les trames pour le host défini en paramètre (peut en général être omis) |
tcpdump -i eth-s1p1 host 10.10.10.5
tcpdump -i eth-s1p1 10.10.10.5 |
| src |
Affiche les trames ayant pour origine le host défini en paramètre |
tcpdump -i eth-s1p1 src host 10.10.10.5 |
| dst |
Affiche les trames ayant pour destination le host défini en paramètre |
tcpdump -i eth-s1p1 dst host 10.10.10.5 |
| port |
Affiche les packets du port précisé |
tcpdump -i eth-s1p1 port 21
tcpdump -i eth-s1p1 port ftp |
| icmp, ip, arp, rarp, udp, tcp |
Affiche les packets du protocole précisé |
tcpdump -i eth-s1p1 icmp |
| less |
Affiche les packets d'une taille inférieure à celle précisée en paramètre |
tcpdump -i eth-s1p1 less 60 |
| great |
Affiche les packets d'une taille supérieure à celle précisée en paramètre |
tcpdump -i eth-s1p1 greater 96 |
4. Exemples divers
4. 1. Comment tracer les flux ftp venant de l'IP 10.10.11.5
tcpdump port 21 and host 10.10.11.5
4. 2. Comment tracer les flux telnet venant des IP 10.10.11.5 et 10.10.11.6
tcpdump -i eth-s1p1 port 23 and host 10.10.11.5 or host 10.10.11.6
4. 3. Afficher un maximum d'informations sur les flux ftp
tcpdump -i eth-s1p1 -vvv -X port 21
4. 4. Afficher toutes les traces, sauf sur le port 22
Le port 22 correspond au ssh (voir la
liste des protocoles). Ceci permet par exemple de se connecter en ssh
sur un serveur, et d'afficher toutes les traces, sauf celles correspondants à l'administration.
tcpdump -i eth0 not port 22
Page modifiée le : 20/03/2006
Site modifié le : 14/09/2020
