#에스이의 시간여행

1. 용도 및 목적
네트워크 트래픽 덤프 생성(minimal 설치 시 포함 안됨 yum 설치 또는 단일 패키지이니 다운 받아 설치)

2. 자주 쓰는 옵션
-eth0 패킷을 출력
#tcpdump -i eth0

-eth0 패킷을 test.pcap에 저장
#tcpdump -i eth0 -w test.pcap

-패킷 캡쳐시 손실또는 잘릴 경우 -s 옵션으로 조정(제한된 스냅샷으로 패킷이 잘릴 경우 또는 tcpdump 호환을 위해서도 사용)
#tcpdump -i eth0 -s 0 -w test.pcap

-vip 의 sip 패킷 확인
#tcpdump -i bond0:5 host 192.168.35.10 -nnvX -s 400

-HTTP Request, Response 모든 트래픽 필터링
tcpdump -A -s 0 'tcp port 8443 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' -i eth0

HTTP GET 필터링
tcpdump -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420' -i eth0

HTTP POST 필터링
tcpdump -s 0 -A 'tcp dst port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)' -i eth0 

3. 활용 방법
-설치
#yum install tcpdump

-eth0의 192.168.35.11의 호스트의 TCP 22번 포트만 캡쳐하여 test.pcap 파일로 저장
#tcpdump -i eth0 -w test.pcap tcp port 22 and host 192.168.35.11

-eth0의 192.168.35.11의 호스트의 UDP 9999번 포트만 캡쳐
#tcpdump -i eth0 udp port 9999 and host 192.168.35.11

-상세히 출력 -vv
#tcpdump -vv -i eth0