TCPDUMP - Capture de paquets sur plusieurs adresses IP (FIlter)

9

Ce que je dois faire (via 'tcpdump' via Linux):

• Serveurs d'applications de commerce électronique: 192.168.1.2, 192.168.1.3, 192.168.1.4. - C'est ce que je veux capturer (filtré sur ces IP exactes). Pas une plage IP (sous-réseau) ou une adresse IP individuelle, juste plusieurs adresses IP / serveurs.

• Il existe d'autres applications dans cette plage, par exemple PayRoll App est sur 192.168.1.5, et je ne veux voir aucun de ce trafic dans ma capture.

J'ai essayé:

tcpdump 0 "/tmp" "host 192.168.1.2 or host 192.168.1.3 or host 192.168.1.4" 100000

et aussi:

tcpdump 0 "/tmp" "ip.host==192.168.1.2 or ip.host==192.168.1.3 or ip.host==192.168.1.4" 100000

Les deux renvoient des erreurs de syntaxe.

Toute aide est très appréciée.

Derek
la source
Vous pouvez également essayer: tcpdump -D Ceci listera toutes les interfaces, si vous n'êtes pas sûr de quelle interface capturer le trafic. Sur la base de ce que vous avez essayé, il semble que le 0 pourrait le rejeter. Aussi le "/ tmp" et le "" lors de la liste des hôtes. Vous ne devriez pas avoir besoin de "" pour lister les hôtes, mais vous devez spécifier l'interface avant les répertoires ou les options.
injecteur

Réponses:

15

la syntaxe de base dans votre cas serait

tcpdump -i <interface to capture on> <filters>

Le <filters>serait étendu à quelque chose comme

'(host 192.168.1.2 or host 192.168.1.3 or host 192.168.1.4) and (port 80 or port 443)'

si votre application de commerce électronique utiliserait les ports 80 et 443 pour les communications. Les guillemets simples sont importants, sinon votre shell peut voir les crochets () qui sont importants pour regrouper les paramètres en tant que caractères spéciaux.

l'ajout de paramètres -v et -n au début ( tcpdump -v -n -i ...) ajouterait de la verbosité à la sortie et désactiverait la résolution de nom (accélère la sortie)

le-wabbit
la source
-1

tcpdump -vvv -enni <interface> host 192.168.1.2 or host 192.168.1.3 or host 192.168.1.4 and port XYX -s0 -w /var/tmp/yourfile.pcap

marin
la source